Τι είναι η ταυτοποίηση δύο παραγόντων και γιατί τη χρειάζεται η ιστοσελίδα σου;

Ένας δυνατός κωδικός δεν αρκεί πια από μόνος του για να προστατεύσει την πρόσβαση διαχειριστή στην ιστοσελίδα. Η ταυτοποίηση δύο παραγόντων προσθέτει ένα δεύτερο επίπεδο, που σημαίνει ότι ένας κλεμμένος κωδικός από μόνος του δεν φτάνει για να μπει κάποιος, και αυτό αλλάζει εντελώς τον υπολογισμό του ρίσκου για όποιον στοχεύει διαπιστευτήρια διαχειριστή. Ένας παράγοντας μπορεί να παραβιαστεί. Δύο είναι σημαντικά πιο δύσκολο. Αυτό το άρθρο εξηγεί πώς δουλεύει η ταυτοποίηση δύο παραγόντων, ποια είναι τα είδη δεύτερου παράγοντα και πώς να την ενεργοποιήσεις στην ιστοσελίδα σου.

Οι επιθέσεις σε διαπιστευτήρια είναι αυτοματοποιημένες. Εργαλεία φτιαγμένα για να σπάνε κωδικούς με δοκιμές ή να δοκιμάζουν κλεμμένα διαπιστευτήρια σε σελίδες σύνδεσης τρέχουν συνεχώς σε εκατομμύρια ιστοσελίδες. Ο ίδιος ο κωδικός δεν είναι πια η τελευταία γραμμή άμυνας που ήταν κάποτε: πάρα πολλοί είναι αδύναμοι, επαναχρησιμοποιημένοι ή εκτεθειμένοι από παραβιάσεις δεδομένων σε άλλες υπηρεσίες. Η ταυτοποίηση δύο παραγόντων δεν διορθώνει τον κωδικό. Κάνει τον κωδικό από μόνο του ανεπαρκή. Για την ευρύτερη εικόνα της προστασίας της πρόσβασης διαχειριστή ως μέρος μιας ολοκληρωμένης στρατηγικής ασφαλείας, δες το άρθρο για το πώς να προστατεύσεις την ιστοσελίδα σου από hackers.

Τι είναι η ταυτοποίηση δύο παραγόντων;

Η ταυτοποίηση δύο παραγόντων, που συντομεύεται συχνά σε 2FA, είναι μια διαδικασία σύνδεσης που απαιτεί δύο ξεχωριστές μορφές επαλήθευσης πριν δοθεί πρόσβαση. Ο πρώτος παράγοντας είναι συνήθως ένας κωδικός. Ο δεύτερος παράγοντας είναι κάτι ξεχωριστό, κάτι στο οποίο έχει πρόσβαση μόνο ο κάτοχος του λογαριασμού τη στιγμή της σύνδεσης.

Η αρχή πίσω από αυτό είναι απλή: ακόμα κι αν ένας επιτιθέμενος αποκτήσει τον κωδικό σου μέσω παραβίασης, επίθεσης phishing ή δοκιμών, δεν μπορεί να ολοκληρώσει τη σύνδεση αν δεν ελέγχει και τον δεύτερο παράγοντα. Στις περισσότερες περιπτώσεις, ο δεύτερος παράγοντας βρίσκεται σε μια συσκευή που ο κάτοχος του λογαριασμού έχει φυσικά στην κατοχή του, που σημαίνει ότι η πρόσβαση απαιτεί κάτι παραπάνω από έναν κλεμμένο κωδικό.

Πώς δουλεύει η ταυτοποίηση δύο παραγόντων;

Η διαδοχή της σύνδεσης

• Ο χρήστης γράφει το όνομα χρήστη και τον κωδικό του στη σελίδα σύνδεσης, όπως πάντα
• Αντί να του δοθεί αμέσως πρόσβαση, του ζητείται ένα δεύτερο βήμα επαλήθευσης
• Ο χρήστης δίνει τον δεύτερο παράγοντα, τον οποίο το σύστημα επαληθεύει πριν επιτρέψει την πρόσβαση
• Αν ένας από τους δύο παράγοντες είναι λάθος, η πρόσβαση απορρίπτεται

Τι σταματά

• Ένας επιτιθέμενος που έχει αποκτήσει τον σωστό κωδικό σταματά στο δεύτερο βήμα, γιατί δεν έχει πρόσβαση στον δεύτερο παράγοντα
• Οι επιθέσεις δοκιμών που εντοπίζουν επιτυχώς έναν κωδικό δεν μπορούν παρ' όλα αυτά να ολοκληρώσουν τη σύνδεση χωρίς τον δεύτερο παράγοντα
• Τα διαπιστευτήρια που κλάπηκαν μέσω phishing ή παραβιάσεων δεδομένων σε άλλες υπηρεσίες γίνονται από μόνα τους ανεπαρκή

