Парола и двустъпкова проверка

Модул 8: Сигурно и без притеснения · Време за четене: 10 минути

Учебна цел: След този урок ще можете да обясните какво е силна парола за Вашата пощенска кутия, какво трябва да направите на устройствата си след смяна, как се получава кодът от приложение за удостоверяване и какво двустъпковата проверка в webmail защитава и какво не.

Основни понятия: парола на пощенската кутия, мениджър на пароли, двустъпкова проверка, TOTP, споделена тайна, QR код, код за възстановяване, отклонение на часовника, IMAP и SMTP без втора стъпка

Защо пощенската кутия е най-важният Ви акаунт

Вашата пощенска кутия е връзката ключове на онлайн живота Ви. Почти всяка услуга изпраща по имейл връзка за нулиране на паролата. Който има достъп до пощата Ви, може следователно да поеме и онлайн магазина Ви, счетоводството Ви и социалните Ви мрежи. Освен това той може да изпраща писма от Ваше име до клиенти, които Ви имат доверие. Затова открадната пощенска кутия често се използва за измами с фактури или за изпращане на спам. Последното създава проблеми за целия Ви домейн: другите сървъри започват да отказват Вашата поща.

Две неща държат натрапника навън: добра парола и втора стъпка при вписване.

Силната парола е преди всичко дълга и уникална

Вашата парола на пощенската кутия принадлежи на един имейл адрес. Тя не е същата като паролата на клиентския Ви акаунт или на контролния панел на Вашия пакет (урок 1.3).

Какво прави една парола силна? Не удивителен знак след дума, а дължина и случайност. Нападателите опитват изтекли пароли и списъци с често използвани думи и шаблони. „Leto2026!“ присъства в такъв списък; поредица от четири случайни думи или двадесет случайни знака не присъства. Също толкова важно е паролата да е уникална. Ако изтекат данните на онлайн магазин, където сте използвали същата парола, престъпниците ще я опитат и на пощенската Ви кутия.

Практичното решение е мениджър на пароли: програма, която създава и запомня дълга случайна парола за всяка услуга. Тогава Вие запомняте само една силна главна парола.

След смяната: обновете всички устройства

Сменяте паролата в webmail от Настройки > Парола или в контролния панел на Вашия пакет, ако вече не помните старата. От този момент новата парола важи навсякъде: в webmail, на телефона Ви и в пощенската Ви програма.

Точно тук често нещата се объркват. Елена Димитрова сменя в понеделник паролата на elena@example.com. Веднага обновява лаптопа си. Забравя стария си таблет в кухнята. Таблетът продължава да се вписва на всеки няколко минути със старата парола. След определен брой неуспешни опити защитната стена (firewall) на сървъра забелязва връзка, която непрекъснато опитва грешна парола, и блокира IP адреса. Тъй като таблетът и лаптопът у дома споделят един и същ IP адрес, Елена изведнъж не може да достъпи пощата си и от лаптопа, а понякога и уебсайта си.

Затова след смяна веднага обновете всички устройства: телефон, таблет, пощенската програма на компютъра и евентуално принтер или скенер, който изпраща поща.

Двустъпкова проверка: нещо, което знаете, и нещо, което притежавате

С двустъпкова проверка (в webmail се нарича Двуфакторно удостоверяване) при вписване Ви трябват две неща: паролата (нещо, което знаете) и код от телефона (нещо, което притежавате). Ако някой се сдобие с паролата Ви чрез фишинг или изтичане на данни, той все още не може да влезе.

Кодът идва от приложение за удостоверяване, например приложението на Вашия мениджър на пароли или отделно приложение за такива кодове. Методът се нарича TOTP, time-based one-time password, и е описан в RFC 6238. Ето как работи:

1. При включването webmail създава споделена тайна: случайна поредица от знаци. Виждате я като таен ключ и като QR код.
2. Сканирате QR кода с приложението. Оттук нататък сървърът и телефонът Ви знаят една и съща тайна.
3. На всеки 30 секунди и двете страни изчисляват от тайната и текущото време код от шест цифри.
4. При вписване сървърът сравнява Вашия код със собствения си резултат.

От това следват две неща. Приложението няма нужда от интернет: то изчислява само с тайната и часовника. И часовникът трябва да е точен. Ако телефонът Ви избързва или изостава с няколко минути, той изчислява за друг времеви интервал и кодът не съвпада. Настройте часа на телефона си на автоматичен.

Трето следствие: QR кодът е самата тайна. Който има негова снимка или екранна снимка, може да създава същите кодове. Затова никога не го споделяйте и не го пазете като изображение.

