Divu faktoru autentifikācija (2FA) ir pieteikšanās metode, ko drošības apsvērumu dēļ pieprasa Google un daudzi citi interneta pakalpojumu sniedzēji. Pieprasot lietotājam apstiprināt identitāti ar papildu “sastāvdaļu”, piemēram, SMS koda pārrakstīšanu, var izvairīties no konta pārņemšanas mēģinājuma, ja nepiederoša persona uzzina pieteikumvārdu un paroli. Tomēr izrādās, ka SMS verifikācija nav pilnībā droša, tāpēc Gmail no tās atsakās. Ko tā piedāvā tā vietā?
Jūs nevarēsiet pieteikties Gmail, izmantojot SMS kodu. Tas ir bīstami
Gmail ir populārākais e-pasta pakalpojumu sniedzējs, kas šobrīd piedāvā 1,8 miljardus lietotāju visā pasaulē. Neraugoties uz daudzajām pretrunām par Google rīcību, Gmail joprojām ir viens no drošākajiem e-pasta klientiem un praktiski nav uzlaužams. Tomēr iekšējie IT drošības pasākumi neko daudz nenozīmē, ja cilvēciskais faktors nedarbojas vai parādās ievainojamības citās sistēmās. Tas attiecas arī uz to, kā īsziņas nonāk mūsu telefonos. Kāpēc Google ir tik noraizējies par tiem?
SMS pieteikšanās apstiprināšana ir labāka nekā nekas, taču šī metode ir neaizsargāta pret dažādām ievainojamībām. Nav garantijas, ka viedtālrunī redzamā īsziņa nāk no ekrānā redzamā avota. SIM karšu maiņas uzbrukumi, kuros noziedznieki, izmantojot sociālās inženierijas metodes, pārņem lietotāja tālruņa numuru, var radīt daudz nepatikšanu. Sociālā inženierija var ietvert lietotāja maldināšanu, liekot ievadīt kodu pikšķerēšanas tīmekļa vietnē, kas izliekas par īstu.
SMS protokols ir neaizsargāts arī pret MITM (Man-in-the-Middle) uzbrukumiem, kuru laikā hakeri uzbrūk tīkla drošības ievainojamībām un pārtver īsziņas to pārraides laikā. Kibernoziedznieki izmanto arī metodi, ko sauc par SMS spoofing, kas ir īsziņas sūtītāja viltošana. Izmantojot šo hakeri var ievadīt jebkuru tālruņa numuru vai vārdu laukā “Sūtītājs”. Kā redzams, īsziņām nevar pilnībā uzticēties. Tiem neuzticas arī Google, kas vēlas labāk aizsargāt savus lietotājus.
Jauna metode drošai pierakstīšanās Gmail kontā
Lai pieteiktos Gmail, miljoniem lietotāju būs jāizmanto jauna verifikācijas metode. Tā ietver QR kodu, kas jānoskenē ar viedtālruņa kameru. Šī MFA/2FA metode ir drošāka nekā 6 ciparu SMS koda ievadīšana vairāku iemeslu dēļ:
- end-to-end šifrēšana: QR kodi ir aizsargāti ar end-to-end šifrēšanu, kas krasi samazina risku, ka kāds varētu iejaukties procesā jebkurā posmā.
- Nav iesaistīts tīkla operators: mobilo sakaru tīklu operatori nav iesaistīti verifikācijas procesā, tāpēc SMS protokola ievainojamības zaudē savu raison d’être.
- Izturība pret pikšķerēšanu: QR kodi ir mazāk uzņēmīgi pret pikšķerēšanas uzbrukumiem, jo tie prasa tiešu skenēšanu, tādējādi kibernoziedzniekiem ir grūtāk pierunāt lietotājus dalīties ar akreditācijas datiem.
- Daudzplatformu atbalsts: lietotāji var pabeigt autentifikācijas procesu, izmantojot vairākas ierīces, nepaļaujoties tikai uz vienu tālruņa numuru vai mobilo sakaru operatoru.
QR kodi nav vienīgā Google atļautā divpakāpju verifikācijas metode. Citas atbalstītās metodes ir Google Authenticator lietotne, fiziskās drošības atslēgas (piemēram, YubiKey) un programmās esošie uzaicinājumi. Interesanti, Google nepiedāvā Gmail lietotājiem biometriskās pieteikšanās metodes, piemēram, pirkstu nospiedumu vai sejas atpazīšanu. Tās var izmantot tikai ar trešo pušu verifikatoru, piemēram, AppLock, starpniecību. Divu soļu biometrisko pieteikšanos jau gadiem ilgi piedāvā Apple un Microsoft.
Kā skenēt QR kodu? Ir vērts tam sagatavoties
Google tuvāko mēnešu laikā plāno atbrīvoties no SMS verifikācijas, reģistrējoties kontā vai pieslēdzoties Gmail. Zināms tikai tas, ka tā vietā, lai pieprasītu kodu, Gmail datorā sāks rādīt QR kodu, kas būs jānoskenē ar tālruņa kameras lietotni. Vai visi to var izdarīt? Ne vienmēr, tāpēc ir vērts būt gataviem.
Pirmkārt un galvenokārt atjauniniet tālruni – ir vērts atjaunināt viedtālruņa operētājsistēmu un kameras lietotni, lai nodrošinātu netraucētu QR kodu skenēšanu. Labā ziņa ir tā, ka diezgan jaunajās Android vai iOS versijās šī funkcionalitāte jau ir pieejama un ir viegli pieejama. Alternatīvi varat arī iespējot alternatīvas 2FA autentifikācijas metodes sava Google konta iestatījumos, lai tās izmantotu jau tagad.
Google piedāvā arī iespēju nodrošināt piekļuvi gadījumā, ja telefona nav pie jums, piemēram, ceļojuma laikā vai situācijā, kad ierīce pārstāj darboties, tiek pazaudēta vai nozagta. Šajā gadījumā konta iestatījumos varat izveidot vienreizējus piekļuves kodus. turpmākai lietošanai vai iestatīt alternatīvu e-pasta adresi, ar kuru apstiprināt savu Gmail pieteikšanos. Šo e-pasta adresi būtu vēlams izmantot ar cita e-pasta pakalpojumu sniedzēja starpniecību un nepieprasīt apstiprināšanu ar to pašu metodi.
