Weryfikacja dwuetapowa (2FA) stała się obecnie nowym złotym standardem bezpieczeństwa. Po raz pierwszy zetknąłem się z nią na stronie internetowej mojego banku. Wtedy, jako biedny student, nie rozumiałem, dlaczego jest taka ważna. Nadal jestem biednym studentem, ale teraz rozumiem, dlaczego bankowość internetowa wymaga weryfikacji dwuetapowej. Nadal nie rozumiem, dlaczego moje konto Grammarly jej wymaga.
Weryfikacja dwuetapowa (2FA) Tak się dzieje, gdy wpisujesz swoją nazwę użytkownika i hasło, a potem zaskakuje Cię przerażający komunikat: „Wprowadź kod wysłany na [Twój adres e-mail]”. Teoretycznie to dodatkowa warstwa zabezpieczeń. Nawet jeśli ktoś zna Twoje dane logowania, nadal potrzebuje dostępu do Twojego adresu e-mail lub telefonu. Jednak w praktyce weryfikacja dwuetapowa stanowi większy problem dla użytkownika niż dla hakera.
Szybkie linki
Dostęp jest zbyt skomplikowany.
Nie musisz sprawdzać hamulców przed każdą podróżą.
Zasadniczo celem weryfikacji dwuetapowej jest utrudnienie dostępu i tak, działa – nie tylko dla hakerów, ale i dla mnie. Szanse, że loguje się nie ja, a jakiś haker, są nikłe, a jednak to ja jestem karany za pokonywanie przeszkód. Teraz potrzebuję co najmniej dwóch otwartych okien, żeby się zalogować gdziekolwiek. Najpierw strona internetowa. Potem mój adres e-mail, żeby uzyskać kod. Co gorsza, jeśli weryfikacja dwuetapowa opiera się na SMS-ach, muszę mieć pod ręką telefon.
To ten sam dylemat, który dotyczy każdego środka bezpieczeństwa. Możesz zapobiec awarii hamulców w swoim samochodzie, sprawdzając je przed każdą podróżą. To logiczne: jeśli nie chcesz, żeby Twoje hamulce się zepsuły, jeśli chcesz uniknąć wypadków i przedłużyć sobie życie, powinieneś sprawdzać hamulce w swoim samochodzie za każdym razem. Ale nikt tego nie robi, bo to niepraktyczne. Tak właśnie jest w przypadku uwierzytelniania dwuskładnikowego.
Korzystanie z VPN pogarsza sytuację. Prawie zawsze korzystam z VPN. Oznacza to, że naiwny punkt kontrolny weryfikacji dwuetapowej to „…Czy to ten sam adres IP?„Uczy mnie to prawie za każdym razem. Korzystanie z VPN-u konsekwentnie niszczy prywatność, ale bez niego jestem zmuszony do niekończącego się cyklu wykorzystywania kodów. Co więc mam robić, poza sięganie po pocztę lub telefon za każdym razem, gdy chcę się zalogować?
fałszywe poczucie bezpieczeństwa
Dobre nawyki są ważniejsze niż ciągłe ich poprawianie.
Oczywista jest różnica między posiadaniem Dobre nawyki dotyczące bezpieczeństwa poczty e-mail Nie wspominając o konieczności pokonywania przeszkód za każdym razem, gdy się logujesz. Nie potrzebujesz ścisłej kontroli jakości, jeśli masz dobry system zapewnienia jakości. Jeśli jeździsz odpowiedzialnie i regularnie wymieniasz hamulce, nie musisz ich sprawdzać przed każdą podróżą; ta sama logika ma zastosowanie w tym przypadku.