Ποια είναι τα είδη δεύτερου παράγοντα;

Εφαρμογές ταυτοποίησης (authenticator)

• Μια εφαρμογή ταυτοποίησης δημιουργεί έναν κωδικό βασισμένο στον χρόνο που ανανεώνεται κάθε 30 δευτερόλεπτα. Ο χρήστης ανοίγει την εφαρμογή, διαβάζει τον τρέχοντα κωδικό και τον γράφει κατά τη σύνδεση
• Ο κωδικός δημιουργείται στη συσκευή και δεν μεταδίδεται μέσω του δικτύου, κάτι που τον κάνει ανθεκτικό στην υποκλοπή
• Θεωρείται ευρέως η πιο πρακτική και ασφαλής επιλογή για τους περισσότερους ιδιοκτήτες ιστοσελίδων

Κωδικοί SMS

• Ένας κωδικός μίας χρήσης στέλνεται ως μήνυμα κειμένου στον δηλωμένο αριθμό τηλεφώνου του χρήστη κατά τη σύνδεση
• Οι κωδικοί SMS είναι πιο εύκολοι στο στήσιμο από μια εφαρμογή ταυτοποίησης, αλλά θεωρούνται λιγότερο ασφαλείς, γιατί οι αριθμοί τηλεφώνου μπορούν να υφαρπαχθούν με SIM swapping και τα μηνύματα SMS μπορούν να υποκλαπούν
• Είναι σημαντικά καλύτεροι από το να μην υπάρχει καθόλου δεύτερος παράγοντας

Φυσικά κλειδιά ασφαλείας

• Ένα φυσικό κλειδί ασφαλείας είναι μια συσκευή, συνήθως μια μικρή συσκευή USB ή NFC, που ο χρήστης συνδέει ή ακουμπά κατά τη σύνδεση για να επαληθεύσει την ταυτότητά του
• Τα φυσικά κλειδιά προσφέρουν την ισχυρότερη μορφή ταυτοποίησης δύο παραγόντων και είναι άτρωτα στο phishing, αφού η επαλήθευση συνδέεται με τη συγκεκριμένη ιστοσελίδα στην οποία γίνεται η πρόσβαση
• Είναι πιο συνηθισμένα σε περιβάλλοντα υψηλής ασφάλειας και χρησιμοποιούνται λιγότερο για την τυπική πρόσβαση διαχειριστή ιστοσελίδας

Κωδικοί email

• Ένας κωδικός μίας χρήσης στέλνεται στη δηλωμένη διεύθυνση email του χρήστη και πρέπει να γραφτεί κατά τη σύνδεση
• Οι κωδικοί email είναι ο πιο αδύναμος δεύτερος παράγοντας, γιατί βασίζονται στην ασφάλεια του λογαριασμού email. Αν παραβιαστεί ο λογαριασμός email, ο δεύτερος παράγοντας δεν προσφέρει καμία προστασία
• Είναι καλύτεροι από το να μην υπάρχει δεύτερος παράγοντας, αλλά οι εφαρμογές ταυτοποίησης είναι πιο αξιόπιστη επιλογή

Γιατί χρειάζεται η ιστοσελίδα σου ταυτοποίηση δύο παραγόντων;

Οι κωδικοί παραβιάζονται τακτικά

• Οι παραβιάσεις δεδομένων σε άλλες υπηρεσίες εκθέτουν διαπιστευτήρια που δοκιμάζονται μετά σε πίνακες διαχείρισης ιστοσελίδων. Ένας κωδικός που έχει επαναχρησιμοποιηθεί από άλλον λογαριασμό μπορεί να χρησιμοποιηθεί για πρόσβαση στην ιστοσελίδα σου, ακόμα κι αν η ιστοσελίδα σου δεν στοχεύτηκε ποτέ απευθείας
• Οι επιθέσεις phishing που αποσπούν κωδικούς είναι δύσκολο να αποτραπούν εντελώς. Η ταυτοποίηση δύο παραγόντων περιορίζει τη ζημιά όταν αποκτηθεί ένας κωδικός

Οι αυτοματοποιημένες επιθέσεις σε διαπιστευτήρια είναι συνεχείς

• Τα εργαλεία δοκιμών τρέχουν συνεχώς σε ιστοσελίδες, δοκιμάζοντας συνηθισμένους κωδικούς, λέξεις από λεξικό και λίστες διαρρεύσαντων διαπιστευτηρίων
• Η ταυτοποίηση δύο παραγόντων σημαίνει ότι ακόμα κι ένας κωδικός που ανακαλύπτεται με δοκιμές δεν αρκεί για να ολοκληρωθεί μια σύνδεση

