Ką gali padaryti?
- Paskyros saugumo nustatymuose patikrink, ar siūlomas prisijungimo raktas.
- Naudok savo apsaugotą įrenginį, ne bendrą viešą kompiuterį.
- Pasitikrink, kaip atkursi prieigą praradęs įrenginį.
Šio straipsnio temos
Sukčius gali sukurti įtikinamą prisijungimo puslapį. Į jį įvestas slaptažodis ir vienkartinis kodas gali būti perduoti toliau dar jiems galiojant. Prisijungimo raktas veikia kitaip: jo negalima tiesiog nukopijuoti iš užpildytos formos.
Šiame gide prisijungimo raktu vadiname „passkey“. Tai nėra SMS kodas ar įprastas slaptažodis. Atskirose paslaugose gali būti vartojamas ir pavadinimas „prieigos raktas“.
Ką iš tikrųjų patvirtini?
Naudojant prisijungimo raktą, įrenginys arba raktų tvarkyklė patvirtina prisijungimą kriptografiniu būdu. Pats patvirtinimas susietas su konkrečia paslauga. Įprastai jį atrakini įrenginio PIN, piršto atspaudu arba veido atpažinimu. Biometrinis patvirtinimas atliekamas įrenginyje; svetainė negauna tavo piršto atspaudo.1
Nepainiok dviejų dalykų: telefono atrakinimo būdas leidžia panaudoti raktą, o pats raktas skirtas paskyrai. Todėl telefono ekrano kodas ir prieiga prie raktus sinchronizuojančios paskyros tampa svarbia tavo apsaugos dalimi.
Pradėk nuo vienos paskyros
- Oficialioje paslaugos programėlėje ar svetainėje atverk saugumo nustatymus.
- Surask „passkey“, „prisijungimo raktų“ arba „prieigos raktų“ skiltį. Parinktys priklauso nuo paslaugos ir įrenginio.
- Kurdamas raktą pažiūrėk, kur jis bus saugomas: konkrečiame įrenginyje, paskyros tvarkyklėje ar fiziniame rakte.
- Išbandyk prisijungimą prieš atsijungdamas iš visų kitų patikimų įrenginių.
„Google“ paskyroje šią funkciją galima rasti jos saugumo nustatymuose. Raktą kurk tik asmeniniame įrenginyje, kurio atrakinimą valdai pats.1
Kas nutiks pametus telefoną?
Prieš keisdamas prisijungimo būdą užsirašyk atkūrimo kelią. Ar raktai sinchronizuojami? Ar turi kitą patikimą įrenginį arba papildomą fizinį raktą? Kur saugomi atkūrimo kodai? Vieno universalaus atsakymo nėra.
Nešalink paskutinio veikiančio atkūrimo būdo vien todėl, kad pirmas prisijungimas pavyko. Jei telefonas dingsta, atšauk jam suteiktą prieigą per oficialius paskyros nustatymus ir įrenginio paieškos priemones.
Kodėl tai daugiau nei dar vienas kodas?
CISA rekomenduoja nuo duomenų viliojimo atsparią kelių veiksnių apsaugą, kai ji prieinama. Skirtingi patvirtinimo būdai nėra vienodai atsparūs: SMS ar programėlės kodą žmogus gali perduoti sukčiui.2
2022 m. „Cloudflare“ incidento ataskaitoje aprašyta, kaip privalomi fiziniai FIDO2 raktai neleido užpuolikams prisijungti gavus darbuotojų duomenis. Fizinis saugumo raktas ir sinchronizuojamas „passkey“ nėra visiškai ta pati realizacija, bet su paslauga susietas patvirtinimas paaiškina, kodėl ši apsaugos kryptis prasminga.3
Užkrėstas įrenginys, pavogta aktyvi sesija ir silpnas paskyros atkūrimas lieka atskiros rizikos. Prisijungimo raktas jų savaime neišsprendžia.
Patikrink, ar pagrindinis el. paštas palaiko prisijungimo raktą. Prieš įjungdamas pasiruošk atkūrimą.
Šaltiniai ir peržiūra
Šaltinių pastabose nurodomi laikotarpiai; papildomos peržiūros datos pateikiamos prie atnaujintų įrašų. Techniniai nustatymai ir teisės taikymas gali keistis.
- Sign in with a passkey instead of a passwordGoogle Account Help · Prisijungimo raktų kūrimas, įrenginio apsauga ir atkūrimo ribos.
- Require Multifactor AuthenticationCISA · Nuo duomenų viliojimo atsparesnės prisijungimo priemonės.
- The mechanics of a sophisticated phishing scam and how we stopped itCloudflare – incidento ataskaita · 2022-08-09 ataskaita apie 2022-07-20 ataką. Tai bendrovės pateiktas savo incidento aprašymas.