Jelszó és kétlépcsős azonosítás

Modul 8: Biztonságosan és gondtalanul · Olvasási idő: 10 perc

Tanulási cél: A lecke után el tudja magyarázni, mi számít erős jelszónak a postafiókjához, mit kell tennie az eszközein jelszócsere után, hogyan jön létre egy hitelesítő alkalmazás kódja, és mit véd, illetve mit nem véd a kétlépcsős azonosítás a webmailben.

Kulcsfogalmak: postafiók-jelszó, jelszókezelő, kétlépcsős azonosítás, TOTP, közös titok, QR-kód, helyreállítási kód, óraeltérés, IMAP és SMTP második lépés nélkül

Miért a postafiók a legfontosabb fiókja

A postafiókja az online élete kulcscsomója. Szinte minden szolgáltatás az e-mail-címére küldi a jelszó visszaállításához szükséges linket. Aki hozzáfér a postafiókjához, az tehát a webáruházát, a könyvelését és a közösségimédia-fiókjait is átveheti. Ráadásul az Ön nevében is küldhet leveleket olyan ügyfeleknek, akik megbíznak Önben. Egy ellopott postafiókot ezért gyakran számlacsalásra vagy spamküldésre használnak. Ez utóbbi az egész domainjét bajba sodorja: más szerverek elkezdik visszautasítani a leveleit.

Két dolog tartja távol a behatolót: egy jó jelszó és egy második lépés a bejelentkezésnél.

Az erős jelszó elsősorban hosszú és egyedi

A postafiók-jelszó egyetlen e-mail-címhez tartozik. Nem azonos az ügyfélfiókja vagy a csomagja kezelőpaneljének jelszavával (1.3. lecke).

Mitől erős egy jelszó? Nem egy szó végére tett felkiáltójeltől, hanem a hossztól és a véletlenszerűségtől. A támadók kiszivárgott jelszavakat, valamint gyakori szavakat és mintákat tartalmazó listákat próbálgatnak. A "Nyar2026!" szerepel egy ilyen listán; négy véletlenszerű szó vagy húsz véletlenszerű karakter sorozata nem. Ugyanilyen fontos, hogy a jelszó egyedi legyen. Ha kiszivárognak egy olyan webáruház adatai, ahol ugyanazt a jelszót használta, a bűnözők a postafiókjánál is kipróbálják.

A gyakorlati megoldás egy jelszókezelő: egy program, amely minden szolgáltatáshoz hosszú, véletlenszerű jelszót készít és megjegyzi azt. Önnek így csak egyetlen erős mesterjelszót kell megjegyeznie.

A csere után: minden eszköz frissítése

A jelszót a webmailben a Beállítások > Jelszó menüpontban módosíthatja, vagy a csomagja kezelőpaneljén, ha a régit már nem tudja. Ettől a pillanattól kezdve mindenhol az új jelszó érvényes: a webmailben, a telefonján és a levelezőprogramjában.

Itt szokott hiba becsúszni. Kovács Eszter hétfőn megváltoztatja az eszter@example.com jelszavát. A laptopján azonnal frissíti. A konyhában lévő régi tabletjéről megfeledkezik. A tablet pár percenként továbbra is a régi jelszóval próbál bejelentkezni. Néhány sikertelen kísérlet után a szerver tűzfala észreveszi, hogy egy kapcsolat folyamatosan hibás jelszót próbál, és letiltja az IP-címet. Mivel otthon a tablet és a laptop ugyanazon az IP-címen osztozik, Eszter hirtelen a laptopjáról sem éri el a leveleit, és néha a weboldalát sem.

Ezért jelszócsere után azonnal frissítse az összes eszközét: a telefont, a tabletet, a számítógépen lévő levelezőprogramot, és az esetleges nyomtatót vagy szkennert, amely e-mailt küld.

Kétlépcsős azonosítás: valami, amit tud, és valami, ami Önnél van

A kétlépcsős azonosítással (a webmailben ennek neve Kétfaktoros bejelentkezés) a bejelentkezéshez két dologra van szükség: a jelszavára (valami, amit tud) és egy kódra a telefonjáról (valami, ami Önnél van). Aki adathalászattal vagy adatszivárgás révén megszerzi a jelszavát, az így még nem jut be.

A kód egy hitelesítő alkalmazásból származik, például a jelszókezelője alkalmazásából vagy egy külön, ilyen kódokra szolgáló alkalmazásból. A módszer neve TOTP, time-based one-time password, azaz időalapú egyszer használatos jelszó, leírása az RFC 6238-ban található. Így működik:

1. Bekapcsoláskor a webmail létrehoz egy közös titkot: egy véletlenszerű karaktersorozatot. Ezt titkos kulcsként és QR-kódként látja.
2. Az alkalmazással beolvassa a QR-kódot. Ettől kezdve a szerver és a telefonja is ugyanazt a titkot ismeri.
3. Mindkettő 30 másodpercenként a titokból és az aktuális időből egy hatjegyű kódot számol.
4. Bejelentkezéskor a szerver összeveti az Ön kódját a saját eredményével.

Ebből két dolog következik. Az alkalmazásnak nincs szüksége internetre: csak a titokkal és az órával számol. Az órának viszont pontosnak kell lennie. Ha a telefonja néhány percet siet vagy késik, egy másik időablakkal számol, és a kód nem lesz helyes. Állítsa a telefonján az időt automatikusra.

A harmadik következmény: a QR-kód maga a titok. Akinek van róla fényképe vagy képernyőképe, ugyanazokat a kódokat tudja előállítani. Ezért soha ne ossza meg, és ne tárolja képként.

