Slaptažodis ir dviejų žingsnių patvirtinimas

8 modulis: Saugiai ir be rūpesčių · Skaitymo laikas: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, koks pašto dėžutės slaptažodis yra stiprus, ką reikia padaryti įrenginiuose jį pakeitus, kaip atsiranda autentifikavimo programėlės kodas ir ką dviejų žingsnių patvirtinimas webmail apsaugo, o ko neapsaugo.

Pagrindinės sąvokos: pašto dėžutės slaptažodis, slaptažodžių tvarkyklė, dviejų žingsnių patvirtinimas, TOTP, bendra paslaptis, QR kodas, atkūrimo kodas, laikrodžio nuokrypis, IMAP ir SMTP be antrojo žingsnio

Kodėl pašto dėžutė yra svarbiausia Jūsų paskyra

Jūsų pašto dėžutė yra tarsi visų Jūsų internetinio gyvenimo raktų ryšulys. Beveik kiekviena paslauga slaptažodžio atkūrimo nuorodą siunčia el. paštu. Kas turi prieigą prie Jūsų pašto dėžutės, tas gali perimti ir Jūsų internetinę parduotuvę, buhalteriją bei socialinius tinklus. Be to, jis gali rašyti Jūsų vardu klientams, kurie Jumis pasitiki. Todėl pavogta pašto dėžutė dažnai naudojama sąskaitų sukčiavimui arba brukalui siųsti. Pastarasis atvejis sukelia problemų visai Jūsų sričiai: kiti serveriai pradeda atmesti Jūsų laiškus.

Įsibrovėlį sulaiko du dalykai: geras slaptažodis ir antras žingsnis jungiantis.

Stiprus slaptažodis pirmiausia yra ilgas ir unikalus

Jūsų pašto dėžutės slaptažodis priklauso vienam el. pašto adresui. Tai ne tas pats, kas klientų paskyros ar Jūsų planą valdančio skydelio slaptažodis (1.3 pamoka).

Kas daro slaptažodį stiprų? Ne šauktukas po žodžio, o ilgis ir atsitiktinumas. Užpuolikai bando nutekintus slaptažodžius ir dažnai naudojamų žodžių bei šablonų sąrašus. „Vasara2026!“ tokiame sąraše yra, o keturių atsitiktinių žodžių ar dvidešimties atsitiktinių ženklų sekos nėra. Ne mažiau svarbu, kad slaptažodis būtų unikalus. Jei nuteka internetinės parduotuvės, kurioje naudojote tą patį slaptažodį, duomenys, nusikaltėliai jį išbandys ir Jūsų pašto dėžutėje.

Praktiškas sprendimas yra slaptažodžių tvarkyklė: programa, kuri kiekvienai paslaugai sukuria ir įsimena ilgą atsitiktinį slaptažodį. Jums tereikia įsiminti vieną stiprų pagrindinį slaptažodį.

Pakeitus slaptažodį: atnaujinkite visus įrenginius

Slaptažodį webmail galite pakeisti skiltyje Nuostatos > Slaptažodis, o jei senojo nebeprisimenate, Jūsų planą valdančiame skydelyje. Nuo tos akimirkos naujasis slaptažodis galioja visur: webmail, telefone, pašto programoje.

Čia dažnai kas nors nepavyksta. Rūta Kazlauskienė pirmadienį pakeičia ruta@example.com slaptažodį. Nešiojamąjį kompiuterį ji atnaujina iškart. Seną planšetę virtuvėje ji pamiršta. Ta planšetė kas kelias minutes vis bando jungtis su senuoju slaptažodžiu. Po kelių nesėkmingų bandymų serverio ugniasienė pastebi ryšį, kuris nuolat bando neteisingą slaptažodį, ir užblokuoja IP adresą. Kadangi planšetė ir nešiojamasis kompiuteris namuose naudoja tą patį IP adresą, Rūta staiga nebegali pasiekti savo pašto ir nešiojamajame kompiuteryje, o kartais ir savo svetainės.

