Slaptažodį galima pavogti, nukopijuoti ar atspėti, ir sukčiams dažnai jo užtenka, kad perimtų el. paštą ar kitas paskyras. Daugiafaktorė autentifikacija šią spragą užtaiso: vien slaptažodžio prisijungti nebepakanka.
Kaip ši apsauga veikia, kurias paskyras saugoti pirmiausia ir ką daryti netekus telefono, pasakoja slaptažodžių tvarkyklės „NordPass“ ir ją vystančios bendrovės „Nord Security“ produktų vadovas Karolis Arbačiauskas.
Ne tik raktas, bet ir dokumentas
„Įsivaizduokite, kad slaptažodis yra jūsų banko seifo raktas. Problema ta, kad šį raktą galima pavogti, nukopijuoti ar atspėti“, – sakė K. Arbačiauskas.
Daugiafaktorė, arba kelių veiksnių, autentifikacija (angl. MFA) prideda papildomą apsaugos lygį – tapatybės patvirtinimą: „Vaizdžiai kalbant, kai ateinate į banką ir norite atrakinti savo seifą, turite turėti ne tik raktą, bet ir asmens dokumentą, patvirtinantį, kad jūs esate jūs.“ Internete tai reiškia, kad suvedus slaptažodį prisijungimą dar reikia patvirtinti telefone gautu kodu, piršto antspaudu ar autentifikavimo programėle.
Ši apsauga vienodai svarbi, kad ir kokiu įrenginiu jungtumėtės. „Viskas, ką reikia žinoti sukčiams, yra jūsų slaptažodis. Jiems vis vien, ar jungiatės telefonu, ar kompiuteriu – slaptažodis juk tas pats“, – pabrėžė ekspertas, kviesdamas įsivaizduoti situaciją, kai jūsų el. pašto adresas ir slaptažodis nutekėjo per incidentą interneto parduotuvėje.
Pasak jo, neretai daugybė žmonių skirtingoms paskyroms naudoja tą patį ar labai panašų slaptažodį, todėl be MFA piktavaliams prisijungti prie jūsų pašto iš kito žemyno labai paprasta. „Jis gali perimti visas jūsų paskyras tiesiog siųsdamas slaptažodžių keitimo ar atkūrimo prašymus. Tačiau su MFA jam nepavyksta prisijungti, o jūs gaunate pranešimą apie bandymą prieiti prie jūsų paskyros ir suprantate, kad laikas keisti slaptažodį“, – perspėjo K. Arbačiauskas.
Kurį būdą rinktis ir kur jį įjungti
Pasak eksperto, nors kodai, siunčiami SMS žinutėmis, daugeliui yra patogiausias būdas, kartu jis yra ir pats silpniausias saugumo požiūriu: „Tokią žinutę galima perimti klonavus SIM kortelę arba apgavus operatorių, kad šis perkeltų jūsų numerį į sukčių kortelę.“
Autentifikavimo programėlės („Google Authenticator“, „NordPass Authenticator“) kodus generuoja pačiame įrenginyje ir yra gerokai saugesnės.
Biometrika – piršto atspaudas ar veido atpažinimas – patogi ir saugi, nes nėra kodo, kurį būtų galima pavogti.
Fiziniai saugumo raktai, pasak K. Arbačiausko, yra „tvirčiausia siena“, kadangi USB raktus, asmens tapatybės korteles ar darbo pažymėjimus su lustais sukčiai iš esmės gali apeiti tik juos fiziškai pavogę.
MFA pirmiausia reikėtų įjungti el. pašte. „Tai jūsų skaitmeninio gyvenimo vartai, nes per el. pašto paskyrą galima atkurti (arba perimti) visas kitas paskyras“, – aiškino K. Arbačiauskas, pridurdamas, kad mokėti nereikia – tai nemokama funkcija.
Toliau vertėtų apsisaugoti bankininkystės ir finansų programėles, slaptažodžių tvarkyklę, darbo paskyras ir socialinius tinklus.
Ši funkcija paprastai slepiasi paskyros nustatymuose: atsidarius „Nustatymus“, reikia rasti skiltį „Saugumas“, o joje – „Kelių veiksnių autentifikacija“.
Keli įrenginiai ir atsarginis raktas
Funkcija „prisiminti šį įrenginį“, anot eksperto, „yra gana saugi ir patogi, bet tik asmeniniame telefone ar kompiuteryje, prie kurio prieigą turite tik jūs“. Bendrai naudojamuose šeimos, bibliotekų, viešbučių, draugų ar skolintuose įrenginiuose ja naudotis nereikėtų: ten visada prisijunkite ir atsijunkite, o antrąjį faktorių patvirtinkite kas kartą.
Kad netekę telefono neprarastumėte prieigos, įjungdami MFA išsaugokite atsarginius atkūrimo kodus – vienkartinius kodus, leidžiančius prisijungti, kai pagrindinė priemonė nepasiekiama. Jų nereikėtų laikyti nešifruotų (pvz., ekrano nuotraukos) tame pačiame įrenginyje, kuriuo naršote: juos gali nugvelbti sukčiai, o netekę įrenginio neteksite ir kodų.
„Geriausi būdai saugiai laikyti atkūrimo kodus – išsaugoti juos slaptažodžių tvarkyklėje arba atsispausdinti ir pasidėti į saugią vietą namuose“, – patarė K. Arbačiauskas.
Apgaunamas žmogus, ne technologija
Ar sukčiai gali apeiti MFA? „Gali, bet „apeinamas“ žmogus, o ne technologija“, – teigė K. Arbačiauskas.
Vienas triukas – MFA bombardavimas, kai siunčiama dešimtys patvirtinimo prašymų, tikintis, kad pavargsite ir paspausite „patvirtinti“. Kitas – apsimetinėjimas techninės pagalbos specialistais, prašančiais perskaityti kodą.
„Taisyklė paprasta: jei gavote prisijungimo patvirtinimo pranešimą, kurio neinicijavote, – tai greičiausiai sukčiai. Atmeskite ir pakeiskite slaptažodį. Kodo niekam niekada nediktuokite telefonu – tikrų institucijų darbuotojai to niekada neprašo“, – pabrėžė jis.
Ekspertas siūlo pradėti nuo trijų paprastų žingsnių: įjungti MFA el. pašte ir banko programėlėje – „užtruksite vos penkias minutes“. Tuomet patikrinti, ar nenaudojate vienodų ar panašių slaptažodžių keliose paskyrose, ir išsaugoti atkūrimo kodus saugioje vietoje.
Karolina BALČIŪNAITĖ
Projektą iš dalies finansuoja Medijų rėmimo fondas
