Dvojfaktorová autentifikácia

Dvojfaktorová autentifikácia: prečo nestačí len heslo

Dvojfaktorová autentifikácia (2FA) pridáva k heslu druhý dôkaz vašej identity. Cieľom je znížiť riziko neoprávneného prístupu pri úniku hesiel, phishingu alebo útokoch hrubou silou. Najrozšírenejšie formy sú SMS kódy, autentifikačné aplikácie (TOTP/push) a hardvérové bezpečnostné kľúče (FIDO2/WebAuthn). Každá má iný bezpečnostný profil, náklady a nároky na používateľov aj administrátorov.

Model hrozieb: proti čomu sa 2FA bráni

• Únik hesiel: z prelomených databáz alebo znovupoužitia hesla.
• Phishing: vylákanie prihlasovacích údajov na falošných stránkach.
• Zachytávanie kódov: malware, SIM-swap, presmerovanie správ, útoky na signalizačné siete (SS7).
• Útok man-in-the-middle: real-time proxy, ktorá kradne reláciu (session cookie) aj 2FA kód.
• Útok na koncové zariadenie: kompromitovaný telefón/PC, keylogger, vzdialená správa.

SMS kód: dostupnosť verzus zraniteľnosti

Princíp: služba odošle jednorazový kód cez SMS, ktorý prepíšete do prihlasovacieho formulára. Výhody sú univerzálna dostupnosť a nulové náklady na nasadenie. Slabiny zahŕňajú riziko SIM-swap podvodu, presmerovania SMS na operátorskej úrovni, slabé zabezpečenie signalizačných sietí a phishingovú zraniteľnosť (kód možno vylákať a použiť v reálnom čase).

• Plusy: nevyžaduje smartfón ani inštaláciu, funguje aj pri starších používateľoch.
• Mínusy: najnižšia odolnosť proti moderným útokom; problémový roaming, oneskorenia, nedostupnosť signálu.
• Kedy zvažovať: ako dočasné alebo fallback riešenie pre nízkorizikové účty či pri počiatočnej adopcii 2FA.

Autentifikačná appka: TOTP a push

TOTP (Time-based One-Time Password) generuje kód lokálne v aplikácii (napr. Aegis, Google Authenticator, Microsoft Authenticator, 1Password/Bitwarden). Tajomstvo (seed) je uložené v zariadení a kód vychádza z času. Push notifikácie posielajú výzvu: „Schváliť/odmietnuť“. Pokročilejšie implementácie zobrazujú rich prompts (geografia, aplikácia, číslo na spárovanie), aby znížili push fatigue.

• Plusy: vyššia bezpečnosť než SMS; offline režim pri TOTP; viacnásobné účty v jednej appke.
• Mínusy: stále phishable – kód možno vylákať; seed je potrebné bezpečne zálohovať; pri push hrozí prompt bombing.
• Kedy zvažovať: stredné riziko, osobné aj pracovné účty, ktoré zatiaľ nepodporujú FIDO2.

Hardvérový kľúč: FIDO2/WebAuthn a odolnosť proti phishingu

FIDO2/WebAuthn bezpečnostné kľúče (napr. YubiKey, SoloKey, Feitian) vykonávajú kryptografické overenie voči konkrétnej doméne. Kľúč podpisuje výzvu zviazanú s originom stránky, čím sa eliminuje phishing (falošná doména nedostane platnú odpoveď). Kľúče často podporujú USB/NFC/Bluetooth a môžu fungovať aj ako Passkeys (synchronizované cez správcu kľúčov v ekosystémoch).

• Plusy: najvyššia dostupná ochrana pre koncových používateľov; phishing-resistant; bez kódov, rýchle prihlásenie.
• Mínusy: vyššia počiatočná cena; potreba správy záložného kľúča; kompatibilita závisí od podpory služby/zariadenia.
• Kedy zvažovať: admini, novinári, manažment, výskumníci, IT/finančné oddelenia, každý s vysokou hodnotou účtu alebo veľkou expozíciou.

Phishingová odolnosť: porovnanie technológií

• SMS: ľahko odchytiteľné a vylákateľné; MITM proxy umožní odcudziť reláciu.
• TOTP: výrazne lepšie než SMS, no kód je možné zneužiť pri live phishingu.
• Push: zlepšenie s kontextom a číslicovým párovaním; stále závislé od používateľa.
• FIDO2/WebAuthn: navrhnuté ako phishing-resistant, viazané na origin; útočník na falošnej doméne neuspeje.

Hodnotenie rizika a výber 2FA podľa scenára

1. Nízke riziko (komunitné fóra, hobby služby): ak nie je dostupné nič iné, použite SMS alebo TOTP; vyhnite sa rovnakým heslám.
2. Stredné riziko (e-mail, cloud, sociálne siete): preferujte TOTP alebo push s kontextom; postupne prejdite na passkeys/FIDO2, kde je podpora.
3. Vysoké riziko (firemné účty, administrátori, finančné systémy): FIDO2/WebAuthn s policy na vynútenie; minimálne dva kľúče na osobu (primárny + záložný).

