Kaksivaiheinen todennus (2FA) on tehokkain tapa estää online-tilin luvaton käyttö. Tarvitsetko vielä vakuuttavia? Katsokaa näitä leuan pudottavia numeroita Microsoftilta.
Kovat numerot
Helmikuussa 2020 Microsoft antoi esitys klo RSA-konferenssi otsikolla "Salasanariippuvuuksien rikkominen: haasteet viimeisellä maililla Microsoftilla". Koko esitys oli kiehtova, jos olet kiinnostunut käyttäjätilien suojaamisesta. Vaikka tämä ajatus häiritsisi mieltäsi, esitetyt tilastot ja luvut olivat uskomattomia.
Microsoft seuraa yli miljardia aktiivista tiliä kuukausittain, mikä on lähes 1/8 maailman väestöstä . Nämä tuottavat yli 30 miljardia kuukausittaista kirjautumistapahtumaa. Jokainen sisäänkirjautuminen yrityksen O365-tilille voi luoda useita kirjautumistietoja useille sovelluksille, samoin kuin muita tapahtumia muille sovelluksille, jotka käyttävät O365: tä kertakirjautumiseen.
Jos tämä numero kuulostaa suurelta, muista se Microsoft lopettaa 300 miljoonaa vilpillistä kirjautumisyritystä päivittäin . Jälleen, tämä ei ole vuodessa tai kuukaudessa, vaan 300 miljoonaa päivässä .
Tammikuussa 2020 480 000 Microsoft-tiliä - 0,048 prosenttia kaikista Microsoft-tileistä - vaarantui hyökkäysten avulla. Tällöin hyökkääjä käyttää yhteistä salasanaa (kuten “Spring2020!”) Tuhansien tilien luetteloita vastaan toivoen, että jotkut niistä ovat käyttäneet tätä yhteistä salasanaa.
Suihkut ovat vain yksi hyökkäyksen muoto; satoja ja tuhansia muita aiheutti tunnistetiedot. Näiden säilyttämiseksi hyökkääjä ostaa käyttäjänimet ja salasanat pimeästä verkosta ja kokeilee niitä muissa järjestelmissä.
Sitten on tietojenkalastelu , jolloin hyökkääjä vakuuttaa sinut kirjautumaan väärennetylle verkkosivustolle saadaksesi salasanasi. Nämä menetelmät ovat miten verkkotilit tyypillisesti "hakkeroidaan" yleisessä kielessä.
Kaiken kaikkiaan yli miljoona Microsoft-tiliä rikottiin tammikuussa. Se on hieman yli 32 000 vaarantunutta tiliä päivässä, mikä kuulostaa huonolta, kunnes muistat 300 miljoonaa vilpillistä kirjautumisyritystä, jotka lopetettiin päivässä.
Mutta tärkein numero kaikista on se 99,9 prosenttia kaikista Microsoft-tilin rikkomuksista olisi lopetettu jos tileillä oli kaksivaiheinen todennus käytössä.
LIITTYVÄT: Mitä pitäisi tehdä, jos saat tietojenkalasteluviestin?
Mikä on kaksivaiheinen todennus?
Nopeana muistutuksena kaksivaiheinen todennus (2FA) vaatii lisämenetelmän tilisi todentamiseksi eikä vain käyttäjätunnusta ja salasanaa. Tämä lisämenetelmä on usein kuusinumeroinen koodi lähetetään puhelimeesi tekstiviestillä tai jonka sovellus on luonut. Tämän jälkeen kirjoitat kyseisen kuusinumeroisen koodin osana tilisi kirjautumismenettelyä.
Kaksivaiheinen todennus on eräänlainen monitekijätodennus (MFA). On myös muita MFA-menetelmiä, kuten fyysiset USB-rahakkeet, jotka liität laitteeseen, tai sormenjäljen tai silmän biometriset skannaukset. Puhelimeesi lähetetty koodi on kuitenkin ylivoimaisesti yleisin.
Usean tekijän todennus on kuitenkin laaja termi - erittäin turvallinen tili saattaa edellyttää esimerkiksi kolme tekijää kahden sijasta.
LIITTYVÄT: Mikä on kaksivaiheinen todennus ja miksi tarvitsen sitä?
Olisiko 2FA pysäyttänyt rikkomukset?
Suihkuhyökkäyksissä ja tunnistetiedoissa hyökkääjillä on jo salasana - heidän on vain löydettävä tilit, jotka käyttävät sitä. Tietojenkalastelussa hyökkääjillä on sekä salasanasi että tilisi nimi, mikä on vielä pahempaa.
Jos tammikuussa rikotulla Microsoft-tilillä olisi ollut monitekijätodennus käytössä, vain salasanan saaminen ei olisi riittänyt. Hakkeri olisi tarvinnut myös pääsyn uhriensa puhelimiin saadakseen MFA-koodin ennen kuin hän voisi kirjautua näille tileille. Ilman puhelinta hyökkääjä ei olisi päässyt kyseisiin tileihin, eikä niitä olisi rikottu.
Jos luulet salasanasi mahdotonta arvata, etkä koskaan joutuisi tietojenkalasteluhyökkäyksen kohteeksi, sukelkaamme tosiseikkoihin. Microsoftin pääarkkitehti Alex Weinartin mukaan salasanasi itse asiassa ei ole väliä niin paljon tilisi suojaamiseksi.
Tämä ei koske myöskään Microsoft-tilejä - kaikki verkkotilit ovat yhtä haavoittuvia, jos niissä ei käytetä makrotaloudellista apua. Googlen mukaan UM on pysähtynyt 100 prosenttia automatisoitujen bottihyökkäysten (suihkuhyökkäykset, tunnistetiedot ja vastaavat automatisoidut menetelmät)
Jos tarkastelet Googlen tutkimuskaavion vasenta alakulmaa, "Suojausavain" -menetelmä pysäytti 100 prosenttia tehokkaasti automaattiset botti-, tietojenkalastelu- ja kohdistetut hyökkäykset.
Joten mikä on "suojausavaimen" menetelmä? Se käyttää puhelimesi sovellusta MFA-koodin luomiseen.
Vaikka "SMS Code" -menetelmä oli myös erittäin tehokas - ja se on ehdottomasti parempi kuin ei ole MFA: ta lainkaan - sovellus on vielä parempi. Suosittelemme Authy , koska se on ilmainen, helppokäyttöinen ja tehokas.
LIITTYVÄT: Kahden tekijän tekstiviestien todennus ei ole täydellinen, mutta sinun pitäisi silti käyttää sitä
2FA: n käyttöönotto kaikille tileillesi
Voit ottaa 2FA: n tai muun tyyppisen MFA: n käyttöön useimmille online-tileille. Löydät asetuksen eri sijainneista eri tileille. Yleensä se on kuitenkin tilin asetusvalikossa kohdassa Tili tai Suojaus.
Onneksi meillä on oppaita, jotka käsittelevät MFA: n ottamista käyttöön joillekin suosituimmille verkkosivustoille ja sovelluksille:
- Amazon
- Apple ID
- Google/Gmail
- Microsoft
- Pesä
- Nintendo
- Rengas
- Löysä
- Höyry
- Viserrys
MFA on tehokkain tapa suojata verkkotilit. Jos et ole vielä tehnyt sitä, ota aikaa ottaa se käyttöön mahdollisimman pian - etenkin kriittisten tilien, kuten sähköpostin ja pankkitoiminnan, osalta.
