Moduuli 2 · 2.3
Kaksivaiheinen tunnistautuminen: koodit, sovellukset ja tekstiviestit
Moduuli 2: Salasanat ja kirjautuminen · Lukuaika: 11 minuuttia
Tavoite: Tämän oppitunnin jälkeen osaat vertailla kaksivaiheisen tunnistautumisen muotoja (tekstiviesti, sähköposti, TOTP, push-ilmoitus), tunnistaa niihin kohdistuvat hyökkäykset ja järjestää palautuksen sen varalle, että puhelimesi katoaa.
Keskeiset käsitteet: 2FA/MFA, tekijä (tietäminen, hallussapito, oleminen), TOTP, jaettu salaisuus, push-ilmoitus, MFA-väsymys, sim-kortin vaihtohuijaus, palautuskoodit
Kaksi erilaista todistetta
Salasana on jotain, mitä tiedät. Jos se vuotaa, kuka tahansa sen tietävä pääsee kirjautumaan sisään. Kaksivaiheinen tunnistautuminen (2FA) vaatii siksi toisen, erityyppisen todisteen. Kun tekijöitä on enemmän kuin kaksi, puhutaan monivaiheisesta tunnistautumisesta (MFA); käytännössä termejä käytetään ristiin.
Tekijöitä on kolmenlaisia:
- Tietäminen: salasana tai pin-koodi.
- Hallussapito: puhelimesi jossa on sovellus, turva-avain, kortti.
- Oleminen: sormenjälkesi tai kasvosi.
Kaksi samaa tyyppiä ei lasketa kahdeksi tekijäksi: salasana ja turvakysymys ovat molemmat asioita, jotka tiedät. Alankomaiden NCSC antaa painokkaan suosituksen käyttää MFA:ta jokaisessa järjestelmässä ja tilissä, joka sitä tukee, ja erityisesti tileissä jotka ovat tavoitettavissa internetin kautta sekä tileissä joilla on ylläpitäjän oikeuksia. Pienelle yritykselle näitä ovat ainakin: sähköposti, webhotelli (hosting) ja verkkotunnuksen rekisteröinti, pankki, kirjanpito, verkkokauppa, salasanojen hallintaohjelma ja yrityksen sosiaalisen median tilit.
Muodot rinnakkain
| Muoto | Miten se toimii | Heikko kohta | Suojaako tietojenkalastelulta? |
|---|---|---|---|
| Koodi tekstiviestillä | Palvelu lähettää koodin puhelinnumeroosi | Sim-kortin vaihtohuijaus, sieppaus, numerosi ei ole sama kuin laitteesi | Ei |
| Koodi sähköpostilla | Palvelu lähettää koodin sähköpostilaatikkoosi | Yhtä vahva kuin sähköpostilaatikkosi: jos se on vallattu, tämä ei ole toinen lukko | Ei |
| Autentikaattorisovellus (TOTP) | Sovellus luo uuden koodin 30 sekunnin välein | Salaisuus voi vuotaa käyttöönoton yhteydessä tai huonossa varmuuskopiossa; kirjoitat koodin itse | Ei |
| Push-ilmoitus | Puhelimesi kysyy "Oletko tämä sinä?" ja napautat Hyväksy | MFA-väsymys | Ei, numeron syöttäminen on parempi |
| Passkey tai turva-avain | Laitteesi todistaa salausteknisesti kuka olet, vain oikealle verkkotunnukselle | Palautus jos kaikki on kadonnut | Kyllä (oppitunti 2.4) |
Jokainen muoto on paljon parempi kuin ei toista vaihetta lainkaan. Mutta taulukko osoittaa myös tämän: kaikki missä kirjoitat koodin itse tai hyväksyt ilmoituksen, voidaan saada sinut tekemään huijarin vale-sivustolla. NIST sanoo sen suoraan standardissa SP 800-63B-4: menetelmät, joissa syötät tuloksen käsin, eivät ole suojattuja tietojenkalastelulta.
Miten autentikaattorisovellus toimii
Autentikaattorisovellus käyttää TOTP-tekniikkaa: Time-based One-Time Password, kuvattu RFC 6238:ssa. Se toimii näin:
- Käyttöönoton yhteydessä palvelu luo satunnaisen jaetun salaisuuden, esimerkiksi 32 merkkiä kuten
JBSWY3DPEHPK3PXP.... Tämä salaisuus on QR-koodissa jonka skannaat, tai kirjoitat sen itse "manuaalisena avaimena". - Sovelluksellasi ja palvelulla on nyt molemmilla sama salaisuus. Sen jälkeen niiden välillä ei tarvita enää yhteyttä.
