Wyciek danych z innego serwisu może zagrozić kontom w Twoim produkcie.
Jeśli klient używa tego samego hasła na kilku stronach, ujawnione dane logowania mogą pasować również do Twojej. Dalsze skutki zależą od możliwości konta: osoba nieuprawniona może przeczytać umowy, pobrać dokumenty lub zmienić dane do wypłat. Zespół może wtedy potrzebować czasu, by pomóc klientowi odzyskać dostęp i ustalić, co zrobiono na jego koncie.
Uwierzytelnianie dwuskładnikowe, czyli 2FA, pomaga chronić przed takim logowaniem. Właściciel produktu ma tu kilka decyzji do podjęcia: komu narzucić dodatkową ochronę, jak zachować wygodę logowania i co zrobić, gdy użytkownik straci telefon. Samo dodanie pola na kod nie zamyka zadania.
Co daje drugi składnik
Hasło i odpowiedź na pytanie zabezpieczające można wyłudzić jednocześnie. Dodatkowe pytanie na ekranie nie zapewnia więc takiej ochrony jak sprawdzenie, czy użytkownik ma dostęp do swojego urządzenia. Nawet skomplikowane hasło nie pomoże, jeżeli ktoś sam wpisze je na fałszywej stronie.
Silniejsze uwierzytelnianie nie zamyka wszystkich dróg przejęcia konta. Oszust może wyłudzić kod jednorazowy, a zainfekowane urządzenie może umożliwić kradzież aktywnej sesji. Dlatego metoda potwierdzania ma znaczenie, a uprawnienia użytkowników i bezpieczeństwo aplikacji nadal wymagają osobnej uwagi.
Które konta wymagają ochrony silniejszej niż hasło
Przejęcie konta administratora ma inne konsekwencje niż przejęcie zwykłego konta klienta. Od tego warto zacząć ustalanie priorytetów.
Administratorzy i pracownicy z szerokimi uprawnieniami powinni obowiązkowo korzystać z 2FA. Jeżeli konto pozwala wyeksportować bazę klientów, zmienić ustawienia wypłat lub nadawać uprawnienia innym osobom, daje kontrolę nad cudzymi danymi i samym produktem. Pozostawienie ochrony jako opcji oznacza pozostawienie ryzyka także dla firmy. Wielkość zespołu niczego tu nie zmienia: w małej firmie jedna osoba również może mieć dostęp do wszystkiego.
W kontach klientów liczą się dane i działania dostępne po zalogowaniu. Poufne umowy wymagają ochrony dostępu również wtedy, gdy użytkownik tylko je czyta. Przelew lub zmianę danych do wypłat można objąć dodatkowym potwierdzeniem przed wykonaniem operacji. Kod wymagany dopiero przy przelewie nie ochroni dokumentów, które osoba nieuprawniona zdążyła już przeczytać.
Ochrona konta: trzy decyzje
Logowanie
Poufne dokumenty i szerokie uprawnienia
Weryfikacja przy logowaniu
Ważne operacje
Przelewy i zmiana danych do wypłat
Potwierdzenie przed wykonaniem operacji
Odzyskiwanie konta
Utrata telefonu lub drugiego składnika
Potwierdzenie prawa do konta
Inny priorytet ma konto, na którym zapisywana jest wyłącznie kolekcja publicznie dostępnych materiałów. Można objąć je kolejnym etapem wdrożenia, zabezpieczając wcześniej konta o większym znaczeniu. Trzeba jednak upewnić się, że za prostym interfejsem rzeczywiście nie kryją się poufne dane ani możliwość działania w imieniu klienta.
Warto zapisać, których możliwości produkt nie może udostępniać po podaniu samego hasła. Dzięki temu zespół będzie wiedział, jakie wymagania dotyczą logowania przy dodawaniu nowej funkcji. Obowiązki branżowe i prawne wymagają osobnej oceny; przegląd uprawnień jej nie zastępuje.
Dodatkowa ochrona może być wygodna
Obowiązkowe 2FA nie oznacza, że klient musi sięgać po telefon przy każdym otwarciu strony. Produkt może utrzymywać potwierdzoną sesję i ponawiać weryfikację w określonych sytuacjach: podczas logowania z innego urządzenia, zmiany ustawień bezpieczeństwa lub przed ważną operacją. Konkretne warunki zależą od tego, co chroni usługa.
Na wygodę wpływa też wybrana metoda. Kody SMS, aplikacja uwierzytelniająca i klucze dostępu działają inaczej.
SMS
Użytkownik nie musi instalować dodatkowej aplikacji: kod przychodzi na przypisany numer. Dla serwisu oznacza to koszt wysyłki i zależność od dostarczenia wiadomości. Dla klienta brak zasięgu może oznaczać, że w danej chwili nie uda mu się zalogować.
Istnieje też ryzyko przejęcia numeru. Jeśli oszust doprowadzi do przeniesienia go na swoją kartę SIM, to on zacznie otrzymywać kody. Kod można również wyłudzić na fałszywej stronie. SMS może być etapem przejściowym po logowaniu opartym wyłącznie na haśle. Dla administratorów i operacji o poważnych konsekwencjach warto wybierać odporniejsze metody.
