Parool üksi ei kaitse e-posti ega veebikontot enam piisavalt. Paroole lekib andmelekete kaudu, neid püütakse õngitsuskirjadega ja paljud kasutavad sama parooli mitmes kohas. Kaheastmeline autentimine (inglise keeles two-factor authentication ehk 2FA, laiemalt multi-factor authentication ehk MFA) lisab sisselogimisele teise kontrolli, mistõttu varastatud paroolist üksi ei piisa. Selles artiklis selgitame, kuidas 2FA töötab, millised meetodid on turvalisemad ja millest alustada.
Mis on kaheastmeline autentimine
Autentimisel kasutatakse kolme tüüpi tõendeid: midagi, mida sa tead (parool või PIN), midagi, mis sul on (telefon, turvavõti või ID-kaart), ja midagi, mis sa oled (sõrmejälg või näotuvastus). Kaheastmeline autentimine tähendab, et sisselogimisel tuleb esitada kaks eri tüüpi tõendit. Kui ründaja saab teada sinu parooli, vajab ta ikkagi ka sinu telefoni või turvavõtit.
Eestis on paljud sellega harjunud ilma seda märkamata: ID-kaardi, Mobiil-ID või Smart-ID kasutamine nõuab nii seadet kui ka PIN-koodi. E-posti, sotsiaalmeedia, veebimajutuse halduspaneeli ja domeeniregistripidaja kontode puhul tuleb aga lisakaitse tavaliselt ise sisse lülitada.
Levinumad 2FA meetodid tugevuse järjekorras
- Turvavõti ja pääsuvõti (passkey). FIDO2 standardil põhinevad füüsilised võtmed ja seadmesse salvestatud pääsuvõtmed on õngitsuse vastu kõige kindlamad, sest võti kontrollib, millisele veebiaadressile vastatakse. Võltsitud sisselogimislehel need lihtsalt ei tööta.
- Autentimisrakendus. Rakendused nagu Microsoft Authenticator, Google Authenticator või avatud lähtekoodiga alternatiivid loovad iga 30 sekundi järel uue kuuekohalise koodi (TOTP standard). Kood tekib telefonis, mitte ei liigu üle mobiilivõrgu.
- Tõukemärguanne. Telefoni ilmub küsimus „Kas see oled sina?“. Meetod on mugav, kuid ründajad on kasutanud märguannete pommitamist, lootes, et kasutaja vajutab lõpuks kogemata kinnitust. Seepärast lisavad paljud teenused nüüd numbri sobitamise.
- SMS-kood. Parem kui ainult parool, kuid kõige nõrgem variant. SMS-i saab kinni püüda näiteks SIM-kaardi vahetuse pettusega, kus kurjategija veenab operaatorit sinu numbrit oma kaardile üle kandma.
USA küberturvalisuse agentuur CISA soovitab eelistada õngitsuskindlaid meetodeid ning käsitleb SMS-i varulahendusena, mitte esimese valikuna.
Milliseid kontosid kaitsta esimesena
Kõike korraga ei pea tegema. Mõistlik on alustada kontodest, mille kaudu saab ligi teistele kontodele või rahale:
- Peamine e-posti konto. Selle kaudu saab lähtestada peaaegu kõigi teiste teenuste paroolid.
- Domeeni- ja veebimajutuse konto. Kui keegi saab ligi domeeni haldusele, võib ta suunata ümber kodulehe ja ettevõtte e-posti.
- Paroolihaldur, kui seda kasutad.
- Sotsiaalmeedia ja ettevõtte reklaamikontod, mida kurjategijad kasutavad sageli petuskeemide levitamiseks.
- Veebipood ja makseteenused.
Kuidas 2FA sisse lülitada
Enamikus teenustes leiad seadistuse menüüst „Turvalisus“ või „Konto seaded“. Tavaliselt kuvatakse QR-kood, mille skaneerid autentimisrakendusega, ning seejärel sisestad rakenduse näidatud koodi kinnituseks. Kohe pärast seda pakub teenus varukoode. Need on ühekordsed koodid, millega saad kontole siseneda, kui telefon kaob või läheb katki.
Varukoodid tasub printida või salvestada paroolihaldurisse ning hoida neid telefonist eraldi. Kui kasutad turvavõtit, on hea registreerida kaks võtit ja hoida teist kindlas kohas. Nii ei jää sa ühe seadme kaotuse tõttu oma kontost ilma.
Levinud eksimused
Esimene eksimus on arvata, et 2FA muudab nõrga parooli turvaliseks. Hea parool on endiselt vajalik, sest see on esimene kaitsekiht. Riigi Infosüsteemi Amet soovitab kasutada pikki paroolifraase ja igas teenuses erinevat parooli.
Teine eksimus on sisestada kood lehele, kuhu jõudsid e-kirjas olnud lingi kaudu. Kaasaegsed õngitsusrünnakud suudavad koodi reaalajas edasi saata, mistõttu kontrolli alati aadressiriba või ava teenus ise järjehoidjast. Kolmas eksimus on kinnitada tõukemärguannet, mida sa ise ei algatanud. Ootamatu sisselogimiskinnitus tähendab enamasti, et kellelgi on sinu parool, ja see tuleb kohe ära vahetada.
Ettevõtte vaade
Väikeettevõttes tasub teha 2FA kohustuslikuks kõigile, kellel on ligipääs e-postile, raamatupidamisele ja veebilehe haldusele. Microsoft 365 ja Google Workspace võimaldavad seda administraatoril keskselt nõuda. Samuti on kasulik kord aastas üle vaadata, kellel on veel ligipääs ning kas lahkunud töötajate kontod on suletud.
NB! Artikkel on üldine teave. Konkreetse teenuse seadistamisel järgi selle teenusepakkuja ametlikku juhendit.