3 min.
Mit: Uwierzytelnianie dwuskładnikowe jest wystarczającym zabezpieczeniem
Ten mit narodził się w okresie masowego wprowadzania kodów SMS i aplikacji typu Authenticator jako „ostatecznej broni” przeciwko kradzieży haseł. Przez lata wpajano nam, że nawet jeśli ktoś pozna nasze hasło, bez fizycznego dostępu do telefonu, to nic nie zdziała.
Prawda jest jednak brutalna: dwuskładnikowe uwierzytelnianie to nie jest tarcza nie do przebicia, a jedynie kolejna przeszkoda. To jeden z wielu elementów, który nas zabezpiecza. Dziś wiemy już, że np. współczesne ataki typu adversary-in-the-middle (AiTM) pozwalają hakerom tworzyć fałszywe strony logowania, które w czasie rzeczywistym przechwytują nie tylko hasło, ale i token. Co więcej, tzw. MFA Fatigue (bombardowanie użytkownika dziesiątkami powiadomień „czy to Ty się logujesz?” aż dla świętego spokoju kliknie „tak”) stało się skuteczną metodą łamania zabezpieczeń nawet w wielkich korporacjach. Niektórzy nawet świadomie z tej opcji rezygnują, skarżąc się na zbyt częste przepisywanie kodów.
| Kamil Porembiński Większość uwierzytelniania dwuskładnikowego jest źle wdrożona. To tak, jak pasy bezpieczeństwa, które trzeba umieć zapinać. Zimą to widać, że ludzie w samochodzie jeżdżą w kurtkach, przez co pas bezpieczeństwa nie zadziała. Bo pas bezpieczeństwa powinien przylegać na biodrach kolcowych. A jeżeli jest kurtka, to ona odstaje. Co się dzieje w razie wypadku? Lecisz do przodu, wybucha poduszka powietrzna, która rozwala Ci twarz, a pas bezpieczeństwa, zamiast cię trzymać, musi najpierw ścisnąć poduszkę, potem kurtkę i dopiero potem cię przyhamować. Dlatego wsiadając do samochodu, zdejmij kurtkę, zapnij pas. Zdecydowanie lepszym zabezpieczeniem niż kody są tzw. klucze sprzętowe, które nie są podatne na phishing, np. https://kamilporembinski.pl/yubikey-5c-nfc-usbc Znam przypadek agencji, do której się włamano, bo miała źle wdrożone dwuskładnikowe uwierzytelnianie. Ale to i tak nie załatwia wszystkiego, bo jest dużo elementów, które trzeba zrobić. Dwuskładnikowe zabezpieczenie nie chroni przed wieloma elementami. To jest jeden z elementów zabezpieczenia. To jest skomplikowane, dlatego są szkolenia i audyty. Szkoliłem kiedyś 500 osób. Miało to być zaawansowane szkolenie dla programistów, więc zacząłem od czegoś zaawansowanego, ale widzę po minach tych programistów, że lepiej zejść do podstaw. I tam była właśnie rozmowa na temat dwuskładnikowego uwierzytelnienia. Prezes mówi, że trzeba włączyć, to dwuskładnikowe uwierzytelnianie. Na co kierowniczka mówi: ale my to mamy włączone na naszych mailach. Owszem, mieli włączone jako SMSy przychodzące z kodami. I co się okazało w trakcie szkolenia? Nie dość, że nie wiedzieli, że mają włączone, to większość ludzi tą opcję wyłączało, bo ich denerwowało przepisywanie kodów. Więc IT wymyśliło i wdrożyło, kazało zrobić, po czym pracownicy to wyłączyli. |
Mit: Nie należy podłączać się do publicznego WiFi
Strach przed publicznymi sieciami w kawiarniach czy na lotniskach pochodzi z czasów, gdy większość stron internetowych korzystała z protokołu HTTP, a dane przesyłane były otwartym tekstem. Działo się to ponad 10 lat temu, dlatego też dziś ten lęk jest w dużej mierze nieuzasadniony.
Dzięki powszechnemu wdrożeniu protokołu HTTPS (TLS/SSL), dane między Twoją przeglądarką a serwerem są szyfrowane end-to-end. Według Google Transparency Report (2024), ponad 95% stron internetowych odwiedzanych w przeglądarce Chrome (na wszystkich platformach) jest ładowanych przez protokół HTTPS. W systemach Android i Windows wskaźnik ten wynosi od 95% do 99%.
Źródło: https://transparencyreport.google.com/https/overview
Nawet jeśli haker kontroluje router, widzi jedynie bełkot, a nie Twoje wiadomości czy numery kart. Dodatkowo nowoczesne systemy operacyjne używają randomizacji adresów MAC. Choć korzystanie z publicznego Wi-Fi do aktualizacji oprogramowania układowego banku nadal wymaga ostrożności, to dla przeciętnego użytkownika przeglądającego sieć jest ono obecnie bezpieczniejsze niż kiedykolwiek.
| Kamil Porembiński Do dzisiaj mówi się, że nie wolno podłączać się do publicznego Wi-Fi. A to od 2015 roku już jest mit. Od tego czasu wiele się zmieniło w internecie. I do 2015 roku nie wolno było tego robić, ale jesteśmy w 2026 roku. A na szkoleniach z cyberbezpieczeństwa dalej informatycy tak mówią. Powtarzają: nie podłączajcie się do publicznego Wi-Fi, nie logujcie się do banku. Ba, to samo widać, jak wejdziecie sobie na stronę banków. To jest mitem. A dlaczego tak jest? Bo na stronach banków o cyberbezpieczeństwie pisze copywriter, który często powiela to, co kiedyś, gdzieś przeczytał. |