- Molemmat laskevat 30 sekunnin välein salaisuudesta ja nykyisestä ajasta 6-numeroisen koodin. Koska niillä on sama salaisuus ja sama kello, tulos on sama koodi.
- Kirjautuessa palvelu vertaa koodiasi omaan tulokseensa, yleensä yhden aikajakson marginaalilla eteen- tai taaksepäin, jos kello poikkeaa hieman.
Tästä seuraa kaksi asiaa:
- Salaisuus on itse varsinainen lukko. Jos joku näkee QR-koodin tai manuaalisen avaimen, hän voi ikuisesti luoda samat koodit kuin puhelimesi. Älä siis ota siitä kuvakaappausta, älä jaa sitä kenellekään äläkä lähetä sitä kollegalle.
- Koodi toimii myös ilman internetyhteyttä eikä tule puhelinverkon kautta. Siksi TOTP on vahvempi kuin tekstiviesti.
Autentikaattorisovelluksia on monenlaisia: erillisenä puhelimessasi, salasanojen hallintaohjelmaan sisäänrakennettuna, avoimen lähdekoodin versioina tai suuren teknologiayrityksen tekemänä, pilvessä olevalla salatulla varmuuskopiolla tai ilman. Esimerkkejä ovat Aegis, Google Authenticator ja Microsoft Authenticator, sekä toiminto hallintaohjelmissa kuten Bitwarden tai 1Password. Varmuuskopio on kätevä uutta puhelinta varten, mutta Alankomaiden NCSC varoittaa: huonosti salattu varmuuskopio antaa pääsyn myös hyökkääjälle.
Sim-kortin vaihtohuijaus: miksi tekstiviesti on heikoin muoto
Niin sanotussa sim-kortin vaihtohuijauksessa huijari valtaa puhelinnumerosi. Hän siirtää numerosi itse hallitsemalleen sim-kortille tai eSIM:lle. Tämä onnistuu esimerkiksi esiintymällä operaattorillesi sinuna, tai saamalla sinut itsesi avustamaan: Alankomaiden NCSC varoittaa tekstiviesteistä ja puheluista, jotka väittävät tulevansa operaattoriltasi ja joissa pyydetään vahvistamaan sim-kortti tai vaihtamaan se kiireellisesti eSIM:iksi.
Kun se onnistuu:
- puhelimessasi ei yhtäkkiä ole enää kuuluvuutta, etkä voi itse soittaa tai lähettää tekstiviestejä;
- huijari saa kaikki tekstiviestikoodit, myös niiden palveluiden "unohtuneen salasanan" koodit, jotka käyttävät numeroasi palautuskeinona;
- hän voi joskus vallata tilejä pelkällä numerollasi.
Hankala puoli: huomaat sen vasta kun puhelimesi ei enää toimi, usein illalla tai viikonloppuna. NIST kutsuu siksi tekstiviestiä rajoitetuksi menetelmäksi ja sanoo, että palveluiden tulisi kiinnittää huomiota merkkeihin kuten uusi sim-kortti tai siirretty numero. Alankomaiden NCSC suosittelee tekstiviestin välttämistä mahdollisuuksien mukaan, koska viestit eivät ole salattuja ja ne voidaan siepata.
Mitä teet?
- Valitse mahdollisuuksien mukaan sovellus tai passkey tekstiviestin sijaan.
- Poista puhelinnumerosi palautuskeinona siellä missä se on heikko kohta, tai suojaa se erikseen.
- Kysy operaattoriltasi, voitko asettaa ylimääräisen pin-koodin tai tarkistuksen numerosi siirtoa varten.
- Jos kuuluvuutesi katoaa yhtäkkiä ilman syytä? Soita operaattorillesi toisesta laitteesta. Älä jää odottamaan.
Tekstiviesti on silti parempi kuin ei mitään. Jos palvelu tarjoaa vain tekstiviestin, ota se silti käyttöön.
MFA-väsymys: ilmoitus jonka vain klikkaat pois
Kun käytät push-ilmoitusta, sinun ei tarvitse kirjoittaa mitään: puhelimesi kysyy "Yritätkö kirjautua sisään?" ja napautat Hyväksy. Helppoa, ja juuri siksi sitä käytetään väärin.
