Στην εποχή που ένα σημαντικό κομμάτι της ζωής μας -αν όχι το μεγαλύτερο και το σημαντικότερο- εκτυλίσσεται online, η θωράκιση των δεδομένων μας θα πρέπει να είναι το Α και το Ω για όλους μας. Οι εποχές που χρησιμοποιούσαμε για κωδικό την ημερομηνία γέννησης ή κάτι άλλο εξίσου εύκολο έχουν παρέλθει ανεπιστρεπτί. Οι καιροί που ένα σετ email/κωδικού ήταν αρκετό για κάθε site και online υπηρεσία, το ίδιο. Κάποιοι θα υποστηρίξουν πως τα παραπάνω αντιμετωπίζονται εύκολα με μία λύση διαχείρισης κωδικών όπως το Dashlane ή το Last Pass η οποία μεταξύ άλλων μπορεί να δημιουργήσει τυχαίους, πολύπλοκους κωδικούς χρησιμοποιώντας γράμματα, αριθμούς και σύμβολα, όμως ακόμα και αυτές οι πλατφόρμες «σπάνε». Εδώ είναι λοιπόν που έρχεται να δώσει τη λύση το 2FA. Πάμε να δούμε:
Τι είναι το 2FA;
Το 2FA ή Two-factor Authentication (Πιστοποίηση Δύο Παραγόντων, για να αποδώσουμε τον όρο στα Ελληνικά) αποτελεί μία ασφαλή μέθοδο ταυτοποίησης ενός χρήστη. Επί της ουσίας, προσθέτει ένα έξτρα επίπεδο ασφαλείας αφού πέραν του ονόματος χρήστη και του κωδικού πρόσβασης (πρώτο επίπεδο), ζητά έναν ακόμα τρόπο ταυτοποίησης (δεύτερο επίπεδο). Αυτός, όπως θα δούμε αργότερα, είναι συνήθως ένας μοναδικός κωδικός ο οποίος δημιουργείται ή αποστέλλεται με τον τρόπο που έχει επιλέξει ο χρήστης. Το 2FA είναι ένα είδος MFA ή Multi-factor Authentication: η δεύτερη διαδικασία ενδεχομένως να περιλαμβάνει περισσότερους από δύο τρόπους ταυτοποίησης (τουτέστιν, κάθε τύπος 2FA είναι MFA, όμως δεν ισχύει απαραίτητα και το αντίστροφο).
Αν και η χρήση του 2FA έχει εδραιωθεί την τελευταία δεκαετία, ως απόρροια της διείσδυσης του διαδικτύου στις ζωές μας, η τεχνολογία στην οποία βασίζεται αυτό υπάρχει από αρκετά παλιότερα. Οι πρώτες αναφορές για χρήση 2FA φτάνουν ως και τις αρχές της δεκαετίας του '90 με τον προκάτοχό του ονόματι SecurID, μία συσκευή στο μέγεθος μπρελόκ με οθόνη LCD στην οποία εμφανίζονταν μοναδικοί κωδικοί (ένα σύστημα που αργότερα υιοθετήθηκε από τις τράπεζες) να πιστώνεται στην αμερικανική εταιρεία ασφαλείας δικτύων RSA και να χρησιμοποιείται από το 1986. Σήμερα βέβαια τα «μηχανάκια» που είχαμε πριν χρόνια για να συνδεόμαστε στο e-banking μας, όταν αυτό έκανε τα πρώτα του βήματα, έχουν αντικατασταθεί από authenticator apps αλλά και αυτά των τραπεζών που πρακτικά κάνουν την ίδια δουλειά.
Η λογική πίσω από το 2FA είναι απλή. Ακόμα κι αν κάποιος μαντέψει, υποκλέψει ή τέλος πάντων «σπάσει» έναν συνδυασμό ονόματος χρήστη και κωδικού ασφαλείας, το σύστημα ελαχιστοποιεί τις πιθανότητες μη εξουσιοδοτημένης πρόσβασης ζητώντας έναν δεύτερο κωδικό ο οποίος προκύπτει από μία άλλη συσκευή ή πλατφόρμα. Αυτός είναι μίας χρήσης, έχει περιορισμένη διάρκεια και μπορεί να δημιουργείται on the fly από ένα ειδικό token ή μία εφαρμογή, να αποστέλλεται με SMS, να απαιτεί φωνητική καταχώρηση ή ακόμα και να απαιτεί βιομετρική ταυτοποίηση (δακτυλικό αποτύπωμα ή σάρωση αμφιβληστροειδούς). Απ’ όλους τους προαναφερθέντες τρόπους πάντως, το γραπτό μήνυμα SMS θεωρείται ως ο πιο λειτουργικός, αφού απαιτεί κινητό τηλέφωνο και άρα διασφαλίζει σε μεγάλο βαθμό τη φυσική επιβεβαίωση του χρήστη.
