2FA: Πώς θα κρατήσεις ασφαλείς τους λογαριασμούς σου στο internet

Η ασφάλεια στο διαδίκτυο είναι ένα τεράστιο θέμα, το οποίο δεν είναι καινούριο. Από τις πρώτες υλοποιήσεις δικτύων και κοινόχρηστων υπολογιστών τη μακρινή δεκαετία του '60, είχε γίνει σαφές το ότι οι άνθρωποι θα προσπαθήσουν να αποκτήσουν πρόσβαση σε πράγματα που δεν τους ανήκουν. Αλλά ακόμη κι αυτό δεν είναι κάτι νέο· η ιστορία της ανθρωπότητας έχει να επιδείξει κλειδαριές διαφόρων ειδών χιλιετίες πριν από την έλευση του internet. Μάλιστα, βρίσκουμε κλειδαριές και διαφόρων ειδών μηχανισμούς στην Νινευή, την πρωτεύουσα των Ασσυρίων, αλλά και στην Αρχαία Αίγυπτο.

Όλα τα υλικά συστήματα κλειδώματος βασίζονται σε μία και μοναδική ιδέα, το ότι ο χρήστης «έχει» κάτι (δηλαδή το κλειδί). Μια κλειδαριά δεν μπορεί να «γνωρίζει» αν αυτός που έχει το κλειδί είναι ο νόμιμος χρήστης/κάτοχος, όπως και αν το κλειδί έχει παραχαραχθεί ή αντιγραφεί.

Μια άλλη ιδέα στην ασφάλεια είναι αυτή που βασίζεται σε κάτι που ο χρήστης «είναι». Η ασφάλεια στις τράπεζες, για παράδειγμα, μέχρι και σήμερα βασίζεται στην ταυτότητα του χρήστη. Πιο παλιά, τις εποχές που ο κόσμος ήταν μικρότερος και όλοι γνωρίζονταν μεταξύ τους, δεν χρειαζόταν καν ταυτότητα: πήγαινες στην τράπεζα και ο υπάλληλος σε ήξερε. Αν πήγαινε κάποιος άσχετος και έλεγε «είμαι ο τάδε», το σύστημα ασφαλείας της τράπεζας – δηλαδή ο υπάλληλος – απέκλειε την πρόσβαση. Αυτό το σύστημα, όμως, είχε το πρόβλημα πως βασιζόταν στην αξιοπιστία του υπαλλήλου. Καθώς ο κόσμος έγινε πιο περίπλοκος και οι μετακινήσεις πιο εύκολες, οι ίδιες οι τράπεζες έπρεπε να διασφαλίσουν τη λειτουργία τους, τόσο από κακόβουλους «χρήστες» όσο και από αναξιόπιστους υπαλλήλους. Έτσι μπήκε στη λειτουργία τους η ταυτοποίηση δύο παραγόντων.

2 Factor Authentication

Σκέψου την ταυτοποίηση δύο παραγόντων σαν ένα χρηματοκιβώτιο τράπεζας με δύο κλειδαριές: μία για τον νόμιμο κάτοχο του περιεχόμενου, και μία για τους υπαλλήλους της τράπεζας. Με αυτό τον τρόπο, ούτε ο νόμιμος κάτοχος μπορεί να ανοίξει το χρηματοκιβώτιο χωρίς να το γνωρίζει η τράπεζα, ούτε όμως και η τράπεζα (ή κάποιος πονηρός υπάλληλος) μπορεί να το ανοίξει, χωρίς να το γνωρίζει ο νόμιμος κάτοχος. Πρέπει και οι δύο να ξεκλειδώσουν ταυτοχρόνως τις κλειδαριές. Σε αυτή την περίπτωση συνδυάζεται η λογική του «κάτι που ο χρήστης έχει» (κλειδί) και «κάτι που ο χρήστης είναι», δηλαδή η ταυτότητά του, η οποία θα ελεγχθεί από τον υπάλληλο για να ανοίξει την δεύτερη κλειδαριά.

