שירותים מקוונים רבים הַצָעָה אימות דו-גורמי , המשפר את האבטחה בכך שהוא דורש יותר מאשר רק את הסיסמה שלך כדי להיכנס. ישנם סוגים רבים ושונים של שיטות אימות נוספות בהן תוכל להשתמש.
שירותים שונים מציעים שיטות אימות דו-גורמיות שונות, ובמקרים מסוימים תוכלו אפילו לבחור בין כמה אפשרויות שונות. כך הם עובדים וכיצד הם נבדלים.
אימות SMS
קָשׁוּר: מהי אימות דו-גורמי ומדוע אני צריך את זה?
שירותים רבים מאפשרים לך להירשם לקבלת הודעת SMS בכל פעם שאתה נכנס לחשבונך. הודעת SMS זו תכיל קוד חד פעמי קצר שתצטרך להזין. עם מערכת זו, הטלפון הנייד שלך משמש כשיטת האימות השנייה. מישהו לא יכול פשוט להיכנס לחשבון שלך אם יש לו את הסיסמה שלך - הוא זקוק לסיסמה שלך וגישה לטלפון שלך או להודעות ה- SMS שלו.
זה נוח, מכיוון שאתה לא צריך לעשות שום דבר מיוחד, ולרוב האנשים יש טלפונים סלולריים. שירותים מסוימים אפילו יתקשרו למספר טלפון ויש להם מערכת אוטומטית שתדבר קוד, ותאפשר לך להשתמש בזה עם מספר טלפון קווי שלא יכול לקבל הודעות טקסט.
עם זאת, יש בעיות גדולות באימות SMS . תוקפים יכולים להשתמש בהתקפות החלפת SIM כדי לקבל גישה לקודים המאובטחים שלך או ליירט אותם הודות לפגמים ברשת הסלולרית. אנו ממליצים שלא להשתמש בהודעות SMS, אם אפשר. עם זאת, הודעות SMS עדיין הרבה יותר מאובטחות מאשר לא להשתמש באימות דו-גורמי בכלל!
קודים שנוצרו על ידי אפליקציות (כמו מאמת Google ו- Authy)
קָשׁוּר: כיצד להגדיר Authy לאימות דו-גורמי (ולסנכרן את הקודים שלך בין התקנים)
אתה יכול גם ליצור את הקודים שלך באמצעות אפליקציה בטלפון שלך. האפליקציה הידועה ביותר שעושה זאת היא Google Authenticator, ש- Google מציעה עבור Android ו- iPhone. למרות זאת, אנחנו מעדיפים את אוטי , שעושה הכל מאמת גוגל עושה - ועוד. למרות השם, האפליקציות הללו משתמשות בתקן פתוח. לדוגמה, ניתן להוסיף חשבונות מיקרוסופט וסוגים רבים אחרים של חשבונות לאפליקציית המאמת של גוגל.
התקן את האפליקציה, סרוק את הקוד בעת הגדרת חשבון חדש, ואפליקציה זו תיצור קודים חדשים בערך כל 30 שניות. יהיה עליך להזין את הקוד הנוכחי המוצג באפליקציה בטלפון שלך וכן את הסיסמה שלך כשאתה נכנס לחשבון.
זה בכלל לא דורש אות סלולרי, וה"זרע "שמאפשר ליישום לייצר את אותם קודים מוגבלים בזמן נשמר רק במכשיר שלך. פירוש הדבר שזה הרבה יותר בטוח, מכיוון שאף מי שיקבל גישה למספר הטלפון שלך או יירט את הודעות הטקסט שלך לא יידע את הקודים שלך.
שירותים מסוימים - למשל, מאמת Battle.net של Blizzard —יש גם אפליקציות ייעודיות להפקת קוד.
מפתחות אימות פיזיים
קָשׁוּר: U2F הסביר: כיצד גוגל וחברות אחרות יוצרות אסימון אבטחה אוניברסלי
מפתחות אימות פיזיים הם אפשרות נוספת שמתחילה להיות פופולרית יותר. חברות גדולות מתחומי הטכנולוגיה והפיננסים יוצרות תקן המכונה U2F , וכבר ניתן להשתמש באסימון U2F פיזי ל- אבטח את חשבונות Google, Dropbox ו- GitHub שלך . זה רק מפתח USB קטן שאתה שם על מחזיק המפתחות שלך. בכל פעם שתרצה להיכנס לחשבונך ממחשב חדש, יהיה עליך להכניס את מפתח ה- USB וללחוץ עליו על כפתור. זהו - ללא קודי הקלדה. בעתיד, התקנים אלה אמורים לעבוד עם NFC ו- Bluetooth לצורך תקשורת עם מכשירים ניידים ללא יציאות USB.