Aplikacja uwierzytelniająca
Taka aplikacja generuje kody jednorazowe bezpośrednio w telefonie. Po skonfigurowaniu nie potrzebuje do tego internetu ani sieci komórkowej: użytkownik nie czeka na wiadomość. Podczas konfiguracji trzeba jednak jasno wyjaśnić, jak powiązać aplikację z kontem i zachować możliwość logowania po zmianie telefonu.
Kod z aplikacji również można wyłudzić na fałszywej stronie. Przy kontach z szerokimi uprawnieniami to powód, by rozważyć metodę sprawdzającą także stronę, na której użytkownik się loguje.
Klucze dostępu
Klucz dostępu, czyli passkey, pozwala potwierdzić logowanie odciskiem palca, rozpoznaniem twarzy lub kodem PIN urządzenia. Weryfikacja jest powiązana z właściwą stroną, więc fałszywa strona nie otrzymuje kodu, który można wykorzystać do zalogowania się w serwisie. Pracownicy mogą też korzystać z osobnych kluczy sprzętowych obsługujących taką ochronę.
Przy odpowiedniej konfiguracji urządzenie i jego odblokowanie zapewniają dwa składniki uwierzytelniania. Użytkownik nie przepisuje kodu, a czasem w ogóle nie podaje hasła. Wzmocnienie ochrony może więc usunąć dodatkowy krok. Działanie tego sposobu logowania opisuje pomoc Google po polsku.
Wybór zależy od sprzętu używanego przez odbiorców. W zespole można uzgodnić urządzenia i wydać pracownikom klucze. W serwisie dla szerokiego grona klientów trzeba uwzględnić różne telefony, przeglądarki, współdzielone komputery i zapasowe sposoby logowania. Zespół programistyczny powinien sprawdzić te warunki, zanim ochrona stanie się obowiązkowa.
Jak przywrócić dostęp właścicielowi, nie wpuszczając osoby nieuprawnionej
Użytkownik zgubił telefon albo wymienił go bez przeniesienia aplikacji i nie ma już kodów. Taki scenariusz również należy do zakresu wdrożenia. W przeciwnym razie firma może otrzymać zabezpieczone konto, do którego nie potrafi dostać się jego właściciel, oraz zgłoszenia do wsparcia nieprzygotowanego do pomocy.
Jednorazowe kody odzyskiwania lub drugie zarejestrowane urządzenie dają zapasową drogę. Należy ją zaoferować podczas konfiguracji, gdy użytkownik wciąż ma dostęp. Wyjaśnienie, że należało zachować kody, już po ich utracie nie pomoże. Jeśli zniknęły wszystkie sposoby potwierdzenia, potrzebna będzie osobna procedura odzyskiwania; nie można obiecać natychmiastowego przywrócenia dostępu.
Co zlecić zespołowi programistycznemu
Najpierw ustal, jakie scenariusze obsługuje istniejący system logowania. Odpowiednie metody, obowiązek ochrony wybranych ról i odzyskiwanie konta mogą być już dostępne w ustawieniach. Wtedy wystarczy je skonfigurować i sprawdzić. Zmiany w produkcie będą potrzebne, jeśli system nie potrafi egzekwować wybranych zasad albo pozostawia inne drogi logowania bez wymaganej ochrony.
Wdrożenie najlepiej przetestować na ograniczonej grupie użytkowników. Pozwoli to sprawdzić, czy konfiguracja jest zrozumiała, wybrane metody działają na potrzebnych urządzeniach, a wsparcie potrafi pomóc po utracie dostępu. Pozostałym użytkownikom należy wcześniej wyjaśnić zmiany i dać czas na konfigurację, zanim ochrona stanie się obowiązkowa.
Przy odbiorze poproś zespół o pokazanie czterech rzeczy:
- Konta objętego obowiązkowym 2FA nie można otworzyć samym hasłem ani na stronie, ani w aplikacji, ani inną dostępną użytkownikowi drogą.
- Operacja objęta dodatkowym potwierdzeniem nie dochodzi do skutku bez niego. Przejście na inny ekran nie pozwala ominąć reguły.
- Odzyskiwanie działa zgodnie z uzgodnioną procedurą: właściciel z wymaganymi potwierdzeniami odzyskuje dostęp, a osoba nieuprawniona nie może po prostu poprosić o wyłączenie ochrony.
- Widoczne są błędy logowania i konfiguracji, zgłoszenia do wsparcia oraz odsetek osób, które nie ukończyły konfiguracji. Zespół potrafi ustalić, na którym kroku się zatrzymały.
Na tej podstawie można usuwać konkretne przeszkody. Gdy wiadomość nie przychodzi, a ekran pozwala tylko ponowić próbę, sama obecność 2FA niewiele daje klientowi. Wdrożenie musi uwzględniać również takie sytuacje.
Jeśli wdrożenie 2FA wymaga zmiany logowania, uprawnień lub odzyskiwania konta, zadanie obejmuje kilka części produktu. Warto projektować je wspólnie, aby nowe reguły działały we wszystkich przewidzianych scenariuszach.
W EL Pixel pomożemy zaprojektować te zmiany i wdrożyć 2FA w Twoim produkcie. Napisz, do czego służy serwis i jak użytkownicy logują się obecnie. Omówimy, które dane i działania wymagają ochrony oraz co trzeba zmienić. Gotowa specyfikacja techniczna nie jest potrzebna do pierwszej rozmowy.