Στην ψηφιακή εποχή, η λογική έχει διευρυνθεί: εκτός των δύο προαναφερθέντων, του «έχει» και του «είναι», έχει προστεθεί και η λογική του «κάτι που ο χρήστης γνωρίζει». Προφανώς μιλάμε για το password, δηλαδή τους κωδικούς. Ήδη οι τράπεζες το έχουν χρησιμοποιήσει, και το λεγόμενο «two factor authentication» (2FA) είναι αυτό που χρησιμοποιείται σε όλα τα ATM εδώ και δεκαετίες: κάτι που ο χρήστης έχει (κάρτα αναλήψεων) και κάτι που ο χρήστης γνωρίζει (PIN). Αλλά το ίδιο ισχύει και για όλους τους λογαριασμούς από καταβολής δικτύων και internet: κάτι που ο χρήστης «είναι», δηλαδή το username του, και κάτι που ο χρήστης «ξέρει», δηλαδή το password. Από τη στιγμή, όμως, που το username ποτέ δεν διαφημίστηκε ως κάτι κρυφό, αυτό το σύστημα ασφαλείας εκπίπτει σε απλή «αυθεντικοποίηση» ενός παράγοντα.

Ένα βασικό πρόβλημα του απλού password είναι… η ίδια η ανθρώπινη φύση. Κανένας δε μπορεί να θυμάται ένα password πραγματικά τυχαίο και μακρόσυρτο – π.χ. LrQ~VP^XA-9X-000#y.u=[gz|'jHn2TA]'*.I=. Αλλά ακόμη κι αν κάποιος μπορούσε να θυμάται ένα, σίγουρα είναι αδύνατο να θυμάται δύο, πόσο μάλλον τα πολλά που χρειάζονται σήμερα, για όλους τους λογαριασμούς. Οι περισσότεροι άνθρωποι χρησιμοποιούν ίδια ή παρόμοια passwords στους περισσότερους λογαριασμούς, και μάλιστα passwords τα οποία σχετίζονται με τους ιδίους· ημερομηνίες γέννησης, διεύθυνση σπιτιού, ονοματεπώνυμο, ή κάτι παρόμοιο. Εκτός του ότι αυτά είναι (ή μπορούν να γίνουν) γνωστά σε οποιονδήποτε, η χρήση του ίδιου password σε πολλούς λογαριασμούς ενέχει έναν τεράστιο κίνδυνο: αρκεί ένα από όλα αυτά τα sites να έχει πρόβλημα ασφαλείας, για να διαρρεύσει το password σου σε κύκλους hackers. Αυτό, σε συνδυασμό με το username και το e-mail σου είναι αρκετά για να καταστήσουν όλους τους λογαριασμούς σου ορθάνοιχτους για χιλιάδες hackers σε όλο τον κόσμο!

Σύγχρονο 2-factor authentication

Πλέον όλοι έχουμε ένα κινητό στην τσέπη μας. Σχεδόν όλα τα σύγχρονα smartphones έρχονται με αναγνώστη δακτυλικού αποτυπώματος, κάτι που κάνει την παραβίασή του πάρα πολύ δύσκολη, ενώ τόσο η Google όσο και η Apple έχουν βάλει στο Android και στο iOS συστήματα κλειδώματος των συσκευών σε περίπτωση απώλειας ή κλοπής. Επομένως, η χρήση 2FA μέσω smartphone είναι η προτιμητέα λύση, και ειδικότερα οι κωδικοί μέσω των ειδικών «authenticator» apps, όπως το Google Authenticator ή το Microsoft Authenticator, ενώ υπάρχουν και άλλα, όπως το Authy ή το Lastpass, αν προτιμάς λύση από ανεξάρτητο κατασκευαστή. Αυτές οι λύσεις προσφέρουν συνεχώς μεταβαλλόμενους κωδικούς, ενώ πλεονεκτούν έναντι της λύσης του κωδικού μέσω SMS μιας και το σύστημα μετάδοσης μηνυμάτων μέσω SMS είναι εντελώς ανασφαλές – τα μηνύματα μεταδίδονται σε μορφή απλού κειμένου, χωρίς κρυπτογράφηση.

Τώρα λοιπόν ξέρεις τί είναι το 2FA αλλά και γιατί πρέπει να το ενεργοποιήσεις άμεσα σε όλους σου τους λογαριασμούς!