Η πρόσβαση διαχειριστή είναι ο πιο πολύτιμος στόχος

• Ένας επιτιθέμενος που αποκτά πρόσβαση στον πίνακα διαχείρισης μιας ιστοσελίδας μπορεί να εγκαταστήσει malware, να κλέψει δεδομένα, να δημιουργήσει κερκόπορτες ή να κλειδώσει εντελώς τον ιδιοκτήτη έξω
• Η προστασία της πρόσβασης διαχειριστή με ταυτοποίηση δύο παραγόντων μειώνει άμεσα τις συνέπειες ενός παραβιασμένου κωδικού, που είναι ο πιο συνηθισμένος στόχος επίθεσης σε διαπιστευτήρια

Για το τι μπορούν να κάνουν οι επιτιθέμενοι όταν αποκτήσουν πρόσβαση διαχειριστή, δες το άρθρο για το τι είναι το malware ιστοσελίδας και πώς επηρεάζει το site σου. Για μια πλήρη ανάλυση του γιατί μετράει η ασφάλεια της ιστοσελίδας πέρα από την πρόσβαση διαχειριστή, δες το άρθρο για το γιατί είναι σημαντική η ασφάλεια της ιστοσελίδας.

Πώς ενεργοποιείς την ταυτοποίηση δύο παραγόντων στην ιστοσελίδα σου;

Για την πρόσβαση διαχειριστή στην ιστοσελίδα

• Πολλές πλατφόρμες ιστοσελίδων περιλαμβάνουν την ταυτοποίηση δύο παραγόντων ως ενσωματωμένη επιλογή στις ρυθμίσεις λογαριασμού. Έλεγξε πρώτα την ενότητα ασφάλειας ή ρυθμίσεων λογαριασμού της πλατφόρμας σου
• Για πλατφόρμες που δεν την περιλαμβάνουν εγγενώς, υπάρχουν επεκτάσεις ασφαλείας ή plugins που προσθέτουν 2FA στη διαδικασία σύνδεσης
• Ενεργοποίησέ την για κάθε λογαριασμό διαχειριστή, όχι μόνο για τον κύριο λογαριασμό. Κάθε λογαριασμός διαχειριστή χωρίς ταυτοποίηση δύο παραγόντων είναι πιθανή είσοδος

Για λογαριασμούς φιλοξενίας και domain

• Ο πίνακας ελέγχου φιλοξενίας και ο λογαριασμός του καταχωρητή domain είναι εξίσου σημαντικό να ασφαλιστούν όσο και η ίδια η ιστοσελίδα. Ένας επιτιθέμενος που αποκτά πρόσβαση στον λογαριασμό φιλοξενίας μπορεί να τροποποιήσει εγγραφές DNS, να μπει στα αντίγραφα ασφαλείας ή να βγάλει την ιστοσελίδα εκτός λειτουργίας
• Ενεργοποίησε την ταυτοποίηση δύο παραγόντων στον πίνακα φιλοξενίας και στον λογαριασμό του καταχωρητή domain, όχι μόνο στη δική της σύνδεση της ιστοσελίδας

Για λογαριασμούς email που χρησιμοποιούνται στην ανάκτηση λογαριασμού

• Οι διαδικασίες επαναφοράς κωδικού στέλνουν συνήθως έναν σύνδεσμο στη δηλωμένη διεύθυνση email. Αν ο λογαριασμός email παραβιαστεί, μπορεί να χρησιμοποιηθεί για να καταλάβει κάποιος τον λογαριασμό της ιστοσελίδας
• Αν ασφαλίσεις με ταυτοποίηση δύο παραγόντων τους λογαριασμούς email που συνδέονται με την πρόσβαση διαχειριστή, κλείνεις αυτή τη διαδρομή ανάκτησης ως τρόπο επίθεσης

Για το πώς δουλεύουν τα αντίγραφα ασφαλείας μαζί με την ταυτοποίηση δύο παραγόντων ως μέρος μιας ολοκληρωμένης προσέγγισης ασφαλείας, δες το άρθρο για το πώς να κάνεις αντίγραφο ασφαλείας της ιστοσελίδας σου.

Ασφάλεια ταυτοποίησης και WEMASY

Ο λογαριασμός σου είναι το κλειδί για την ιστοσελίδα σου. Προστάτευε την πρόσβαση με δυνατό κωδικό και με δεύτερο παράγοντα όπου υπάρχει.

Ένας κλεμμένος κωδικός από μόνος του δεν πρέπει να φτάνει για να μπει κάποιος στον πίνακα ελέγχου.

Δες τι περιλαμβάνεται στον δημιουργό ιστοσελίδων του WEMASY ή δες τις επιλογές πακέτων στη σελίδα τιμών.

Συχνές ερωτήσεις