Vahva salasana ei enää yksin riitä suojaamaan sivuston ylläpitäjän pääsyä. Kaksivaiheinen tunnistautuminen lisää toisen kerroksen, jonka ansiosta varastettu salasana yksin ei riitä sisäänpääsyyn, mikä muuttaa riskilaskelman kokonaan jokaiselle, joka tähtää ylläpitäjän tunnistetietoihin. Yksi tekijä voidaan vaarantaa. Kaksi on huomattavasti vaikeampaa. Tässä artikkelissa selitetään, miten kaksivaiheinen tunnistautuminen toimii, minkälaisia toisia tekijöitä on ja miten otat sen käyttöön sivustollasi.
Tunnistetietohyökkäykset ovat automatisoituja. Työkalut, jotka on suunniteltu arvaamaan salasanoja raa'alla voimalla tai testaamaan varastettuja tunnistetietoja kirjautumissivuilla, pyörivät jatkuvasti miljoonilla sivustoilla. Salasana itse ei ole enää se viimeinen puolustuslinja, jona se ennen toimi, sillä liian moni salasana on heikko, uudelleenkäytetty tai paljastunut muiden palveluiden tietovuodoissa. Kaksivaiheinen tunnistautuminen ei korjaa salasanaa. Se tekee pelkästä salasanasta riittämättömän. Laajemman kuvan ylläpitäjän pääsyn suojaamisesta osana kokonaisvaltaista tietoturvastrategiaa saat artikkelista miten suojaat sivustosi hakkereilta.
Mikä on kaksivaiheinen tunnistautuminen?
Kaksivaiheinen tunnistautuminen, usein lyhennettynä 2FA, on kirjautumisprosessi, joka vaatii kaksi erillistä todentamismuotoa ennen pääsyn myöntämistä. Ensimmäinen tekijä on tyypillisesti salasana. Toinen tekijä on jotain erillistä, jotain, mihin vain tilin haltijalla on pääsy kirjautumishetkellä.
Periaate on suoraviivainen: vaikka hyökkääjä saisi salasanasi tietovuodon, tietojenkalastelun tai raa'an voiman kautta, hän ei voi viimeistellä kirjautumista hallitsematta myös toista tekijää. Useimmissa tapauksissa toinen tekijä on laitteella, joka on fyysisesti tilin haltijan hallussa, mikä tarkoittaa, että pääsy vaatii enemmän kuin pelkän varastetun salasanan.
Miten kaksivaiheinen tunnistautuminen toimii?
Kirjautumisjärjestys
- Käyttäjä syöttää käyttäjätunnuksensa ja salasanansa kirjautumissivulle tavalliseen tapaan
- Pääsyn myöntämisen sijaan häneltä pyydetään toista todentamisvaihetta
- Käyttäjä antaa toisen tekijän, jonka järjestelmä todentaa ennen pääsyn sallimista
- Jos jompikumpi tekijä on väärä, pääsy evätään
Mitä tämä pysäyttää
- Hyökkääjä, joka on saanut oikean salasanan, pysähtyy toiseen vaiheeseen, koska hänellä ei ole pääsyä toiseen tekijään
- Raa'an voiman hyökkäykset, jotka onnistuvat selvittämään salasanan, eivät silti pysty viimeistelemään kirjautumista ilman toista tekijää
- Tietojenkalastelulla tai muiden palveluiden tietovuodoissa varastetut tunnistetiedot muuttuvat yksinään riittämättömiksi
Minkälaisia toisia tekijöitä on?
