Co je dvoufázové ověření? Dvoufázové ověření, zkráceně 2FA, je přihlašování na dva kroky: nejdřív zadáte heslo a potom ještě jednorázový kód. Smysl je jednoduchý. I kdyby někdo Vaše heslo uhodl nebo vylákal, do účtu se nedostane, protože nemá Váš telefon.

Přirovnat se to dá k bance. K výběru z bankomatu nestačí samotná karta, potřebujete i PIN. Dvoufázové ověření kombinuje stejně dvě různé věci: něco, co znáte (heslo), a něco, co máte u sebe (telefon).

Ten druhý krok má obvykle jednu z těchto podob:

  • Kód z ověřovací aplikace – aplikace v mobilu, například Google Authenticator, Microsoft Authenticator nebo Authy, ukazuje šestimístný kód, který se každých třicet vteřin mění. Nepotřebuje signál ani internet a je to nejspolehlivější varianta.
  • Kód poslaný e-mailem nebo SMS – pohodlné a stále mnohem lepší než nic, ale zprávy se dají v krajním případě odposlechnout nebo přesměrovat.
  • Fyzický bezpečnostní klíč – malý přívěsek do USB, kterého se při přihlášení dotknete. Používají ho hlavně firmy.

Máme dvoufázové ověření i u nás? Ano. Přihlášení do klientské zóny je dvoukrokové rovnou: po zadání hesla Vám odešleme jednorázový kód e-mailem. V nastavení účtu si navíc můžete zapnout ověřování aplikací v mobilu. Načtete QR kód, aplikace začne generovat šestimístné kódy a od té chvíle se místo e-mailového kódu přihlašujete jimi. Kdykoli to jde zase vypnout.

Kde jinde ho zapnout? Doporučujeme minimálně u těch účtů, přes které se dá dostat ke všemu ostatnímu:

  • U svého Googlu nebo jiné e-mailové schránky, protože přes obnovu hesla vede cesta téměř kamkoli.
  • V internetovém bankovnictví, kde to dnes bývá povinné.
  • V administraci WordPressu, kde ho doplní některý z bezpečnostních pluginů. Přihlašovací stránka WordPressu je totiž vděčným cílem útoků hrubou silou, viz heslo brute force.

Co když ztratíte telefon? Při zapínání 2FA si vždy uložte záložní kódy, které Vám služba nabídne, a schovejte je mimo telefon. Bez nich bývá obnova přístupu zdlouhavá. Dvoufázové ověření je jedno z nejúčinnějších opatření vůbec a hezky doplňuje ostatní kroky popsané v hesle zabezpečení webu, ať už jde o obranu proti phishingu nebo o přístup jen z povolených adres podle whitelistu.