Sikkerhetswatch: hvordan du ikke blir låst med to-faktor autentisering | maks virvel

Sikkerhetsverktøy skaper ofte en viss mengde angst. Hva skjer hvis jeg mister passordet mitt? Eller hvis antiviruset mitt sletter tingene mine? Ankomsten av tofaktorautentisering har skapt en ny vri på en kjent angst: hva skjer hvis jeg ikke kan bruke den andre faktoren og blir låst utenfor kontoen?

Jeremy fra Capetown skrev inn med noen få bekymringer for 2FA. Jeg har redigert brevet hans for kortfattethet.

Kjære herr, Jeg er ikke for teknisk og vil ha en tofaktors autentiseringsenhet som ikke får vanskelige komplikasjoner når du konfigurerer eller får tilgang til slik du har møtt med Yubikey. Min største frykt er å låse meg utenfor Gmail-en min.

Er det bedre å kjøpe to nøkler, med en som sikkerhetskopinøkkel?

Vennlig hilsen, Jeremy

I tilfelle du ikke har hørt om tofaktorautentisering, eller 2FA, er her viktigheten: 2FA er en andre handling du tar etter at du har angitt passordet ditt for å bekrefte identiteten din. Tanken er at en angriper kan ha passordet ditt, men de vil ikke ha sikkerhetsnøkkelen, autentiseringsappen eller SMS-koden. Det er en hel teori og praksis for 2FA som jeg ikke vil komme inn på her, men jeg oppfordrer deg til å og aktivere 2FA der du kan.

Jeremy er i godt selskap i sin bekymring over 2FA. Mange teknisk kyndige og sikkerhetsbevisste mennesker jeg kjenner, fortsetter å unngå tofaktorbeskyttelse fordi de er redde for å bli låst ute og kanskje mister tilgangen til tingene deres for alltid. Det er en reell og gyldig bekymring.

Leser, det skjedde for meg

Jeg har faktisk blitt låst ute av 2FA-beskyttede kontoer før. Mer enn en gang. Tilbake på dagen var Blizzard et av de første selskapene som tilbyr tofaktorautentisering. World of Warcraft-spillere fikk tilgang først, siden de trengte å beskytte sin hardt tjente tyvegods. Du husker kanskje folk som gikk rundt med WoW-nøkkelringer som viste skiftende siffer på en LCD. Blizzard foredlet senere opplevelsen til en mobilapp, og rullet ut 2FA til alle Battle.net-brukere.

Som den paranoide personen som jeg er, aktiverte jeg 2FA på Blizzard-kontoen min ved å bruke den spesielle Blizzard Authenticator-appen. Jeg glemte umiddelbart at jeg hadde gjort dette, og i de mellomliggende månedene, slettet appen fra telefonen min og glemte passordet mitt. Heldigvis har Blizzard utmerket kundeservice. Noen få e-postmeldinger med sine joviale medarbeidere hadde meg tilbake online om noen dager. Det var likevel nervepirrende. Jeg var så vant til å kunne håndtere mine egne tilbakestillinger av passord, og ideen om å måtte engasjere seg med et faktisk levende menneske som en del av denne prosessen føltes, vel, veldig merkelig.

Jeg har siden blitt mer vant til opplevelsen, og jeg har lært å være smartere med å holde autentisatoren min trygg. Jeg har fremdeles klart å bli låst utenfor Battle.net gjentatte ganger, i tillegg til Steam og andre tjenester.

Avhengig av hvordan et selskap konfigurerer 2FA-tilbudet, kan det hende du trenger å bøye deg bakover for å få kontroll over kontoen din. Så irriterende som det høres ut, betyr det faktisk at tjenesten fungerer. Du må hoppe gjennom mange ringer hvis du ikke har autentisatoren. Hvis det var lett for deg, ville det være lett for en dårlig fyr.

Multipliser faktorene dine

Heldigvis er det en enkel måte å forhindre at du blir låst av 2FA: bruk flere 2FA-alternativer. Disse kan fungere som en sikkerhetskopi i tilfelle du ikke har tilgang til et annet 2FA-alternativ. For eksempel bruker jeg en YubiKey 5 NFC med Google-kontoene mine, men jeg aktiverte også å banke på en bekreftelses pushvarsling på telefonen min. Hvis jeg ikke har min Yubikey, bruker jeg den i stedet.

Å legge til flere multifaktorenheter øker risikoen for at kontoen din kan bli kompromittert. Nå er det to måter å komme inn på kontoen din i stedet for bare en. Jeg tror at fordelene ved å ikke være låst fra kontoen din i stor grad oppveier det høyst usannsynlige scenariet der du er tappet, og at perpene tar lommeboken, nøklene og sikkerhetsnøkkelen, og har deg også til å skrive ut passordet ditt.

