Dvoufaktorové ověření výrazně snižuje riziko zneužití účtu. Podívejte se, jaké jsou možnosti (SMS, aplikace, bezpečnostní klíč), co doporučujeme a jak ho nastavit krok za krokem.
Dvoufaktorové ověření je jeden z nejjednodušších způsobů, jak výrazně zvýšit bezpečnost účtů. Často se označuje jako 2FA. V praxi to znamená, že k přihlášení nestačí jen heslo. Systém si vyžádá ještě druhé potvrzení, například kód z aplikace nebo potvrzení v telefonu.
Proč je to důležité? Protože hesla občas uniknou, a ne vždy vaší vinou. Právě druhý krok často rozhodne o tom, jestli se útočník do účtu dostane.
Co je dvoufaktorové ověření a proč funguje
Při běžném přihlášení zadáváte něco, co víte: heslo.
Při dvoufaktorovém ověření přidáváte i druhý krok, nejčastěji:
- něco, co máte: telefon s ověřovací aplikací nebo bezpečnostní klíč,
- případně něco, čím jste: otisk prstu nebo rozpoznání obličeje.
Pokud se útočník dostane k heslu, stále mu chybí druhý krok. To je celý princip.
Kdy se hesla zneužívají nejčastěji
Nejčastější scénáře vypadají takto:
- Únik údajů z jiné služby. Lidé používají stejné nebo podobné heslo na více místech. Když jedna služba unikne, útočník zkusí stejné přihlášení jinde.
- Podvodné přihlašovací stránky. Někdo vás přesvědčí, abyste zadali heslo na stránce, která jen vypadá jako originál.
- Slabé nebo krátké heslo. Krátká a předvídatelná hesla se dají uhodnout nebo prolomit rychleji.
Pokud chcete rychle zjistit, jestli se vaše e-mailová adresa objevila ve známých únicích, můžete ji ověřit na stránce Have I Been Pwned.
Praktický tip
Vygenerujte si silné heslo za pár sekund
Bezpečné heslo vytvoříte za pár sekund.
Jaké možnosti 2FA existují
Ne každá metoda je stejně dobrá. Tady je přehled.
Ověřovací aplikace je nejlepší kompromis pro většinu lidí
Ověřovací aplikace vytváří jednorázové kódy, obvykle každých 30 sekund. Při přihlášení zadáte aktuální kód.
Jak vznikají kódy v ověřovací aplikaci
Při zapnutí 2FA naskenujete QR kód. Telefon i server si tak uloží stejný tajný klíč. Ten už pak po síti necestuje.
Aplikace i server vypočítají 6místný kód z tajného klíče a aktuálního času. Nemusí se přitom spojit, proto kódy fungují i bez internetu.
Po zadání hesla opíšete kód z telefonu. Server ho porovná se svým výsledkem. Shodují se, takže vás pustí dál.
Každých 30 sekund se čas posune do dalšího okna a obě strany vypočítají nový kód. Pro případ zpoždění server obvykle ještě chvíli přijme i kód z předchozího okna, starší už ne.
Později zkusí útočník kód, který někde odpozoroval. Server přijímá jen aktuální a nanejvýš předchozí kód. Tento je starší, proto ho odmítne. Nový kód si útočník bez tajného klíče nevypočítá.
Příklady aplikací: Google Authenticator, Microsoft Authenticator, Authy nebo Proton Authenticator.
Výhody: dobrá bezpečnost, kódy fungují i bez internetu.
Nevýhody: je potřeba myslet na přenos do nového telefonu a zálohu.
Potvrzení v aplikaci je pohodlné, ale vyžaduje pozornost
Některé služby nabízejí přihlášení tak, že v aplikaci v telefonu jen potvrdíte „Ano, jsem to já“. Je to pohodlné, ale právě proto je důležité neklikat bez přemýšlení.
Typický problém:
- někdo jiný se pokouší přihlásit k vašemu účtu,
- vám začne chodit žádost o potvrzení,
- vy ji ve spěchu potvrdíte, protože ji považujete za běžnou notifikaci.
V tu chvíli jste útočníkovi potvrdili přihlášení.
Doporučení:
- potvrzujte jen tehdy, když se právě přihlašujete vy,
- vždy zkontrolujte službu, zařízení a přibližnou polohu,
- pokud žádost přijde bez důvodu, zamítněte ji, změňte heslo a zkontrolujte přihlášená zařízení.
SMS kód je lepší než nic
Ověření přes SMS je pořád lepší než žádná dodatečná ochrana, ale má víc slabin, například zneužití telefonního čísla nebo přesměrování zpráv.
Pokud máte možnost, dejte přednost ověřovací aplikaci nebo bezpečnostnímu klíči.
Bezpečnostní klíč je výborný pro nejdůležitější účty
Bezpečnostní klíč (USB/NFC) je velmi silná ochrana hlavně pro:
- e-mailový účet,
- správce hesel,
- pracovní a administrátorské účty.
Při přihlášení nestačí heslo. Služba vás vyzve, abyste připojili klíč nebo ho přiložili k telefonu. Bez klíče se útočník nepřihlásí, i kdyby znal heslo.
Jakou možnost zvolit
Praktické a bezpečné řešení:
- Zapněte dvoufaktorové ověření přes ověřovací aplikaci.
- Uložte si záložní obnovovací kódy.
- Pro nejdůležitější účty zvažte bezpečnostní klíč.
Jak zapnout 2FA krok za krokem
Konkrétní názvy tlačítek se liší podle služby, ale postup bývá podobný:
- Otevřete nastavení účtu.
- Najděte sekci zabezpečení.
- Vyberte položku dvoufaktorové ověření, 2FA nebo dvoustupňové ověření.
- Zvolte metodu, ideálně ověřovací aplikaci.
- Naskenujte QR kód v aplikaci a zadejte první kód pro ověření.
- Uložte si obnovovací kódy a nastavte záložní možnost, pokud ji služba nabízí.
Obnovovací kódy rozhodují
Nejčastější chyba u 2FA: ověření je zapnuté, ale obnovovací kódy nejsou uložené.
Když ztratíte telefon nebo smažete aplikaci, obnovovací kódy jsou často nejrychlejší cesta zpět do účtu.
Můžete je uložit:
- do správce hesel,
- vytištěné na bezpečné místo,
- do šifrovaného souboru.
2FA není náhrada silného hesla
Dvoufaktorové ověření hodně pomáhá, ale heslo má být pořád:
- jedinečné pro každý účet,
- dostatečně dlouhé, často 16+ znaků,
- ideálně uložené ve správci hesel.
Praktický návod najdete v článku Jak vytvořit silné heslo.
Časté otázky
Je lepší zapnout SMS kód, nebo raději nic?
SMS ověření je lepší než nic. Pokud máte možnost, později přejděte na ověřovací aplikaci nebo bezpečnostní klíč.
Může 2FA úplně zabránit zneužití účtu?
Riziko výrazně snižuje, ale není to zázračné tlačítko. Pořád dávejte pozor na podvodné stránky a používejte jedinečná hesla.
Nefunguje mi kód z ověřovací aplikace. Co dělat?
Častým důvodem je špatně nastavený čas v telefonu. Zapněte automatické nastavení času a data a zkuste zadat nový kód.