A képen az a képernyő látható, ahol a kétlépcsős azonosítást bekapcsolja, a titkos kulccsal, a helyreállítási kódokkal és a QR-kóddal.

Helyreállítási kódok és az elveszett telefon

Bekapcsoláskor négy helyreállítási kódot is kap. Mindegyik egyszer használható, az alkalmazás kódja helyett. Ezek a tartalékkulcsai arra az esetre, ha a telefonja elromlik, ellopják vagy lecseréli. A telefonjától külön helyen tárolja őket: a jelszókezelőjében vagy papíron egy fiókban.

Ha felhasznál egy helyreállítási kódot, azonnal állítsa be újra a kétlépcsős azonosítást az új telefonjával. Így új helyreállítási kódokat is kap. Ha már nincs helyreállítási kódja, a levelezési szolgáltatója személyazonossága ellenőrzése után kikapcsolhatja a postafiókja második lépését.

A saját számítógépén bejelentkezéskor beállíthatja, hogy a webmail 30 napig ne kérjen újra kódot. Közös használatú számítógépen ezt soha ne tegye.

Amit a kétlépcsős azonosítás nem véd

Ez a legfontosabb buktató, és sokan nem ismerik. A webmail kétlépcsős azonosítása csak a webmailre vonatkozik. A levelezőprogramja és a telefonja levelezőalkalmazása IMAP-on (letöltés) és SMTP-n (küldés) keresztül jelentkezik be, és ezek csak a jelszót kérik. Egy támadó, aki ismeri a jelszavát, egy levelezőprogrammal tehát továbbra is olvashatja a leveleit, és küldhet az Ön nevében.

Ezért a kétlépcsős azonosítás kiegészítés, nem helyettesítés. A jelszavának továbbra is hosszúnak és egyedinek kell lennie. Az ügyfélfiókja kétlépcsős azonosítását külön kell beállítania; az egy másik fiók, saját védelemmel.

Nagy szolgáltatóknál, például a Gmailnél vagy az Outlook.comnál ez kicsit másképp működik: ott a második lépés gyakran az egész fiókra érvényes, és a levelezőprogramnak külön alkalmazásjelszóra vagy saját bejelentkezési módra van szüksége. Az elv ugyanaz: jelszó plusz valami, ami Önnél van.

A gyakorlatban: így működik a webmailben

A jelszót a Beállítások > Jelszó menüpontban módosíthatja, a kétlépcsős azonosítást a Beállítások > Kétfaktoros bejelentkezés menüpontban kapcsolhatja be. Ott jelölje be az Aktiválás jelölőnégyzetet, hagyja, hogy a webmail kitöltse a mezőket, olvassa be a QR-kódot, ellenőrizzen egy kódot, és mentse a beállítást. A lépések a Roundcube kézikönyvben találhatók (10.3, 10.4 és 10.5). Más webmailekben hasonló beállítások vannak, gyakran a Biztonság menüpont alatt.

Összefoglalás

• A postafiókja a többi fiókja kulcsa: védje egy jelszókezelőből származó hosszú, egyedi jelszóval.
• Jelszócsere után frissítse az összes eszközét; egy régi jelszót használó eszköz miatt letilthatják az IP-címét.
• A TOTP 30 másodpercenként kódot készít egy közös titokból és az időből; a telefonja órájának pontosnak kell lennie, és a QR-kód maga a titok.
• A négy helyreállítási kódot a telefonján kívül tárolja; mindegyik kód egyszer használható.
• A webmail kétlépcsős azonosítása csak a webmailt védi, a levelezőprogram IMAP- és SMTP-kapcsolatát nem.

Kvíz

Feladat

A8.1. feladat: Gyakorlás hitelesítő alkalmazással. Kattintson a gombra egy gyakorló titokért. Egy gyakorlófiók QR-kódját kapja meg. Olvassa be egy tetszőleges hitelesítő alkalmazással (vagy gépelje be a megjelenített kulcsot), és írja be az alkalmazásban látható hatjegyű kódot. A program ugyanazzal a gyakorló titokkal és az idővel ellenőrzi, hogy az Ön kódja helyes-e; az előző vagy a következő időablak kódja is elfogadott, így egy kis óraeltérés nem okoz gondot. Zöld: a kód helyes. Piros: a kód nem helyes; ilyenkor ellenőrizze a telefonja óráját, és hogy az alkalmazásban a megfelelő sort használja-e. A gyakorló titok nem tartozik a postafiókjához, nincs értéke, és 24 órán belül megszűnik. Utána törölje a gyakorlófiókot az alkalmazásából.

Bővebben olvasva

Ahol webmailes lépések szerepelnek, azok a WebOké webmailjére vonatkoznak; más webmailekben hasonlóan működik.

• Roundcube Webmail 10.3: Kétlépcsős azonosítás bekapcsolása
• Roundcube Webmail 10.4: Bejelentkezés kétlépcsős azonosítással
• Roundcube Webmail 10.5: A postafiók jelszavának módosítása
• E-mail-cím jelszavának vagy korlátainak módosítása
• Jelszókezelő és passkeyek: így intézheti biztonságosan a bejelentkezéseit
• Ingyenes tanfolyam: Biztonságos online jelenlét vállalkozóknak 2.1: Mit jelent valójában az erős jelszó
• Ingyenes tanfolyam: Biztonságos online jelenlét vállalkozóknak 2.3: Kétlépcsős azonosítás: kódok, alkalmazások és sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (angol nyelvű): https://www.rfc-editor.org/rfc/rfc6238