Biztonsági útmutató

MFA vs erős jelszó

Ismerje meg, hogyan működik együtt a többtényezős hitelesítés és az erős jelszó, és miért nem helyettesíti egyik kontroll sem a másikat.

Összefoglaló

Az MFA és az erős jelszó különböző problémákat old meg. Az erős jelszó megnehezíti a kitalálást és a jelszó-újrahasználati támadásokat. Az MFA egy második védelmi réteget ad, ha a jelszót ellopják, kifish-elik vagy kiszivárogtatják. Fontos fiókok esetén használja mindkettőt.

MFA típusok

Az MFA tartalmazhat hitelesítő alkalmazásokat, hardveres biztonsági kulcsokat, passkey-ket, push jóváhagyásokat, SMS-t vagy e-mail kódokat. A módszerek eltérnek a phishing-ellenállásban és a helyreállítási kockázatban. A második jelszó nem valódi második tényező.

Gyakorlati ajánlások

• Használjon egyedi, véletlenszerű jelszavakat minden fiókhoz.
• Engedélyezze az MFA-t e-mail, banki, munkahelyi, felhő- és jelszókezelő fiókokhoz.
• Részesítse előnyben a phishing-ellenálló módszereket, ahol elérhetők.
• Tárolja biztonságosan a helyreállítási kódokat.
• Ellenőrizze a biztonsági mentési módszereket és a megbízható eszközöket.

Részletes útmutató

Ez az útmutató arra összpontosít, hogyan egészíti ki egymást az MFA és az erős jelszó. Olyan felhasználóknak íródott, akik azon tűnődnek, vajon az MFA kevésbé fontossá teszi-e a jelszó erősségét, így a gyakorlati cél nem egy drámai biztonsági állítás megfogalmazása. A cél egy olyan jelszó-szokás kialakítása, amely túléli a mindennapi használatot: bejelentkezési űrlapok, jelszókezelők, mobil billentyűzetek, fiók-helyreállítás, megosztott eszközök és az alkalmankénti szolgáltatás furcsa érvényesítési szabályokkal. Egy biztonságos ajánlás csak akkor hasznos, ha egy valós személy következetesen követni tudja.

A legbiztonságosabb kiindulópont a véletlenszerűség plusz egyediség. A véletlenszerűség azt jelenti, hogy az értéket egy nagy térből, kriptográfiailag megfelelő véletlen forrásból választják ki, nem pedig születésnapból, háziállat névből, billentyűzet mintából vagy kedvenc idézetből. Az egyediség azt jelenti, hogy ugyanazt a jelszót máshol nem használják. Egy hosszú, de újrahasznált jelszó gyorsan meghiúsulhat egy független adatszivárgás után, míg egy egyedi véletlenszerű jelszó korlátozza a kárt arra az egy fiókra, ahol használták.

Ehhez a témához egy gyakorlati előbeállítás egy egyedi véletlenszerű jelszó plusz egy független második tényező. Ezt az előbeállítást alkalmazhatja az e-mail jelszógenerátorral, majd tárolja a végső értéket egy megbízható jelszókezelőben. A PwdGen helyben generálja az értékeket a böngészőben Web Crypto segítségével; a generált jelszó nem kerül elküldésre egy PwdGen szerverre. Ez a helyi kialakítás csökkenti a szerveroldali kitettséget, de nem véd minden fenyegetés ellen. Egy rosszindulatú böngészőbővítmény, egy feltört eszköz, egy phishing oldal vagy a nem biztonságos vágólapkezelés továbbra is felfedheti a titkot a generálás után.

A leggyakoribb elkerülendő problémák az SMS-lehallgatás, a prompt fáradtság, a gyenge helyreállítási e-mail, a nem biztonságosan tárolt biztonsági mentési kódok és az MFA mögött újrahasznált jelszavak. Ezek a problémák azért számítanak, mert a támadók ritkán próbálnak minden lehetséges jelszót brute-force módszerrel kitalálni, amikor az emberi szokások rövid utat kínálnak nekik. A credential stuffing, a phishing, a kiszivárgott jelszólisták és a fiók-helyreállítási visszaélések gyakran reálisabbak, mint egy tiszta matematikai keresés. Ezért a legjobb tanács a jelszó minőségét fiókszintű kontrollokkal, például MFA-val, passkey-kkel, helyreállítási kódok tárolásával és a helyreállítási e-mail vagy telefonszám beállításainak rendszeres ellenőrzésével kombinálja.

Használja ezt az ellenőrzőlistát az ajánlás alkalmazásakor:

• Használjon alkalmazásalapú, hardveres vagy passkey tényezőket, ahol elérhetők.
• Először védje meg az e-mailt.
• Tárolja biztonságosan a helyreállítási kódokat.
• Ne gyengítse a jelszavakat az MFA engedélyezése miatt.

Ha egy weboldal elutasítja az ideális beállítást, ne erőltesse a jelszót kézzel egy gyengébb mintába. Egyszerre csak egy változót állítson be. Ha a szimbólumok elutasításra kerülnek, tartsa engedélyezve a nagybetűket, kisbetűket és számokat, és növelje a hosszt. Ha a maximális hossz alacsony, használja a legnagyobb elfogadott hosszt, és győződjön meg arról, hogy az érték egyedi. Ha a jelszót fel kell olvasni, ki kell nyomtatni, vagy be kell gépelni egy TV vagy router képernyőjén, fontolja meg a zavaró karakterek kizárását és a hossz növelését a kisebb ábécé kompenzálására.

Végül ne feledje a jelszótanács határait. Az erős jelszó a védelem egy rétege, nem garancia. Nem tehet biztonságossá egy phishing oldalt, nem javítja ki a kártevőket, és nem kompenzálja a gyenge jelszótárolást alkalmazó szolgáltatásokat. A hasznos szokás unalmas, de tartós: generáljon egyedi értéket, tárolja biztonságosan, védje a helyreállítási utat, és cserélje ki gyorsan, ha gyanítja a kitettséget.

Biztonságos következő lépés

Az útmutató elolvasása után végezzen el egy kis fiók auditot ahelyett, hogy egyszerre mindent megpróbálna megjavítani. Válassza ki azt a fiókot, amely a legnagyobb gondot okozná, ha átvennék, erősítse meg, hogy a jelszava egyedi, és ellenőrizze a helyreállítási e-mailt, helyreállítási telefont, MFA módszert és a biztonsági mentési kódok tárolását. Ha a lánc bármely része gyenge, javítsa azt a részt, mielőtt az alacsonyabb kockázatú fiókokra lép. Ez a sorrend kezelhetővé teszi a munkát, és védi azokat a fiókokat, amelyeket a támadók nagy valószínűséggel használnak ugródeszkaként. Az MFA vs erős jelszó esetében a legjobb eredmény egy ismételhető szokás: generálja helyben, tárolja gondosan, és kerülje az újrahasználatot.

Gyakran ismételt kérdések

Az MFA helyettesíti az erős jelszót?

Nem. Az MFA csökkenti a fiókátvétel kockázatát, de a jelszónak továbbra is egyedinek és erősnek kell lennie.

Elég az SMS MFA?

Az SMS jobb lehet, mint az MFA hiánya, de a hitelesítő alkalmazások, passkey-k és biztonsági kulcsok gyakran erősebbek, ha elérhetők.

Mit védjek először?

Először védje az e-mailt, a jelszókezelőt, a banki, munkahelyi és felhő fiókokat, mert ezek más szolgáltatásokat is feloldhatnak.