Todennussovellukset
- Todennussovellus luo aikaan sidotun koodin, joka vaihtuu 30 sekunnin välein. Käyttäjä avaa sovelluksen, lukee nykyisen koodin ja syöttää sen kirjautuessaan
- Koodi luodaan laitteella, eikä sitä lähetetä verkon yli, mikä tekee siitä vastustuskykyisen sieppaukselle
- Tätä pidetään laajasti käytännöllisimpänä ja turvallisimpana vaihtoehtona useimmille sivuston omistajille
Tekstiviestikoodit
- Kertakäyttöinen koodi lähetetään käyttäjän rekisteröityyn puhelinnumeroon tekstiviestinä kirjautumisen aikana
- Tekstiviestikoodit on helpompi ottaa käyttöön kuin todennussovellus, mutta niitä pidetään vähemmän turvallisina, koska puhelinnumeroita voidaan kaapata SIM-kortin vaihdolla ja tekstiviestejä voidaan siepata
- Ne ovat huomattavasti parempia kuin ei toista tekijää lainkaan
Laitteistopohjaiset suojausavaimet
- Laitteistopohjainen suojausavain on fyysinen laite, tyypillisesti pieni USB- tai NFC-laite, jonka käyttäjä kytkee tai näyttää kirjautumisen aikana henkilöllisyytensä todentamiseksi
- Laitteistoavaimet tarjoavat vahvimman kaksivaiheisen tunnistautumisen muodon ja ovat immuuneja tietojenkalastelulle, koska todennus on sidottu siihen tiettyyn sivustoon, jolle kirjaudutaan
- Ne ovat yleisempiä korkean turvallisuuden ympäristöissä ja harvemmin käytössä tavallisessa sivuston ylläpitäjän pääsyssä
Sähköpostikoodit
- Kertakäyttöinen koodi lähetetään käyttäjän rekisteröityyn sähköpostiosoitteeseen, ja se täytyy syöttää kirjautumisen aikana
- Sähköpostikoodit ovat heikoin toinen tekijä, koska ne perustuvat sähköpostitilin turvallisuuteen. Jos sähköpostitili vaarantuu, toinen tekijä ei tarjoa mitään suojaa
- Ne ovat parempia kuin ei toista tekijää, mutta todennussovellukset ovat luotettavampi valinta
Miksi sivustosi tarvitsee kaksivaiheista tunnistautumista?
Salasanoja vaarannetaan säännöllisesti
- Muiden palveluiden tietovuodot paljastavat tunnistetietoja, joita sitten kokeillaan sivustojen hallintapaneeleihin. Toiselta tililtä uudelleenkäytetyllä salasanalla voidaan päästä sivustollesi, vaikka sivustoasi ei olisi koskaan suoraan kohdistettu
- Salasanoja kaappaavia tietojenkalasteluhyökkäyksiä on vaikea estää kokonaan. Kaksivaiheinen tunnistautuminen rajoittaa vahinkoa, kun salasana saadaan
Automatisoidut tunnistetietohyökkäykset ovat jatkuvia
- Raa'an voiman työkalut pyörivät jatkuvasti sivustoilla ja testaavat yleisiä salasanoja, sanakirjasanoja ja vuotaneiden tunnistetietojen listoja
- Kaksivaiheinen tunnistautuminen tarkoittaa, että edes raa'alla voimalla löydetty salasana ei riitä kirjautumisen viimeistelyyn
Ylläpitäjän pääsy on arvokkain kohde
- Hyökkääjä, joka pääsee sivuston hallintapaneeliin, voi asentaa haittaohjelmia, varastaa tietoja, luoda takaovia tai sulkea omistajan kokonaan ulos
- Ylläpitäjän pääsyn suojaaminen kaksivaiheisella tunnistautumisella vähentää suoraan vaarantuneen salasanan seurauksia, joka on yleisin tunnistetietohyökkäyksen kohde
Kontekstiksi siitä, mitä hyökkääjät voivat tehdä päästyään ylläpitäjän oikeuksiin, lue artikkeli mikä on verkkosivuston haittaohjelma ja miten se vaikuttaa sivustoosi. Täyden erittelyn siitä, miksi sivuston tietoturva on tärkeää ylläpitäjän pääsyn lisäksi, saat artikkelista miksi verkkosivuston tietoturva on tärkeää.