Google Titan Security Key-pakken.

Den beste godkjenningen av å bruke mer enn en 2FA-enhet kommer fra Google, som inneholder to nøkler i Titan Key-pakken. Disse ble laget spesielt for å jobbe med Googles Advanced Protection-system, som krever at du registrerer to separate sikkerhetsnøkler. Du bruker en hver dag, og du legger den andre bort i nødstilfeller. Så for å svare direkte på Jeremys spørsmål: Det er ikke en dårlig idé å ha to nøkler til kontoen din.

Dessverre lar ikke alle nettsteder deg registrere mer enn ett multifaktoralternativ. Hvis det er tilfelle, anbefaler jeg å bruke 2FA-alternativet som du mener er mest pålitelig for deg.

Bygg din autentiseringsenhet Arsenal

Hvis du velger å kjøpe flere maskinvarenøgler 2FA-nøkler, anbefaler jeg enten Editors 'Choice Security Key av Yubico eller Titan Key-pakken fra Google. Yubicos sikkerhetsnøkkel koster bare $ 20 hver, eller $ 36 for to. Googles pakke koster $ 50 og inkluderer to enheter: en USB-nøkkel og en batteridrevet Bluetooth-dongle.

Sikkerhetsnøkkelen av Yubico

I årevis var den vanligste måten å bruke 2FA å sende engangskoder til telefonen din via tekstmelding. Du må sannsynligvis fortsatt bruke dette med banken din, siden finansinstitusjoner har en tendens til å ta i bruk nye teknologier saktere. Google krever interessant nok at du aktiverer SMS-koder hvis du vil bruke andre 2FA-systemer. Til Jeremys spørsmål betyr det at når du skal registrere den nye sikkerhetsnøkkelen din hos Google, må du allerede aktivere et annet 2FA-alternativ i form av SMS-koder.

Et annet alternativ er å bruke Google Authenticator, eller en lignende app som LastPass Authenticator. Disse mobilappene genererer sekssifrede passordkoder hvert 30. sekund. Bare åpne appen, kopier koden, og du er i. Disse er spesielt nyttige som et 2FA-alternativ for sikkerhetskopi, fordi appen fungerer selv uten mobiltjeneste eller Wi-Fi.

Hvis alle de virker bekymringsfulle, kan du bruke min foretrukne metode: fysiske sikkerhetskopikoder. Du har kanskje sett disse når du oppretter kontoer, eller registrerte deg i 2FA. Det er et rutenett med flere tall som du kan bruke i stedet for et passord og 2FA-symboler. De blir generert bare én gang, og hvis du genererer dem på nytt, blir de gamle kastet ut. Ideelt sett vil du sikre disse i et kryptert filhvelv, eller enda bedre, på et stykke papir som er gjemt på et trygt sted.

Da den opprettet Advanced Protection-programmet, valgte Google flere maskinvarenøkler fordi alle de andre alternativene jeg listet over - inkludert sikkerhetskopikoder - potensielt kunne fanges opp med en godt laget phishing-side. Det er mye vanskeligere å snakke om en sikkerhetsnøkkel.

• To-faktor autentisering: Hvem har det og hvordan konfigurerer det to-faktor autentisering: Hvem har det og hvordan konfigurerer det
• Hvorfor bruker du ikke tofaktorautentisering? Hvorfor bruker du ikke tofaktorautentisering?
• Google: Phishing-angrep som kan slå to-faktor er på vei opp Google: Phishing-angrep som kan slå to-faktor er på vei opp

Husk at ikke alle nettsteder støtter alle slags autentisatorer. LastPass lar deg for eksempel bruke sikkerhetsnøkler, men bare nøkler som støtter engangskode. Å finne ut hvilke autentisatorer som skal brukes er ofte en funksjon av hvilke alternativer som støttes.

De første trinnene for tofaktorautentisering

Når det er sagt, anbefaler jeg at alle som er nye på 2FA prøver det med et annet system enn sikkerhetsnøkler først. Hvis du ikke er vant til å ha den andre tingen rundt deg for å logge på, er det mer sannsynlig at du roter med noe så ukjent som en sikkerhetsnøkkel. Prøv i stedet å bruke pushvarsler, koder sendt via tekstmelding, Duo eller Google Authenticator (eller lignende kodegenerator). Disse bruker enhetene du allerede har, så det er ingen kostnad å oppgi. Når du er kjent med hvordan 2FA fungerer, og det begynner å føles som andre natur, kan du tenke på å plonke ned pengene for en sikkerhetsnøkkel (er).

En sikkerhetsfunksjon er bare verdifull hvis du faktisk bruker den. Gjør det mulig for 2FA, men gi deg tillatelse til å leke med den og finne en metode som fungerer for deg.