Niin kutsutussa MFA-väsymyksessä (myös push-pommitus) hyökkääjällä on jo salasanasi. Hän kirjautuu sisään yhä uudelleen, jolloin puhelimeesi tulee ilmoitus toisensa jälkeen, joskus keskellä yötä. Yhdysvaltalainen CISA kuvaa, miten ihmiset tällöin napauttavat Hyväksy turhautumisesta tai vahingossa, tai ajattelevat että yksi ilmoituksista on varmasti aito. Joskus hyökkääjä myös soittaa perään "helpdeskinä" ja pyytää hyväksymään ilmoituksen.
Käytännön tapaus, jonka Alankomaiden NCSC on kuvannut: hyökkääjät pääsivät MFA-väsymyksen avulla ohjelmistoyrityksen sähköpostitileille ja käyttivät niitä sittemmin laskupetokseen.
Säännöt:
- Älä koskaan hyväksy ilmoitusta, jota et itse aiheuttanut. Ei edes kahdettakymmenettä.
- Odottamaton ilmoitus tarkoittaa, että jollakulla on salasanasi. Vaihda se heti ja ilmoita asiasta.
- Valitse mahdollisuuksien mukaan numeron syöttäminen: kirjautumisnäyttö näyttää numeron, jonka kirjoitat sovellukseen. Se, joka ei istu kirjautumisnäytön edessä, ei voi tällöin hyväksyä pyyntöä. CISA kutsuu tätä hyväksi välivaiheeksi, mutta heikommaksi kuin tietojenkalastelulta suojattu MFA.
Palautus: järjestä se ennen kuin puhelimesi katoaa
Puhelimesi putoaa veteen, varastetaan tai hajoaa. Ilman valmistautumista jäät tällöin omien tiliesi ulkopuolelle. Siksi on olemassa palautuskoodeja (myös varmuuskopiokoodeja): rivi varakoodeja, jotka saat käyttöönoton yhteydessä ja joista jokainen toimii vain kerran.
- Älä säilytä niitä samassa puhelimessa kuin autentikaattorisovelluksesi. Tulosta ne ja säilytä tärkeiden paperiesi kanssa, tai tallenna ne salasanojen hallintaohjelmaasi oikean kohteen yhteyteen.
- Käytitkö palautuskoodin? Yliviivaa se. Jos ne loppuvat, luo uusia.
- Varmista vähintään kaksi tapaa päästä sisään: esimerkiksi sovellus ja palautuskoodit, tai kaksi turva-avainta.
- Uutta puhelinta hankkiessasi siirrä tilisi ensin uuteen laitteeseen ja pyyhi vasta sitten vanha tyhjäksi.
- Tiedä, miten tärkeimpien palveluidesi palautusmenettely toimii. Hyvä palvelu ei vain palauta toista vaihettasi sähköpostiviestin tai puhelinsoiton perusteella, vaan tarkistaa ensin että kyseessä todella olet sinä.
Käytännössä: tältä se näyttää
WebOkén ympäristössä Oma WebOké kysyy salasanan jälkeen aina toisen vaiheen: oletuksena koodin sähköpostilla, ja voit vaihtaa autentikaattorisovellukseen. DirectAdminissa se on nimeltään Two-Step Authentication, palautuskoodien kera. Nextcloudissa otat TOTP:n käyttöön ja luot kymmenen varmuuskopiokoodia. Muilla palveluntarjoajilla se toimii vastaavasti: etsi profiili- tai suojausasetuksistasi "kaksivaiheinen tunnistautuminen", "2FA", "authenticator" tai "two-factor".
Vaiheet ovat lähes aina samat: skannaa QR-koodi, syötä yksi koodi vahvistukseksi, tallenna palautuskoodit.
Yhteenveto
- 2FA yhdistää kaksi tekijätyyppiä: tietäminen, hallussapito, oleminen.
- TOTP toimii jaetun salaisuuden ja kellon avulla. Salaisuus (QR-koodi) on itse varsinainen lukko: älä jaa sitä koskaan.
- Tekstiviesti on heikoin muoto sim-kortin vaihtohuijauksen ja sieppauksen takia, mutta parempi kuin ei mitään.
- MFA-väsymys: älä koskaan hyväksy ilmoitusta, jota et itse aiheuttanut, ja vaihda tällöin salasanasi.