פתרון זה עובד טוב יותר מאשר אימות SMS וקודים חד פעמיים מכיוון שלא ניתן ליירט אותו ולהתעסק איתו. זה גם פשוט ונוח יותר לשימוש. לדוגמה, אתר התחזות יכול להראות לך דף כניסה מזויף של Google וללכוד את קוד השימוש החד פעמי שלך כשאתה מנסה להתחבר. לאחר מכן הם יוכלו להשתמש בקוד זה כדי להיכנס ל- Google. עם זאת, עם מפתח אימות פיזי שעובד יחד עם הדפדפן שלך, הדפדפן יכול להבטיח שהוא מתקשר עם האתר האמיתי ולא ניתן לתפוס את הקוד על ידי התוקף.
מצפה לראות הרבה יותר מאלו בעתיד.
אימות מבוסס אפליקציות
קָשׁוּר: כיצד להגדיר אימות דו גורמי ללא קוד חדש של גוגל
יישומים ניידים מסוימים עשויים לספק אימות דו-גורמי באמצעות האפליקציה עצמה. לדוגמה, גוגל מציעה כעת אימות דו-גורמי ללא קוד כל עוד התקנת אפליקציית Google בטלפון שלך. בכל פעם שאתה מנסה להיכנס ל- Google ממחשב או מכשיר אחר, אתה רק צריך להקיש על כפתור בטלפון שלך, אין צורך בקוד. גוגל בודקת שיש לך גישה לטלפון שלך לפני שתנסה להתחבר.
אימות דו שלבי של אפל עובד באופן דומה, למרות שהוא אינו משתמש באפליקציה - הוא משתמש במערכת ההפעלה iOS עצמה. בכל פעם שאתה מנסה להתחבר ממכשיר חדש, תוכל לקבל קוד חד פעמי שנשלח למכשיר רשום, כמו ה- iPhone או ה- iPad שלך. לאפליקציית המובייל של טוויטר יש תכונה דומה הנקראת אימות התחברות גם כן. בנוסף, גוגל ומיקרוסופט הוסיפו תכונה זו ל גוגל ו מאמת מיקרוסופט אפליקציות לסמארטפונים.
מערכות מבוססות דוא"ל
שירותים אחרים מסתמכים על חשבון הדוא"ל שלך כדי לאמת אותך. לדוגמא, אם תפעיל את Steam Guard, Steam תבקש ממך להזין קוד שימוש חד פעמי שנשלח לדוא"ל שלך בכל פעם שאתה נכנס ממחשב חדש. זה לפחות מבטיח שתוקף יצטרך גם את סיסמת חשבון Steam שלך וגם גישה לחשבון הדואר האלקטרוני שלך כדי לקבל גישה לחשבון זה.
זה לא מאובטח כמו שיטות אימות דו-שלבי אחרות, מכיוון שמישהו יכול לקבל גישה לחשבון הדואר האלקטרוני שלך בקלות, במיוחד אם אינך משתמש בו באימות דו-שלבי! הימנע מאימות מבוסס דוא"ל אם אתה יכול להשתמש במשהו חזק יותר. (למרבה המזל, Steam כן מציעה אימות מבוסס אפליקציה באפליקציה הניידת שלה.)
המוצא האחרון: קודי התאוששות
קָשׁוּר: כיצד להימנע מנעילה בעת שימוש באימות דו-גורמי
קודי שחזור ספק רשת ביטחון במקרה שתאבד את שיטת האימות הדו-גורמית. כאשר אתה מגדיר אימות דו-גורמי, לרוב תקבל קודי שחזור שעליך לרשום ולאחסן במקום בטוח. תזדקק להם אם אי פעם תאבד את שיטת האימות הדו-שלבי שלך.
ודא שיש לך עותק של קודי השחזור שלך איפשהו אם אתה משתמש באימות דו-שלבי.
לא תוכלו למצוא כל כך הרבה אפשרויות לכל אחד מהחשבונות שלכם. עם זאת, שירותים רבים מציעים שיטות אימות דו-שלביות מרובות שתוכלו לבחור בהן.
יש גם אפשרות להשתמש בשיטות אימות דו-גורמיות מרובות. לדוגמה, אם תגדיר אפליקציה יוצרת קוד וגם מפתח אבטחה פיזי, תוכל לקבל גישה לחשבונך באמצעות האפליקציה אם אי פעם תאבד את המפתח הפיזי.