Miten otat kaksivaiheisen tunnistautumisen käyttöön sivustollasi?
Sivuston ylläpitäjän pääsylle
- Monissa verkkosivustoalustoissa kaksivaiheinen tunnistautuminen on sisäänrakennettu vaihtoehto tilin asetuksissa. Tarkista ensin alustasi tietoturva- tai tiliasetukset
- Alustoille, joissa sitä ei ole natiivisti, on saatavilla tietoturvalaajennuksia tai lisäosia, jotka lisäävät 2FA:n kirjautumisprosessiin
- Ota se käyttöön jokaiselle ylläpitäjätilille, ei vain pääsivulle. Jokainen ylläpitäjätili ilman kaksivaiheista tunnistautumista on mahdollinen sisääntulokohta
Palvelintilan ja verkkotunnuksen tileille
- Palvelintilan hallintapaneeli ja verkkotunnusrekisterin tili ovat yhtä tärkeitä suojata kuin itse sivusto. Hyökkääjä, joka pääsee palvelintilan tilille, voi muokata DNS-tietueita, käyttää varmuuskopioita tai ottaa sivuston pois käytöstä
- Ota kaksivaiheinen tunnistautuminen käyttöön palvelintilan paneelissa ja verkkotunnusrekisterin tilillä, ei vain sivuston omassa kirjautumisessa
Tilin palautuksessa käytetyille sähköpostitileille
- Salasanan palautusprosessit lähettävät tyypillisesti linkin rekisteröityyn sähköpostiosoitteeseen. Jos tuo sähköpostitili vaarantuu, sillä voidaan kaapata sivuston tili
- Sivuston ylläpitäjän pääsyyn liitettyjen sähköpostitilien suojaaminen kaksivaiheisella tunnistautumisella sulkee tämän palautusreitin hyökkäysvektorina
Siitä, miten varmuuskopiot toimivat kaksivaiheisen tunnistautumisen rinnalla osana kokonaisvaltaista tietoturvaa, lue artikkeli miten varmuuskopioit sivustosi.
Miten WEMASY hoitaa tunnistautumisen turvallisuuden
Kaksivaiheinen tunnistautuminen on käytettävissä WEMASY-tilin pääsyssä. Sivuston omistajat voivat ottaa sen käyttöön tilinsä tietoturva-asetuksista suojatakseen pääsyn kojelautaan, sivuston asetuksiin ja laskutustietoihin. Sen käyttöönotto tarkoittaa, ettei varastettua salasanaa yksinään voi käyttää tilille pääsyyn.
Kirjautumistoimintaa valvotaan alustatasolla, ja tietoturvatapahtumat kirjataan. Alusta myös rajoittaa kirjautumisyritysten määrää vähentääkseen altistumista raa'an voiman hyökkäyksille.
Katso, mitä sisältyy, WEMASYn verkkosivustorakentimesta, tai tutustu pakettivaihtoehtoihin hinnastosivulla.
Usein kysytyt kysymykset
Mikä on kaksivaiheinen tunnistautuminen?
Kaksivaiheinen tunnistautuminen on kirjautumisprosessi, joka vaatii kaksi erillistä todentamismuotoa ennen pääsyn myöntämistä. Ensimmäinen tekijä on tyypillisesti salasana. Toinen on jotain, mihin vain tilin haltijalla on pääsy kirjautumishetkellä, kuten todennussovelluksen koodi tai rekisteröityyn puhelimeen lähetetty tekstiviesti. Molemmat täytyy antaa oikein kirjautumisen viimeistelemiseksi, mikä tarkoittaa, ettei varastettu salasana yksin riitä hyökkääjälle sisäänpääsyyn. WEMASYn verkkosivustorakentimella saat tämän käyttöön suoraan omalla sivustollasi.
Miksi minun pitäisi käyttää kaksivaiheista tunnistautumista sivustollani?