Nie zliczę, ile razy próbowałem zalogować się na konto Google na telefonie, a na urządzenie wysyłany był monit weryfikacyjny. Jeśli ktoś ma mój telefon, to koniec – nie potrzebuje nawet mojego hasła. Klucze otrzymuje w wiadomości e-mail lub SMS-ie. Uwierzytelnianie dwuskładnikowe za pośrednictwem SMS-ów jest jednak nadal powszechne. Zamiana kart SIM jest znanym i aktywnym zagrożeniem.Dwuskładnikowe uwierzytelnianie za pomocą SMS-ów jest wygodne, ale absurdalnie niebezpieczne. Żadna strona internetowa nie może twierdzić, że utworzyła Twoje konto. Bezpieczniej Poprzez dodanie uwierzytelniania dwuskładnikowego za pomocą wiadomości SMS.
Niepewny
Uwierzytelnianie dwuskładnikowe opiera się na niepewnych metodach dostarczania danych.
Chociaż uwierzytelnianie dwuskładnikowe jest uważane za fundament nowoczesnego bezpieczeństwa, jest dalekie od niezawodności. Moje doświadczenia z Google były dobre, ale uwierzytelnianie dwuskładnikowe Meta jest niespójne, a Microsoft wręcz fatalne (do tego wrócę później). Jeśli duże firmy technologiczne nie opanują uwierzytelniania dwuskładnikowego, jaka jest nadzieja dla małych firm? A jeśli polegają na usłudze zewnętrznej, co się stanie, gdy ta usługa przestanie działać – czy nagle stracimy dostęp do dziesiątek kont naraz?
Mój dostawca usług miał awarię w zeszłym tygodniu. Nie mogłem zalogować się do panelu sterowania, ponieważ kod SMS nie dotarł. Dzięki dwuskładnikowemu uwierzytelnianiu opartemu na SMS-ach, nawet najmniejsza awaria sieci może całkowicie zablokować dostęp do wiadomości.
Dostawcy traktują uwierzytelnianie dwuskładnikowe jako opcjonalne zabezpieczenie, a nie podstawową funkcję. Oznacza to, że nie zawracają sobie głowy solidnymi mechanizmami zapasowymi. Skoro każde konto z hasłem wymaga teraz uwierzytelniania dwuskładnikowego, dlaczego system nie działa w obie strony? Konta zakładane wyłącznie za pomocą telefonu lub poczty e-mail również powinny wymagać hasła zapasowego. Bo gdy uwierzytelnianie dwuskładnikowe zawodzi – a zdarza się to często – masz kłopoty.
Bałagan w skrzynce odbiorczej i prywatność
Tokeny wiążą się z ukrytymi kosztami.
Każda próba logowania kończy się otrzymaniem e-maila lub SMS-a, o który nigdy nie prosiłem. Uwierzytelnianie dwuskładnikowe sprawia, że jest to nieuniknione. Ciągle podaję swój adres e-mail lub numer telefonu firmom, którym wolałbym tego nie robić. Pamiętasz, jak można było zarejestrować się, podając tylko nazwę użytkownika i hasło? Wtedy trzeba było potwierdzić hasło; teraz potwierdza się adres e-mail. Hasła nie są już modne.
Problem z prywatnością jest głębszy. Kiedy mój dostawca poczty e-mail obsługuje kody uwierzytelniania dwuskładnikowego, monitoruje praktycznie każdą próbę logowania. Gmail wie, kiedy próbuję zalogować się do PayPala. Nie chcę, żeby Gmail o tym wiedział.
Włączenie weryfikacji dwuetapowej za pomocą wiadomości SMS jest gorsze, niż myśliszMój operator telekomunikacyjny, który zna już mój numer i lokalizację, wie teraz, z których aplikacji korzystam i kiedy. Chociaż nie używają tych kodów, żeby się za mnie zalogować, jest to bardzo niepokojące.
Nawet jeśli nie martwisz się zbytnio o prywatność, zdecydowanie chcesz mieć spokój ducha. Nie chcę podawać swojego numeru telefonu każdej stronie, na której się zarejestruję, a potem być bombardowanym irytującymi wiadomościami marketingowymi. Nie chcę odpowiadać „stop” na krótki kod, a potem płacić za to.
