Dvoufázové ověření: co to je, které metody zvolit a jak ho zapnout

Dvoufázové ověření (2FA) je podle slovníku Policie ČR dodatečná vrstva zabezpečení, která kromě hesla vyžaduje ještě druhý způsob ověření; vícefaktorové ověření (MFA) používá dva nebo více nezávislých způsobů. Druhým krokem bývá potvrzení v mobilní aplikaci, jednorázový kód nebo hardwarový bezpečnostní klíč. I kdyby útočník získal vaše heslo, bez druhého ověření se do účtu podle policie většinou nedostane. Policie proto radí zapnout ho všude, kde je dostupné.

Názvy se liší. Apple mluví o dvoufaktorovém ověřování, Google o dvoufázovém ověření a Microsoft o dvoustupňovém ověřování. Jde o stejnou ochranu. No More Ransom připomíná, že u některých služeb je zapnutá automaticky, u jiných ji musíte zapnout sami v nastavení zabezpečení účtu.

Už ho používáte: v bankovnictví a u Identity občana

Zákon o platebním styku podle ČNB ukládá bankám použít silné ověření uživatele, když platbu zadáváte přes internet nebo mobilní bankovnictví. Silné ověření obsahuje jednorázové prvky, které platbu propojují s přesnou částkou a konkrétním příjemcem; nejčastěji jde o mobilní aplikaci s otiskem prstu, případně o PIN a kód z SMS. Dvoufaktorová je i státní NIA ID, která kombinuje jméno, heslo a jednorázový SMS kód. K Identitě občana se lze přihlásit také Mobilním klíčem eGovernmentu, občanským průkazem s čipem nebo identifikačním prostředkem banky.

Které metody jsou nejbezpečnější?

• Kód z SMS nebo hovoru: lepší než nic, ale Google upozorňuje, že kódy posílané přes SMS nebo hovory mohou být zranitelné vůči útokům založeným na telefonním čísle. Microsoft u osobních účtů postupně ukončuje SMS jako metodu ověření a obnovení.
• Ověřovací aplikace, například Google Authenticator nebo Microsoft Authenticator: vytváří jednorázové kódy i bez internetu a mobilního signálu.
• Výzva v telefonu: Google doporučuje své Výzvy od Googlu, protože klepnout na výzvu je snazší než opisovat kód a pomáhají chránit i před výměnou SIM karty.
• Přístupový klíč: nahrazuje heslo a přihlašujete se otiskem prstu, obličejem nebo zámkem obrazovky. Apple ho popisuje jako odolný vůči phishingu; podle Googlu přístupové klíče existují jen v zařízeních, nelze je nikam zapsat, a proto je nemůžete omylem předat útočníkovi.
• Hardwarový bezpečnostní klíč: malé zařízení, které připojíte k telefonu nebo počítači. Spolu s přístupovými klíči chrání podle Googlu účet před phishingem.

Přístupové klíče se u Applu synchronizují mezi vašimi zařízeními přes Klíčenku na iCloudu, která je chráněná koncovým šifrováním. Každý účet Apple, který Klíčenku na iCloudu používá, musí mít zapnuté dvoufaktorové ověřování; kdo ho nemá a chce si vytvořit přístupový klíč, bude k jeho nastavení automaticky vyzván. U Googlu vytvoření přístupového klíče ve výchozím stavu nastaví přihlašování bez hesla; pokud chcete nejdřív zadávat heslo, můžete to v nastavení účtu změnit.

Jak dvoufázové ověření zapnout

• Účet Apple: Nastavení > [vaše jméno] > Přihlášení a zabezpečení a zapněte dvoufaktorové ověřování. Většina účtů ho už používá; pokud jste ho zapnuli nedávno, můžete úroveň zabezpečení do dvou týdnů snížit.
• Účet Google: v účtu Google klepněte na Bezpečnost a přihlašování a v sekci „Jak se přihlašujete do Googlu“ vyberte Zapnout dvoufázové ověření. Než Google začne novému telefonnímu číslu důvěřovat, může to trvat až 7 dní.
• Účet Microsoft: na account.microsoft.com/security vyberte Spravovat způsob přihlášení a v části Další zabezpečení a Dvoustupňové ověření zvolte Zapnout.
• Kde začít: policie radí chránit hlavně primární e-mail, jedinečným silným heslem i vícefaktorovým ověřením. Kdo se do něj dostane, může přes obnovu hesla ovládnout i další služby, včetně sociálních sítí.

Pozor: i druhý krok se dá zneužít

Podvodníci se dnes snaží, abyste druhý krok potvrdili za ně. ČNB v září 2024 upozornila, že podvodů s vícefaktorovou autentizací přibývá: oběti samy v bankovnictví potvrdí podvodnou platbu, často po žádosti, o kterou si vůbec neřekly. Pokud potvrdíte ověření, které vyvolal podvodník, může to být podle ČNB posouzeno jako hrubá nedbalost a ztrátu pak nesete v plném rozsahu. Policie radí zamyslet se pokaždé, když něco schvalujete, a upozorňuje na trend falešných přihlášení do portálu státní správy bankovními údaji. Při přihlašování přes Identitu občana musí být v adresním řádku vždy doména nia.identita.gov.cz.

Jak se z účtu nezamknout

• Mějte víc než jednu možnost ověření. Microsoft upozorňuje, že když přijdete o jediný způsob kontaktu, obnovení přístupu může trvat až 30 dnů, a doporučuje mít k účtu přidružené tři bezpečnostní údaje.
• Vytiskněte nebo stáhněte si sadu osmimístných záložních kódů Googlu a uložte je na bezpečném místě.
• Volbu Na tomto zařízení už nepožadovat zaškrtněte jen u zařízení, které pravidelně používáte a s nikým nesdílíte.
• Ověřovací kódy nikdy nikomu nesdělujte. Google vám kvůli ověření kódu nezavolá a Apple heslo ani ověřovací kódy za účelem podpory nikdy nepožaduje.
• Microsoft uvádí, že jeho agenti a zástupci podpory vám nesmějí posílat odkazy na resetování hesla ani přistupovat k údajům o účtu. Odkaz na reset hesla „od podpory“, o který jste nežádali, proto neotevírejte.

Zapněte druhý krok ještě dnes, začněte e-mailem. A schvalujte jen přihlášení a platby, které jste sami zahájili.