2FA: ce este autentificarea în doi pași, ce metode există și pe ce conturi s-o activezi mai întâi

2FA înseamnă „two-factor authentication", în română autentificare în doi pași sau cu doi factori. Ideea e simplă: parola singură nu mai ajunge ca să intri într-un cont. Mai trebuie ceva, pe care îl ai tu și nu îl are cel care ți-a aflat parola. În practică, este una dintre cele mai eficiente măsuri de securitate pe care le poți lua într-o după-amiază, fără costuri mari.

Ghidul explică ce sunt cei doi factori, ce metode există, ce slăbiciuni au, pe ce conturi merită să activezi 2FA întâi și cum eviți să te blochezi singur.

Cei trei factori de autentificare

Orice autentificare se sprijină pe una sau mai multe dintre trei categorii:

• Ceva ce știi: parola, un cod PIN.
• Ceva ce ai: telefonul, o cheie fizică, un card.
• Ceva ce ești: amprenta, fața.

2FA combină două categorii diferite. Parola și încă o parolă nu sunt 2FA, pentru că ambele sunt „ceva ce știi". Parola și un cod de pe telefon sunt, pentru că adaugă „ceva ce ai".

De ce parola singură nu mai ajunge

Parolele ajung la atacatori în câteva feluri: le păcălești prin phishing, se scurg din breșele altor servicii, sunt ghicite sau, simplu, sunt refolosite pe mai multe conturi. Un atacator care are parola și nu are al doilea factor se oprește la pasul doi. Pentru un cont de e-mail al firmei sau pentru banca online, asta schimbă mult riscul.

Atenție totuși: 2FA nu înlocuiește o parolă bună. Parola trebuie să fie în continuare lungă și unică pentru fiecare cont; despre cum o creezi vezi Parola puternică: cum o creezi cu un generator de parole și de ce lungimea contează mai mult decât simbolurile. 2FA e plasa de siguranță, nu fundația.

Metodele de 2FA, de la cele mai slabe la cele mai solide

1. Cod prin SMS

Primești un cod pe telefon. E comod și funcționează oriunde, dar are slăbiciuni: un atacator poate convinge operatorul să mute numărul pe altă cartelă, iar mesajele pot fi cerute victimei printr-un apel sau un mesaj fals. Merită folosit dacă e singura opțiune, nu ca prim alegere.

2. Aplicația de autentificare (coduri care se schimbă la câteva zeci de secunde)

O aplicație pe telefon generează un cod nou la scurt timp. Codul nu călătorește prin rețeaua operatorului și nu depinde de numărul de telefon. E alegerea potrivită pentru majoritatea conturilor. Slăbiciunea: dacă pierzi telefonul și nu ai codurile de rezervă, ai o problemă.

3. Notificare de confirmare în aplicație

Serviciul îți trimite o întrebare „Tu ești?" pe telefon. E comodă, dar atenție: dacă primești confirmări pe care nu le-ai cerut, nu apăsa „Da" doar ca să dispară. Un atacator care are parola poate trimite repetat cereri, sperând că te plictisești.

4. Cheia fizică de securitate

Un dispozitiv mic, introdus în calculator sau apropiat de telefon. Este cea mai rezistentă metodă la phishing, pentru că verifică adresa reală a site-ului: pe un site fals, cheia pur și simplu nu răspunde. E ideală pentru conturile cele mai importante. Cumpără două chei, ca una să fie de rezervă.

Phishing și 2FA: nu sunt o garanție absolută

Un site fals poate cere nu doar parola, ci și codul de la al doilea pas, pe care atacatorul îl folosește pe loc, pe site-ul real. De aceea 2FA reduce mult riscul, dar nu înlocuiește atenția. Regula rămâne aceeași: nu introduci date după un link primit; intri singur, din marcaje sau tastând adresa. Cum recunoști un mesaj fals și ce faci în primele minute după un click greșit găsești în Phishing: cum recunoști un mesaj fals și ce faci în primele minute dacă ai dat click.

Pe ce conturi activezi 2FA mai întâi

Nu trebuie să le faci pe toate într-o zi. Ordinea contează:

1. E-mailul principal și e-mailul firmei. Prin el se cer resetările tuturor celorlalte conturi; dacă e preluat, restul cad pe rând.
2. Banca și plățile online.
3. Domeniul și hostingul, pentru că cine le controlează controlează site-ul și adresele de e-mail.
4. Contabilitatea, facturarea și conturile legate de instituții. Pentru firmele care lucrează cu facturare electronică, un exemplu de context găsești în ghidul aplicație de facturare cloud și securitate de pe SpokApp.
5. Conturile de social media și publicitate.
6. Restul serviciilor, pe măsură ce ai timp.

Cum să nu te blochezi singur

Cea mai frecventă problemă cu 2FA nu este atacatorul, ci pierderea accesului propriu: telefon nou, telefon pierdut, aplicație ștearsă. Pregătește-te dinainte:

• Salvează imediat codurile de rezervă pe care serviciul le oferă la activare. Se arată o singură dată.
• Nu le ține pe același telefon cu aplicația de autentificare.
• Notează unde e legat fiecare cont: pe ce număr, pe ce aplicație, pe ce cheie.
• La schimbarea telefonului, mută întâi conturile pe noul dispozitiv și abia apoi scoate-l din uz pe cel vechi.

Un seif de parole este un loc potrivit pentru notițele despre conturi și pentru codurile de rezervă, pentru că tot ce e în el este criptat pe dispozitiv înainte de a pleca spre server. Un manager de parole nu înlocuiește 2FA, dar îți ține la un loc parola, notița despre unde e legat contul și codurile de rezervă.

2FA într-o firmă sau o asociație

Aici apare problema pe care o au puține persoane fizice: 2FA legat de telefonul personal al unui angajat. Dacă acesta pleacă, contul poate rămâne blocat. Câteva reguli:

• Pentru conturile critice ale firmei, folosește o metodă care nu depinde de telefonul personal al unui singur om, de pildă o cheie fizică ținută de firmă.
• Documentează cine administrează 2FA pe fiecare cont și unde sunt codurile de rezervă.
• La plecarea unui angajat, treci printr-o listă de verificare care include și mutarea factorilor de autentificare. Pașii sunt descriși în Plecarea unui angajat: ce faci cu parolele și conturile firmei.

Ce face SpokPass și ce nu face (încă)

Ca să fim cinstiți: 2FA (TOTP) pe contul SpokPass este planificată, dar nu e disponibilă. Până atunci, seiful este apărat de alte straturi. Parola master nu pleacă de pe dispozitiv, iar serverul primește doar blocuri criptate. Cheia derivată din parolă folosește Argon2id (64 MiB, 3 iterații) în browser, încercările greșite sunt limitate (5 parole greșite blochează contul 5 ore), iar seiful se blochează automat după inactivitate (implicit 15 minute). Pentru că parola master este singura cheie de acces, ea trebuie să fie lungă și unică, iar kitul de recuperare păstrat separat.

Concluzie

Dacă ai de ales o singură măsură pentru azi, activează 2FA pe e-mail, apoi pe bancă. Preferă aplicația de autentificare sau cheia fizică în locul SMS-ului, salvează codurile de rezervă înainte să închizi pagina și nu uita că atenția la phishing rămâne obligatorie. Restul conturilor le faci pe rând, săptămână de săptămână.