Włączenie weryfikacji dwuetapowej to dobry pomysł... pod warunkiem, że została prawidłowo zaimplementowana. W większości przypadków taka weryfikacja opiera się na SMS-ie lub wiadomości głosowej, jednak ataki na SMS-y mnożą się i każdy pomysł bezpieczeństwa oparty na tej metodzie traci sens. Na szczęście Google oferuje do swoich usług oficjalny Google Authenticator, który pozwala generować kody zgodne z weryfikacją dwuetapową lokalnie, bez wiadomości i połączenia z internetem.
Martwisz się, że ktoś może ukraść Twoje hasło? Niektórzy nazywają to paranoją, ale osobiście powiem, że dostrzegasz potrzebę utrzymania dobrego poziomu bezpieczeństwa. Klasyczna rekomendacja to lokalny menedżer haseł, taki jak KeePass. Wielu podważa strategię „jednego hasła do wszystkich", a inni bronią wizji „trudnego hasła, które można zapamiętać, aby chronić złożone hasła, których użytkownik nie musi znać". Mimo to obie strony uznają nadrzędny cel, jakim jest uzupełnienie hasła i przejście na inne opcje, takie jak uwierzytelnianie wieloskładnikowe. Najbardziej znaną i najprostszą odmianą jest weryfikacja dwuetapowa. W skrócie: coś, co znasz, w połączeniu z czymś, co masz.
Jak działa weryfikacja dwuetapowa?
Google oferuje ten mechanizm w swoich usługach od jakiegoś czasu. Nazwa użytkownika i hasło to „to, co znasz", a „to, co masz" to urządzenie mobilne. Problem polega na sposobie, w jaki oba elementy są ze sobą połączone. Google umożliwia korzystanie z SMS-ów i wiadomości głosowych. Osobiście uważam, że nikt już nie słucha wiadomości głosowych, a SMS-y już niejednokrotnie uznano za niebezpieczne przez agencje na poziomie amerykańskiego NIST.
Google otwiera trzecią ścieżkę – swój Google Authenticator, kompatybilny z Androidem, iOS i BlackBerry. Wielką zaletą Authenticatora jest generowanie kodów zgodnych z weryfikacją dwuetapową na smartfonie, bez zależności od połączenia z internetem czy sieci komórkowej.
Dodając do tego obsługę wielu kont jednocześnie, sprawa wydaje się rozstrzygnięta na korzyść Google Authenticator. Pobieranie odbywa się przez sklepy na każdej obsługiwanej platformie, a wszelkie szczegóły dotyczące instalacji i działania znajdziesz w oficjalnej dokumentacji: Google Authenticator.