Τα πλεονεκτήματα του 2FA
Αν διάβασες με προσοχή τα παραπάνω, τότε θα έχεις αντιληφθεί λογικά την αξία και τη σημασία του 2FA. Τα πλεονεκτήματά του άλλωστε δεν γίνεται να περάσουν απαρατήρητα αφού ωφελούν τόσο τις επιχειρήσεις, όσο και τους χρήστες/καταναλωτές. Συνοψίζονται δε στα κάτωθι:
Αυξημένη ασφάλεια: Φαντάσου πως με το 2FA είναι σαν να χρησιμοποιείς μία δεύτερη, πιο πολύπλοκη αλυσίδα με λουκέτο για να ασφαλίσεις το ποδήλατό σου. Ακόμα κι αν κάποιος καταφέρει να παραβιάσει την πρώτη, θα έχει ακόμα πολλή δουλειά να κάνει -δίνοντάς σου τη δυνατότητα στο μεσοδιάστημα να ανακτήσεις τον έλεγχο του λογαριασμού σου. Ακόμα κι αν κάποιος μαντέψει τον κωδικό σου για το δίκτυο της εταιρείας σου ή το προσωπικό σου email, το σύστημα θα του ζητήσει κάτι ακόμα προκειμένου να τον αφήσει να συνδεθεί. Αυτό το «κάτι ακόμα» δεν θα μπορέσει να το αποκτήσει και έτσι το μόνο που θα κάνει θα είναι μία τρύπα στο νερό.
Περιορισμός μη εξουσιοδοτημένων χρεώσεων: Ο μεγαλύτερος τρόμος όλων όσοι χρησιμοποιούσαν για χρόνια τις κάρτες τους online, ήταν μην τυχόν και μία ωραία πρωία διαπιστώσουν ότι κάποιος είχε «φουσκώσει» τους λογαριασμούς τους με χρεώσεις-φαντάσματα. Το 2FA έρχεται να δώσει λύση στο θέμα αυτό. Η τράπεζα μπορεί να ζητά από τον χρήστη να εισάγει έναν μοναδικό κωδικό που θα λαμβάνει με SMS στο κινητό του ή θα δημιουργεί μέσα από το app της, κάθε φορά που θα χρησιμοποιεί την κάρτα του online. Ακόμα κι αν κάποιος την έχει βγάλει φωτογραφία δηλαδή, δεν θα είναι σε θέση να ολοκληρώσει καμία συναλλαγή χωρίς τον κωδικό αυτό.
Μεγαλύτερη ευκολία: Έρευνα του NordPass το 2021 έδειξε ότι ο μέσος χρήστης του διαδικτύου έχει τουλάχιστον 100 κωδικούς πρόσβασης. Πόσα να θυμηθεί πια ο εγκέφαλος… Το πρόβλημα που δημιουργείται εδώ, είναι πως χρησιμοποιώντας τα ίδια σετ (ζευγάρια, αν προτιμάς) email/ονόματος χρήστη και κωδικού ασφαλείας, αυξάνονται γεωμετρικά οι πιθανότητες μη εξουσιοδοτημένης πρόσβασης σε κάποια πλατφόρμα ή υπηρεσία. Χώρια που είναι αδύνατον να θυμάται κανείς τόσους διαφορετικούς κωδικούς. Το 2FA μέσω των κωδικών μίας χρήσης (one-time password ή OTP) έρχεται να απλοποιήσει τη διαδικασία σύνδεσης.
Οι τύποι του 2FA
Συνήθως μία υπηρεσία προσφέρει στους χρήστες της μία ή το πολύ δύο μεθόδους ταυτοποίησης προκειμένου να επιλέξουν εκείνη που τους βολεύει περισσότερο. Οι πέντε που χρησιμοποιούνται κατά κόρον στο 2FA είναι οι ακόλουθες.
Φυσικό token: Απαιτείται μία φυσική συσκευή, ο ρόλος της οποίας είναι η δημιουργία μοναδικών κωδικών ασφαλείας. Πρόκειται για τη μέθοδο που είχαν επιλέξει οι τράπεζες τα πρώτα χρόνια του e-banking.
Κωδικός μέσω app: Ο χρήστης καλείται να εισάγει έναν τυχαίο, μοναδικό κωδικό που δημιουργείται είτε μέσω του app της εταιρείας/οργανισμού, είτε μέσω ενός authentication app (Authy, Google Authenticator, Microsoft Authenticator κ.α.)
Αποστολή SMS: Η ταυτοποίηση του χρήστη γίνεται με χρήση κωδικού που αποστέλλεται στο κινητό του τηλέφωνο με γραπτό μήνυμα.
Ειδοποίηση push: Ο χρήστης λαμβάνει ένα μήνυμα με τη μορφή ειδοποίησης push που του ζητά να επιβεβαιώσει την ταυτότητά του. Είναι ο τρόπος που πιστοποιεί τη σύνδεση στο iCloud η Apple και η Valve στο Steam.
Φωνητική επιβεβαίωση: Το σύστημα καλεί στο τηλέφωνο τον χρήστη από τον οποίο ζητά είτε να πατήσει ένα συγκεκριμένο πλήκτρο, είτε να πει το όνομά του.
2FA: Δεν σηκώνει αναβολή
Μετά και τα παραπάνω, θεωρούμε ότι οφείλεις να έχεις αντιληφθεί πλέον τον τρόπο με τον οποίο το 2FA μπορεί να θωρακίσει τα δεδομένα σου. Τι πρέπει να κάνεις; Να «σαρώσεις» τις εφαρμογές, τις πλατφόρμες και τις υπηρεσίες που χρησιμοποιείς έτσι ώστε να διαπιστώσεις ποιες εξ αυτών υποστηρίζουν 2FA και να το ενεργοποιήσεις. Μην ξεχνάς να κρατάς σε κάθε περίπτωση τις συσκευές σου ενημερωμένες με τις πιο πρόσφατες εκδόσεις λογισμικού τους κι αν σε κάτι απ’ όλα αυτά κολλήσεις, μην αγχωθείς: ο ΓΕΡΜΑΝΟΣ και το G Service είναι εδώ προκειμένου να σου λύσουν κάθε απορία και να σε βοηθήσουν να διατηρήσεις δεδομένα και λογαριασμούς ασφαλείς!