Todėl pakeitę slaptažodį iškart atnaujinkite visus įrenginius: telefoną, planšetę, pašto programą kompiuteryje, taip pat spausdintuvą ar skenerį, jei jis siunčia laiškus.

Dviejų žingsnių patvirtinimas: tai, ką žinote, ir tai, ką turite

Naudojant dviejų žingsnių patvirtinimą (webmail jis vadinamas Dviejų žingsnių patvirtinimas) jungiantis reikia dviejų dalykų: slaptažodžio (to, ką žinote) ir kodo iš telefono (to, ką turite). Asmuo, gavęs Jūsų slaptažodį per sukčiavimą ar nutekėjimą, vis tiek negalės prisijungti.

Kodas gaunamas iš autentifikavimo programėlės, pavyzdžiui, Jūsų slaptažodžių tvarkyklės programėlės arba atskiros tokiems kodams skirtos programėlės. Šis metodas vadinamas TOTP, time-based one-time password, ir aprašytas RFC 6238. Jis veikia taip:

1. Įjungiant webmail sukuria bendrą paslaptį: atsitiktinę ženklų seką. Ją matote kaip slaptąjį raktą ir kaip QR kodą.
2. QR kodą nuskaitote programėle. Nuo šiol serveris ir Jūsų telefonas žino tą pačią paslaptį.
3. Kas 30 sekundžių abu iš paslapties ir esamo laiko apskaičiuoja šešių skaitmenų kodą.
4. Jungiantis serveris palygina Jūsų kodą su savo rezultatu.

Iš to išplaukia du dalykai. Programėlei nereikia interneto: ji skaičiuoja tik su paslaptimi ir laikrodžiu. Be to, laikrodis turi būti tikslus. Jei Jūsų telefonas kelias minutes skuba ar vėluoja, jis skaičiuoja su kitu laiko intervalu ir kodas netinka. Telefone nustatykite automatinį laiką.

Trečia pasekmė: QR kodas ir yra paslaptis. Kas turi jo nuotrauką ar ekrano kopiją, gali kurti tuos pačius kodus. Todėl niekada juo nesidalykite ir nesaugokite jo kaip paveikslėlio.

Paveikslėlyje matote ekraną, kuriame įjungiamas dviejų žingsnių patvirtinimas, su slaptuoju raktu, atkūrimo kodais ir QR kodu.

Atkūrimo kodai ir pamestas telefonas

Įjungdami taip pat gausite keturis atkūrimo kodus. Kiekvienas jų veikia vieną kartą, vietoj programėlės kodo. Tai Jūsų atsarginis raktas, jei telefonas sugedo, buvo pavogtas ar pakeistas. Laikykite juos kitoje vietoje nei telefoną: slaptažodžių tvarkyklėje arba ant popieriaus stalčiuje.

Jei panaudojote atkūrimo kodą, iškart iš naujo nustatykite dviejų žingsnių patvirtinimą su nauju telefonu. Tada gausite ir naujus atkūrimo kodus. Jei atkūrimo kodų nebeturite, Jūsų pašto paslaugų teikėjas, patikrinęs Jūsų tapatybę, gali išjungti antrąjį žingsnį Jūsų pašto dėžutei.

Savo kompiuteryje jungdamiesi galite pasirinkti, kad webmail 30 dienų nebeprašytų kodo. Bendrai naudojamame kompiuteryje to niekada nedarykite.

Ko dviejų žingsnių patvirtinimas neapsaugo

Tai svarbiausia klaida, ir daug žmonių apie ją nežino. Dviejų žingsnių patvirtinimas webmail galioja tik webmail. Jūsų pašto programa ir pašto programėlė telefone jungiasi per IMAP (gavimas) ir SMTP (siuntimas), o šie prašo tik slaptažodžio. Todėl užpuolikas, turintis Jūsų slaptažodį, per pašto programą vis tiek gali skaityti Jūsų laiškus ir siųsti juos Jūsų vardu.

