Двуфакторна автентикация (2FA)
Какво е двуфакторна автентикация (2FA)?
Двуфакторната автентикация (2FA) е вход, при който освен паролата се иска и второ доказателство от различен вид — код от приложение на телефона, физически ключ или пръстов отпечатък. Така откраднатата или налучканата парола сама по себе си не стига. За админ панела на сайт или онлайн магазин това е най-простата защита срещу автоматичното налучкване на пароли и срещу пароли, изтекли от други услуги.
Пример
Онлайн магазин има пет акаунта в админ панела: собственикът, двама служители, счетоводителят и външен дизайнер. Дизайнерът ползва същата парола и в друга услуга, от която година по-рано са изтекли данни. Бот пробва изтекли двойки имейл и парола в стотици сайтове и на входа на магазина една от тях сработва.
Без втори фактор ботът е вътре: вижда поръчките и клиентите и може да смени банковата сметка в настройките. С втори фактор спира на екрана за код. Същото важи за налучкването. Бот, който пробва по една парола на всеки 2 секунди, прави 43 200 опита на ден. Ако акаунтът се заключва за 15 минути след 5 грешни опита, те падат до най-много 480 на ден — 90 пъти по-малко. А с втори фактор и правилната парола не стига.
Защо има значение за бизнеса
Често пробивът в малък сайт не започва с хитра атака, а с парола — слаба, повторена или изтекла. Двуфакторната автентикация затваря точно тази врата, а NIS2 изброява многофакторния вход сред мерките за фирмите в обхвата си. Тя работи най-добре заедно с три правила за паролите на екипа:
- дълга фраза вместо кратка сложна дума — дължината тежи повече от специалните символи;
- отделна парола за всяка система, пазена в мениджър на пароли;
- смяна при съмнение за изтичане, а не по календар на всеки 90 дни.
Най-слабият втори фактор е код по SMS: номерът може да бъде прехвърлен на чужда SIM карта. Приложението за кодове е по-сигурно, а физическият ключ и passkey изобщо не работят на фалшива страница за вход, защото са обвързани с истинския адрес.
Какво да попитате
- Може ли вторият фактор да е задължителен за всеки акаунт с достъп до админ панела, а не само препоръчителен?
- Какво става след няколко грешни опита — заключване, забавяне, известие до администратора?
- Как се възстановява достъпът при изгубен телефон и кой пази резервните кодове?
- Има ли общ акаунт, с който влизат няколко души? Всеки трябва да има свой, с права само за своята работа.
В теста за сигурност на сайта проверяваме слабите пароли и отворените панели — местата, където липсата на втори фактор личи най-напред. Ако сайтът работи с CMS, питайте дали вторият фактор е вграден в системата, или се добавя с разширение.