Naprawdę doceniam czystą skrzynkę odbiorczą, zwłaszcza wiadomości na iPhonie. Dlatego uwielbiałem iOS 26 – bo w końcu wprowadził foldery ze spamem na iPhone'ach. Ale w najgorszych przypadkach usługa używa tego samego numeru zarówno do weryfikacji dwuetapowej, jak i do wiadomości-śmieci. Zablokowanie numeru powoduje utratę dostępu do konta. Co za idealne rozwiązanie!
Stałe zamknięcia
Nadal nie pogodziłem się ze stratą konta Outlook.
Brak dostępu do zapasowej poczty e-mail, telefonu lub urządzenia może trwale zablokować dostęp do ważnych kont, a proces odzyskiwania jest niezwykle trudny. Przeżyłem ten koszmar z Microsoftem i ponad rok później wciąż płacę za to cenę.
Miałem adres e-mail w Outlooku powiązany z uczelnią i pracą. Wszystkie ważne konta – Asana, Slack, CMS, strony firmowe, LinkedIn, panel uczelniany, VPN – były połączone z tym adresem.
Chciałem tylko wysłać szkic mojej pracy magisterskiej profesorowi. Ale Outlook miał inne plany – zmusił mnie do ponownego uwierzytelnienia. Nie ma problemu. Podałem swój adres e-mail i hasło, ale to nie wystarczyło. Kod weryfikacji dwuetapowej został wysłany na mój zapasowy adres e-mail. Niestety, ten zapasowy adres e-mail był innym adresem e-mail w Outlooku, który również wymagał weryfikacji dwuetapowej.
Moim zapasowym adresem e-mail było konto Yahoo. Już się domyślacie, co się stało. Cały system zawalił się jak domino. Z braku czasu i cierpliwości kliknąłem „Resetuj hasło”. Odpowiedziałem poprawnie na dwa pytania bezpieczeństwa, ale usłyszałem, że moje konto zostało „zablokowane z powodu podejrzanej aktywności”.
Zanim odzyskałem dostęp do mojego dodatkowego konta Yahoo i Outlook, konto główne zniknęło. System odzyskiwania Microsoftu zażądał moich ostatnich tematów wiadomości e-mail (bez problemu), ostatnich kontaktów (bez problemu) oraz kraju, z którego się zalogowałem (niemożliwe – zawsze korzystałem z VPN). Pomyliłem się. Microsoft odebrał mi możliwość ponownej próby. Konto zostało trwale zablokowane.
Musiałem się pospieszyć i wszędzie zmieniać adresy e-mail, tłumaczyć to profesorom i współpracownikom oraz przepraszać za bałagan. Niektóre usługi nadal nie pozwalają mi zaktualizować loginu bez tego adresu Outlook. Jeśli się wyloguję, te konta znikną na zawsze.
Tak, moje nawyki związane z bezpieczeństwem nie były idealne. Nie powinienem był używać Outlooka jako kopii zapasowej Outlooka. Powinienem był regularniej sprawdzać kopie zapasowe. Ale ta kara jest zbyt surowa. Bezpieczeństwo powinno chronić użytkowników, a nie trzymać ich na uwięzi z ich własnymi kontami. Zamiast tego uwierzytelnianie dwuskładnikowe (2FA) zablokowało mi dostęp do życia. A w 2025 roku obsługa klienta nie będzie już opcją. Zamiast tego otrzymasz chatbota opartego na sztucznej inteligencji.
Lekarstwo jest gorsze niż choroba
Biorąc wszystko pod uwagę, rozumiem, dlaczego uwierzytelnianie dwuskładnikowe (2FA) jest przedstawiane jako zabezpieczenie przed nieautoryzowanym dostępem, ale jego praktyczne zastosowanie okazało się bardziej problematyczne niż przydatne. Nadmierna złożoność dostępu, zawodność dostarczania kodu, bałagan i naruszenia prywatności w naszych skrzynkach odbiorczych oraz ryzyko przerażających, trwałych awarii – czy koszt tej dodatkowej warstwy zabezpieczeń naprawdę przewyższa jej zamierzone korzyści?