Todėl dviejų žingsnių patvirtinimas yra papildymas, o ne pakaitalas. Jūsų slaptažodis vis tiek turi būti ilgas ir unikalus. Dviejų žingsnių patvirtinimą klientų paskyrai nustatote atskirai: tai kita paskyra su savo apsauga.

Didelėse paslaugose, tokiose kaip Gmail ar Outlook.com, tai veikia kiek kitaip: ten antrasis žingsnis dažnai galioja visai paskyrai, o pašto programai reikia atskiro programėlės slaptažodžio arba savo prisijungimo būdo. Idėja ta pati: slaptažodis ir dar kai kas, ką turite.

Praktiškai: kaip tai veikia webmail

Slaptažodį pakeičiate skiltyje Nuostatos > Slaptažodis, dviejų žingsnių patvirtinimą įjungiate skiltyje Nuostatos > Dviejų žingsnių patvirtinimas. Ten pažymite langelį Įjungti, leidžiate webmail užpildyti laukus, nuskaitote QR kodą, patikrinate kodą ir išsaugote. Žingsniai aprašyti Roundcube vadove (10.3, 10.4 ir 10.5). Kitos webmail turi panašias nuostatas, dažnai skiltyje Saugumas.

Santrauka

• Jūsų pašto dėžutė yra raktas į kitas Jūsų paskyras: apsaugokite ją ilgu, unikaliu slaptažodžiu iš slaptažodžių tvarkyklės.
• Pakeitę slaptažodį atnaujinkite visus įrenginius; įrenginys su senuoju slaptažodžiu gali lemti Jūsų IP adreso užblokavimą.
• TOTP kas 30 sekundžių sukuria kodą iš bendros paslapties ir laiko; Jūsų telefono laikrodis turi būti tikslus, o QR kodas yra paslaptis.
• Keturis atkūrimo kodus laikykite ne telefone; kiekvienas kodas veikia vieną kartą.
• Dviejų žingsnių patvirtinimas webmail saugo tik webmail, bet ne IMAP ir SMTP Jūsų pašto programoje.

Testas (quiz)

Užduotis

Užduotis A8.1: Išbandykite autentifikavimo programėlę. Spustelėkite mygtuką, kad gautumėte pratybų paslaptį. Gausite pratybų paskyros QR kodą. Nuskaitykite jį pasirinkta autentifikavimo programėle (arba įveskite rodomą raktą) ir įrašykite šešių skaitmenų kodą, kurį rodo programėlė. Programa, naudodama tą pačią pratybų paslaptį ir laiką, patikrina, ar Jūsų kodas teisingas; ankstesnio ar kito laiko intervalo kodas taip pat įskaitomas, todėl nedidelis laikrodžio nuokrypis nėra problema. Žalia: kodas teisingas. Raudona: kodas neteisingas; tuomet patikrinkite telefono laikrodį ir ar naudojate tinkamą programėlės eilutę. Pratybų paslaptis nesusijusi su Jūsų pašto dėžute, neturi jokios vertės ir išnyksta per 24 valandas. Po to pratybų paskyrą iš programėlės ištrinkite.

Platesniam skaitymui

Kur aprašyti žingsniai webmail, jie galioja WebOké webmail; kitose webmail tai veikia panašiai.

• Roundcube Webmail 10.3: Kaip įjungti dviejų veiksnių autentifikavimą
• Roundcube Webmail 10.4: Prisijungimas naudojant dviejų veiksnių patvirtinimą
• Roundcube Webmail 10.5: Kaip pakeisti pašto dėžutės slaptažodį
• El. pašto adreso slaptažodžio arba limitų keitimas
• Slaptažodžių tvarkyklė ir passkeys: kaip saugiai prisijungti
• Nemokamas kursas „Saugus internetas verslininkams“ 2.1: Kas iš tikrųjų yra stiprus slaptažodis
• Nemokamas kursas „Saugus internetas verslininkams“ 2.3: Dviejų veiksnių autentifikavimas: kodai, programėlės ir SMS
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (anglų k.): https://www.rfc-editor.org/rfc/rfc6238