Salasanoja vaarannetaan säännöllisesti tietovuotojen, tietojenkalasteluhyökkäysten ja raa'an voiman työkalujen kautta. Kaksivaiheinen tunnistautuminen tarkoittaa, että vaikka hyökkääjä saisi salasanan, sillä ei voi viimeistellä kirjautumista ilman toista tekijää. Sivuston ylläpitäjätileillä, joilla onnistunut kirjautuminen voi johtaa haittaohjelman asentamiseen, tietojen varastamiseen tai sivuston lukitsemiseen, kaksivaiheinen tunnistautuminen on yksi vaikuttavimmista saatavilla olevista tietoturvatoimista.
Mikä on paras toisen tekijän tyyppi?
Todennussovellus on suositeltu toinen tekijä useimmille sivuston omistajille. Se luo aikaan sidotun koodin itse laitteella, jota ei lähetetä verkon yli ja joka ei siksi ole alttiina sieppaukselle samalla tavalla kuin tekstiviestikoodit. Laitteistopohjaiset suojausavaimet ovat turvallisempia mutta vähemmän käytännöllisiä jokapäiväiseen käyttöön. Tekstiviesti- ja sähköpostikoodit ovat parempia kuin ei toista tekijää lainkaan, mutta todennussovellus tasapainottaa turvallisuuden ja käyttömukavuuden parhaiten.
Mitä tapahtuu, jos menetän pääsyn toiseen tekijääni?
Useimmat alustat, jotka tukevat kaksivaiheista tunnistautumista, tarjoavat myös varakoodit käyttöönoton yhteydessä. Näillä kertakäyttöisillä koodeilla voi päästä tilille, jos toinen tekijä ei ole käytettävissä. Säilytä ne turvallisessa paikassa erillään todennukseen käytetystä laitteesta. Jos varakoodit katoavat eikä toinen tekijä ole käytettävissä, palautus vaatii tyypillisesti henkilöllisyyden todentamisen alustan tilinpalautusprosessin kautta, mikä voi viedä aikaa ja vaatia omistajuuden todisteiden antamista.
Suojaako kaksivaiheinen tunnistautuminen kaikilta kirjautumishyökkäyksiltä?
Se suojaa suurimmalta osalta tunnistetietoihin perustuvista hyökkäyksistä, mukaan lukien raaka voima, tunnistetietojen täyttö ja hyökkäykset, joissa käytetään muilta palveluilta varastettuja salasanoja. Se ei suojaa hyökkäyksiltä, jotka ohittavat kirjautumisen kokonaan, kuten sivuston ohjelmiston haavoittuvuuden hyödyntämiseltä tai pääsyltä vaarantuneen istunnon kautta. Kaksivaiheinen tunnistautuminen on kriittinen kerros ylläpitäjän pääsyn suojaamisessa, mutta toimii parhaiten osana laajempaa tietoturvaa, johon kuuluvat ohjelmistopäivitykset, vahvat salasanat ja säännölliset varmuuskopiot.
Pitäisikö kaksivaiheinen tunnistautuminen ottaa käyttöön muillakin tileillä kuin sivuston kirjautumisessa?
Pitäisi. Sekä palvelintilan hallintapaneelissa että verkkotunnusrekisterin tilillä pitäisi olla kaksivaiheinen tunnistautuminen käytössä. Kummankin käyttöä voidaan hyödyntää sivuston asetusten, DNS-tietueiden tai varmuuskopioiden muokkaamiseen tavoilla, jotka ohittavat sivuston oman kirjautumisen kokonaan. Myös tilin palautuksessa käytettävä sähköpostitili pitäisi suojata kaksivaiheisella tunnistautumisella, koska salasanan palautusprosessit lähettävät linkin kyseiseen osoitteeseen ja vaarantunutta sähköpostitiliä voidaan käyttää sivuston tilin kaappaamiseen.