MFA i 2FA – czym się różnią i dlaczego warto je włączyć?
2FA to uwierzytelnianie dwuskładnikowe, a MFA wieloskładnikowe. Porównujemy SMS, aplikacje, powiadomienia push i klucze FIDO2 oraz pokazujemy, jak włączyć MFA.
2FA, czyli uwierzytelnianie dwuskładnikowe, wymaga dokładnie dwóch składników logowania, na przykład hasła i kodu z telefonu. MFA, czyli uwierzytelnianie wieloskładnikowe, wymaga dwóch lub więcej składników, więc każde 2FA jest odmianą MFA. Warto je włączyć, bo samo wykradzione hasło przestaje wtedy wystarczać do przejęcia konta. Najbezpieczniejsze są klucze dostępu i klucze sprzętowe FIDO2, a najsłabsze kody SMS.
Czym jest uwierzytelnianie wieloskładnikowe (MFA)?
Uwierzytelnianie wieloskładnikowe to sposób logowania, w którym potwierdzasz tożsamość co najmniej dwoma składnikami z różnych kategorii. Amerykańska agencja CISA w materiale o MFA wymienia trzy kategorie:
- coś, co wiesz: hasło lub PIN,
- coś, co masz: telefon z aplikacją, klucz sprzętowy lub kartę,
- coś, czym jesteś: odcisk palca lub skan twarzy.
Dwa hasła to wciąż jeden składnik, bo należą do tej samej kategorii. Od liczby wymaganych składników zależy też różnica między 2FA a MFA.
Czym różni się 2FA od MFA?
2FA różni się od MFA liczbą wymaganych składników:
| Cecha | 2FA | MFA |
|---|---|---|
| Liczba składników | Dokładnie dwa | Dwa lub więcej |
| Relacja między pojęciami | Odmiana MFA | Pojęcie nadrzędne |
| Typowy przykład | Hasło i kod z aplikacji | Hasło, klucz sprzętowy i odcisk palca |
W codziennym użyciu serwisy zwykle oferują właśnie dwa składniki, dlatego nazwy MFA i 2FA stosuje się zamiennie.
Czy weryfikacja dwuetapowa to to samo co 2FA?
Weryfikacja dwuetapowa to nazwa, której używają niektóre serwisy, na przykład Google, dla logowania w dwóch krokach. Zwykle oznacza 2FA, bo drugi krok wymaga telefonu lub klucza. Ściśle biorąc, dwa etapy z tej samej kategorii, na przykład hasło i pytanie pomocnicze, nie są jednak uwierzytelnianiem dwuskładnikowym.
Dlaczego warto włączyć MFA?
MFA warto włączyć, bo hasła regularnie wyciekają i są wyłudzane przez phishing. Gdy konto wymaga drugiego składnika, przestępca z samym hasłem się nie zaloguje. CISA podkreśla, że każda forma MFA jest lepsza niż jej brak, choć poszczególne metody różnią się poziomem ochrony.
Które metody MFA są najbezpieczniejsze?
Metody MFA różnią się odpornością na ataki. Poniższa tabela porządkuje je od najmocniejszej do najsłabszej na podstawie zestawienia CISA:
| Metoda | Odporność |
|---|---|
| Klucze dostępu (passkeys) i klucze sprzętowe FIDO2/WebAuthn | Odporne na phishing, przejęcie numeru telefonu i zalewanie powiadomieniami |
| Kody jednorazowe z aplikacji (TOTP), push z wpisaniem liczby | Podatne na phishing, odporne na przejęcie numeru telefonu |
| Powiadomienie push bez wpisywania liczby | Podatne na zalewanie powiadomieniami i pomyłkę użytkownika |
| Kod SMS lub połączenie głosowe | Podatne na phishing, przejęcie numeru (SIM swap) i ataki na sieć SS7 |
Czym są klucze dostępu (passkeys)?
Klucze dostępu to następca haseł oparty na standardach FIDO. Według FIDO Alliance klucz dostępu jest przechowywany w telefonie, komputerze lub kluczu sprzętowym, a logujesz się tak samo, jak odblokowujesz urządzenie: odciskiem palca, skanem twarzy lub PIN-em. Klucz działa wyłącznie z prawdziwą stroną, dlatego fałszywa witryna nie wyłudzi go jak hasła.
Dlaczego kody SMS są najsłabszą metodą?
Kody SMS są najsłabsze, bo zależą od numeru telefonu, który da się przejąć. W oszustwie SIM swap przestępca przekonuje operatora do przeniesienia Twojego numeru na swoją kartę SIM i odbiera kody. CISA zaleca SMS tylko w ostateczności, a wytyczne NIST SP 800-63B-4 oznaczają weryfikację przez sieć telefoniczną jako metodę o ograniczonym zastosowaniu. SMS nadal jest jednak lepszy niż samo hasło.
Jak włączyć MFA na swoich kontach?
MFA włączysz w ustawieniach bezpieczeństwa każdego serwisu. Postępuj w tej kolejności:
- Zacznij od poczty e-mail, bo przez nią odzyskasz dostęp do większości innych kont.
- Zabezpiecz bankowość, menedżer haseł i media społecznościowe.
- Wybierz najsilniejszą dostępną metodę: klucz dostępu lub klucz sprzętowy, a jeśli ich nie ma, aplikację z kodami.
- Zapisz kody zapasowe i przechowuj je w bezpiecznym miejscu, poza telefonem.
- Dodaj drugą metodę awaryjną, na przykład drugi klucz lub drugie urządzenie.
Dobre hasło nadal ma znaczenie, bo jest pierwszym składnikiem. Jak je stworzyć, wyjaśnia poradnik jak stworzyć bezpieczne hasło.
Co zrobić, gdy stracisz telefon lub klucz?
Gdy stracisz telefon lub klucz, zaloguj się kodem zapasowym albo drugą metodą, a potem usuń zgubione urządzenie z listy zaufanych urządzeń w ustawieniach konta. Jeśli nie masz kodów, skorzystaj z procedury odzyskiwania konta w serwisie. Utratę telefonu z aplikacją bankową zgłoś od razu w banku.
Najczęstsze pytania o MFA i 2FA
Czy MFA chroni przed phishingiem?
MFA chroni tylko częściowo. Kod z SMS-a lub aplikacji można wyłudzić na fałszywej stronie w czasie rzeczywistym, razem z hasłem. Przed phishingiem skutecznie chronią klucze dostępu i klucze FIDO2, co opisuje przewodnik phishing: co to jest i jak go rozpoznać.
Czy powiadomienie push na telefonie jest bezpieczne?
Powiadomienie push jest wygodne, ale zatwierdzaj je tylko wtedy, gdy sam się logujesz. Seria nieoczekiwanych próśb o zatwierdzenie oznacza, że ktoś zna Twoje hasło i liczy na pomyłkę.
Czy odcisk palca jest osobnym składnikiem logowania?
Tak, biometria to składnik z kategorii „coś, czym jesteś”. W kluczach dostępu odcisk palca lub skan twarzy odblokowuje klucz zapisany na Twoim urządzeniu.
Czy po włączeniu MFA mogę mieć słabsze hasło?
NIST dopuszcza krótsze hasła, minimum 8 znaków, gdy działają razem z drugim składnikiem. Długie i unikalne hasło nadal jednak lepiej chroni konto, na przykład gdy MFA zostanie wyłączone.