На изображението виждате екрана, в който включвате двустъпковата проверка, с тайния ключ, кодовете за възстановяване и QR кода.

Кодове за възстановяване и изгубен телефон

При включването получавате и четири кода за възстановяване. Всеки работи веднъж, вместо код от приложението. Те са Вашият резервен ключ, ако телефонът Ви се повреди, бъде откраднат или сменен. Пазете ги на място, различно от телефона: в мениджъра на пароли или на хартия в чекмедже.

Ако използвате код за възстановяване, веднага настройте отново двустъпковата проверка с новия си телефон. Така ще получите и нови кодове за възстановяване. Ако вече нямате кодове за възстановяване, доставчикът на пощата Ви може да изключи втората стъпка за пощенската Ви кутия, след като провери самоличността Ви.

На собствения си компютър при вписване можете да изберете webmail да не иска отново код в продължение на 30 дни. На споделен компютър никога не правете това.

Какво двустъпковата проверка не защитава

Това е най-важният капан и много хора не го познават. Двустъпковата проверка в webmail важи само за webmail. Вашата пощенска програма и пощенското приложение на телефона се вписват чрез IMAP (получаване) и SMTP (изпращане), а те искат само паролата. Нападател с паролата Ви може следователно чрез пощенска програма все пак да чете пощата Ви и да изпраща писма от Ваше име.

Затова двустъпковата проверка е допълнение, а не заместител. Паролата Ви все така трябва да е дълга и уникална. Двустъпковата проверка за клиентския акаунт настройвате отделно; това е друг акаунт със собствена защита.

При големи услуги като Gmail или Outlook.com нещата стоят малко по-различно: там втората стъпка често важи за целия акаунт, а пощенската програма се нуждае от отделна парола за приложение или собствен метод за вписване. Идеята е същата: парола плюс нещо, което притежавате.

На практика: ето как става в webmail

Паролата сменяте от Настройки > Парола, а двустъпковата проверка включвате от Настройки > Двуфакторно удостоверяване. Там отметнете Активиране, оставете webmail да попълни полетата, сканирайте QR кода, проверете един код и запазете. Стъпките са описани в Ръководството за Roundcube (10.3, 10.4 и 10.5). Други webmail програми имат подобни настройки, често в раздел Security.

Обобщение

• Пощенската кутия е ключът към другите Ви акаунти: защитете я с дълга, уникална парола от мениджър на пароли.
• След смяна на паролата обновете всички устройства; устройство със старата парола може да доведе до блокиране на IP адреса Ви.
• TOTP създава на всеки 30 секунди код от споделена тайна и времето; часовникът на телефона трябва да е точен, а QR кодът е самата тайна.
• Пазете четирите кода за възстановяване извън телефона; всеки код работи веднъж.
• Двустъпковата проверка в webmail защитава само webmail, не и IMAP и SMTP в пощенската Ви програма.

Тест (quiz)

Задача

Задача A8.1: Упражнете се с приложение за удостоверяване. Щракнете върху бутона за тайна за упражнение. Ще получите QR код на акаунт за упражнение. Сканирайте го с приложение за удостоверяване по Ваш избор (или въведете показания ключ ръчно) и въведете шестцифрения код, който приложението показва. Програмата изчислява със същата тайна за упражнение и времето дали Вашият код е верен; код от предишния или следващия времеви интервал също се приема, така че малко отклонение на часовника не е проблем. Зелено: кодът е верен. Червено: кодът не е верен; тогава проверете часовника на телефона си и дали използвате правилния ред в приложението. Тайната за упражнение не е свързана с пощенската Ви кутия, няма стойност и изчезва в рамките на 24 часа. След това изтрийте акаунта за упражнение от приложението си.

Прочетете още

Там, където са описани стъпки в webmail, те се отнасят за webmail на WebOké; в други webmail програми работи по подобен начин.

• Roundcube Webmail 10.3: Включване на двуетапна проверка
• Roundcube Webmail 10.4: Вход с двуфакторна автентикация
• Roundcube Webmail 10.5: Смяна на паролата на Вашата пощенска кутия
• Промяна на паролата или лимитите на имейл адрес
• Мениджър на пароли и passkeys: как да влизате безопасно в своите акаунти
• Безплатен курс Безопасно онлайн за предприемачи 2.1: Какво всъщност е силна парола
• Безплатен курс Безопасно онлайн за предприемачи 2.3: Двуфакторно удостоверяване: кодове, приложения и sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (на английски): https://www.rfc-editor.org/rfc/rfc6238