- Koodit ja ilmoitukset eivät ole suojattuja tietojenkalastelulta; passkeyt ja turva-avaimet ovat (oppitunti 2.4).
- Järjestä palautuskoodit ja toinen menetelmä ennen kuin puhelimesi katoaa.
Tietovisa
Tehtävä
Tehtävä A2.3: Autentikaattorisovelluksen yhdistäminen. Saat QR-koodin harjoitustililtä "WebOké oefening". Skannaa se valitsemallasi autentikaattorisovelluksella ja syötä kaksi peräkkäin näkyvää koodia. Ohjelma tarkistaa, laskeeko sovelluksesi oikein. Harjoitussalaisuudella ei ole arvoa ja se poistetaan 24 tunnin kuluttua; poista harjoitustili tämän jälkeen sovelluksestasi.
Tehtävä D2.3: Kaksivaiheisen tunnistautumisen käyttöönotto tärkeimpiin tileihisi. Ota kaksivaiheinen tunnistautuminen käyttöön sähköpostissasi, webhotellissa (hosting) tai verkkotunnuksen rekisteröinnissä, pankissa, kirjanpidossa ja salasanojen hallintaohjelmassa. Säilytä palautuskoodit toisessa paikassa ja vastaa kysymykseen, mitä teet jos puhelimesi katoaa huomenna.
Tehtävä D2.3: Kaksivaiheisen tunnistautumisen käyttöönotto tärkeimpiin tileihisi
Näin teet sen: (1) Tee lista tärkeimmistä tileistäsi: sähköposti, webhotelli ja verkkotunnuksen rekisteröinti, pankki, kirjanpito, verkkokauppa, salasanojen hallintaohjelma, yrityksen somekanavat. (2) Ota jokaiseen käyttöön kaksivaiheinen tunnistautuminen. Valitse tässä järjestyksessä se, mitä palvelu tarjoaa: passkey tai turva-avain, authenticator-sovellus, push-ilmoitus jossa kirjoitat numeron uudelleen, koodi sähköpostitse, tekstiviesti. (3) Tallenna jokaisen palautuskoodit toiseen paikkaan (tulostettuna tai salasanojen hallintaohjelmassa), ei samaan puhelimeen kuin authenticator-sovellus. (4) Varmista, että jokaiseen tärkeään tiliin pääsee sisään vähintään kahdella tavalla. (5) Kysy operaattoriltasi, voitko asettaa lisätarkistuksen tai pin-koodin numerosi siirtoa varten. (6) Sovi tiimisi kanssa: kirjautumisilmoitusta, jota et itse ole aiheuttanut, et koskaan hyväksy; ilmoitat siitä heti.
Merkintäsi ja muistiinpanosi pysyvät vain tässä selaimessa, emme lähetä niitä minnekään. Jos olet kirjautunut sisään, tallennamme kohtaan Omat kurssit vain sen, että olet tehnyt tehtävän.
Lue lisää
WebOkén artikkeleiden vaiheet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla se toimii vastaavasti.
- Kaksivaiheinen tunnistautuminen Oma WebOké -palvelussa ja authenticator-sovelluksen käyttöönotto
- WebOké-käyttöopas 3.2: Sähköpostitse lähetettävä kirjautumiskoodi (kaksivaiheinen tunnistautuminen)
- WebOké-käyttöopas 3.3: Todennussovelluksen käyttäminen
- DirectAdmin-ohje 3.2: Kaksivaiheisen tunnistautumisen käyttöönotto
- DirectAdmin-ohje 3.3: Varakoodit ja mitä tehdä, jos authenticator-sovellus katoaa
- Nextcloud-opas 3.3: Authenticator-sovelluksen käyttöönotto ja varakoodien tallentaminen
- Nextcloud-opas 3.10: Puhelin hukassa tai 2FA hukassa: näin pääset taas sisään
- Kaksivaiheisen todennuksen (2FA) käyttöönotto Nextcloudissa
- Alankomaiden NCSC, Miten valitset MFA-menetelmän? (alkuperäinen hollanninkielinen sivu): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
- Ilmoita huijausviestistä Kyberturvallisuuskeskukselle: https://www.kyberturvallisuuskeskus.fi/
- CISA, Implementing Number Matching in MFA Applications (englanniksi): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (englanniksi): https://www.rfc-editor.org/rfc/rfc6238