Hasło, które już ktoś zna

Wystarczy jeden wyciek danych z serwisu, z którego korzystał pracownik, żeby jego hasło do poczty firmowej trafiło na sprzedaż w sieci. Ludzie wciąż używają tych samych albo bardzo podobnych haseł w wielu miejscach, więc atak na jeden serwis często otwiera drzwi do zupełnie innego systemu. W małej firmie, kancelarii notarialnej czy placówce zdrowia to konkretne ryzyko: dostęp do poczty albo do bazy klientów, nie jakieś abstrakcyjne zagrożenie z nagłówków gazet.

Samo hasło, nawet długie i skomplikowane, chroni tylko do momentu, w którym ktoś je pozna. A zna je więcej podmiotów niż zwykle zakładamy: serwis, w którym je ustawiliśmy, i przeglądarka, która je zapamiętała. Uwierzytelnianie dwuskładnikowe dokłada drugi warunek logowania, coś, czego atakujący nie zdobędzie razem z wyciekiem hasła.

Jak działa drugi składnik

Idea jest prosta. Do zalogowania trzeba podać hasło, czyli coś, co się wie, oraz dodatkowo coś, co się ma: najczęściej telefon z aplikacją generującą kody albo fizyczny klucz sprzętowy wpinany do komputera. Bez tego drugiego elementu samo hasło nie wystarcza do wejścia na konto.

Wiadomości SMS z kodem też liczą się jako drugi składnik, ale są najsłabszym wariantem: da się je przechwycić przez podmianę karty SIM. Aplikacje generujące kody, na przykład Google Authenticator albo Microsoft Authenticator, są znacznie odporniejsze i nie wymagają zasięgu sieci komórkowej. Klucze sprzętowe typu YubiKey dają jeszcze wyższy poziom ochrony, w małej organizacji rzadko są jednak niezbędne od razu, aplikacja na telefonie wystarczy na start.

Od czego zacząć

Nie trzeba włączać uwierzytelniania dwuskładnikowego wszędzie naraz. Najpierw poczta firmowa: to przez nią najczęściej resetuje się hasła do innych systemów, więc jej przejęcie otwiera dostęp do reszty. Zaraz potem panel bankowości firmowej, tam kręcą się pieniądze, które najbardziej interesują przestępców.

W kolejnym kroku warto objąć systemy z danymi klientów albo pacjentów: CRM albo oprogramowanie do umawiania wizyt. W kancelarii notarialnej to repozytorium aktów i danych stron czynności, w organizacji pozarządowej baza darczyńców. Wszędzie tam wyciek konta administratora oznacza problem, który trudno odkręcić.

Częste błędy

Najczęstszy błąd to włączenie drugiego składnika logowania na jednym koncie administratora i uznanie tematu za zamknięty, podczas gdy inni pracownicy z dostępem do tych samych systemów logują się nadal samym hasłem. Drugi błąd to brak planu na sytuację, w której ktoś zgubi telefon z aplikacją do kodów: bez zapasowych kodów odzyskiwania, zapisanych w bezpiecznym miejscu, taka osoba zostaje odcięta od własnego konta.

Zdarza się też, że firma wybiera weryfikację przez SMS wszędzie tam, gdzie system oferuje wybór metody, bo to najprostsza opcja do skonfigurowania. To lepsze niż nic, ale tam gdzie dostępna jest aplikacja albo klucz sprzętowy, warto sięgnąć po nie zamiast po kod tekstowy.

Jak to wygląda w praktyce

Wdrożenie zwykle zajmuje jedno spotkanie zespołu i telefon każdej osoby. Administrator włącza wymóg logowania dwuskładnikowego w panelu poczty i pozostałych wskazanych wcześniej systemów, każdy pracownik instaluje aplikację uwierzytelniającą i skanuje kod QR przy pierwszym logowaniu po zmianie. Od tego momentu logowanie wymaga hasła i kodu z telefonu, cały proces trwa kilka sekund dłużej niż wcześniej.

Warto od razu wygenerować i zapisać kody zapasowe dla każdego konta, w miejscu innym niż sam telefon, na przykład w managerze haseł. To zabezpieczenie na wypadek awarii albo zgubienia urządzenia. Bez niego pojedynczy problem z telefonem zamienia się w blokadę dostępu do całej firmy.

Koszt zaniechania

Włączenie uwierzytelniania dwuskładnikowego nie kosztuje nic poza czasem na konfigurację, a znacząco podnosi próg wejścia dla kogoś, kto zdobył samo hasło. Nie eliminuje wszystkich zagrożeń: phishing wciąż może nakłonić pracownika do podania kodu razem z hasłem na fałszywej stronie. Odcina za to najprostszą i najczęstszą drogę przejęcia konta, czyli wyciek albo odgadnięcie hasła bez żadnej dodatkowej bariery. W firmie, która przetwarza dane klientów, pacjentów albo stron czynności notarialnych, to jedna z tańszych decyzji o dużym znaczeniu dla bezpieczeństwa.