Obnova a núdzové prístupy: plán pred katastrofou

• Záložné kódy: jednorazové recovery kódy uložte do trezora alebo správcu hesiel; pravidelne obnovujte.
• Dva hardvérové kľúče: jeden nosiť, druhý bezpečne uložiť; pri kritických roliach zvažujte tretí kľúč v IT úschove.
• Viacero faktorov: nemiešajte slabé fallbacky (SMS) k silným faktorom (FIDO2) bez dodatočných kontrol; obmedzte, kedy a kto môže fallback aktivovať.
• Dokumentácia: jasný postup pre stratu zariadenia, zmenu čísla, odcudzenie telefónu; pravidelné cvičné testy.

Správa seedov a migrácia pri TOTP

Pri TOTP je kritický seed (tajomstvo). Pri nastavovaní umožnite export do bezpečného správcu hesiel a zaznamenajte záložné kódy. Vyhnite sa jednorazovému „viazaniu na jedno zariadenie“ bez zálohy. Pri výmene telefónu vykonajte rotáciu seedov a zrušenie starého zariadenia.

Passkeys: pohodlie aj bezpečnosť

Passkeys rozširujú FIDO2 pre spotrebiteľov tým, že kľúče môžu byť synchronizované v ekosystéme (iCloud, Google Password Manager, 1Password). Prinášajú phishing-resistant prihlasovanie bez hesla. Pre kritické účty stále odporúčame mať aj nesynchronizovaný hardvérový kľúč ako „break-glass“ zálohu.

Organizačné politiky: ako nasadiť 2FA vo firme

• Risk-based rollout: začnite u administrátorov a privilegovaných účtov; neskôr pokryte všetkých.
• Vynucovanie a výnimky: definujte minimálne štandardy (FIDO2 pre IT/financie, TOTP pre zvyšok) a riadenie výnimiek s časovým obmedzením.
• MDM a inventarizácia: spravujte autentifikačné aplikácie a kľúče; evidujte, kto má aké faktory a kde sú záložné kľúče.
• Školenia: nácvik rozpoznávania phishingu, význam „nepotvrdzovať push bez čítania“, hlásenie incidentov bez stigmy.
• Audity: kvartálne overenie stavu 2FA, rotácia recovery kódov, test obnovy pri strate zariadenia.

Špecifické situácie a odporúčania

• Cestovanie a offline režim: SMS môže zlyhať v roamingu; TOTP funguje bez dát; hardvérový kľúč s NFC je praktický k mobilom.
• Zdieľané alebo citlivé pracoviská: nikdy nezdieľajte faktory; používať least privilege a individuálne kľúče.
• Vzdialený prístup: preferujte FIDO2; ak služba nepodporuje, kombinujte TOTP s kontextovým schvaľovaním a anti-MITM bránou.
• Správa starších systémov: ak nevedia FIDO2, zabaľte ich do moderného IdP (SSO) s FIDO2 na vstupe.

Porovnávacia tabuľka: stručné skóre

• SMS: bezpečnosť ★★☆, použiteľnosť ★★★, náklady ★★★, kompatibilita ★★★★.
• TOTP/appka: bezpečnosť ★★★☆, použiteľnosť ★★★, náklady ★★★★, kompatibilita ★★★★.
• Push s kontextom: bezpečnosť ★★★☆, použiteľnosť ★★★★, náklady ★★★, kompatibilita ★★★☆.
• Hardvérový kľúč (FIDO2): bezpečnosť ★★★★★, použiteľnosť ★★★★, náklady ★★☆, kompatibilita ★★★ (rastie s passkeys).

Bezpečnosť vs. „obchádzanie obmedzení“

Ochrana účtov je legitímna a žiaduca; nie je však prijateľné obchádzať bezpečnostné mechanizmy iných, obchádzať zákonné povinnosti alebo zasahovať do cudzích systémov. Rady v tomto článku smerujú k posilneniu vašej bezpečnosti a súkromia v súlade s právom a pravidlami služieb.

Odporúčaný postup pre jednotlivcov

1. Pre kľúčové účty (e-mail, cloud, bankovníctvo) aktivujte FIDO2/passkeys, ak to služba umožňuje.
2. Ako sekundárny faktor ponechajte TOTP s bezpečnou zálohou seedov; vyhnite sa výhradne SMS.
3. Vytlačte alebo bezpečne uložte recovery kódy; pravidelne ich obmieňajte.
4. Zakážte alebo obmedzte SMS fallback tam, kde možno; minimalizujte sociálne inžinierstvo.
5. Raz za štvrťrok urobte 2FA audit: prepojené zariadenia, recovery kódy, stav kľúčov.

Odporúčaný postup pre organizácie

1. Definujte 2FA politiku s preferenciou FIDO2 pre privilegované účty; ostatným ponúknite TOTP/push.
2. Distribuujte dva kľúče na osobu s evidenciou; nastavte proces pre stratu a výmenu.
3. Integrujte 2FA do SSO/IdP a chráňte staršie aplikácie prostredníctvom moderného front door.
4. Nasadzujte anti-phishing opatrenia: origin-bound výzvy, number matching, geolokačný kontext, výchova používateľov.
5. Monitorujte a logujte 2FA udalosti; nastavte alerty na neobvyklé pokusy a zmeny faktorov.

Najčastejšie chyby a ako sa im vyhnúť

• Jeden kľúč bez zálohy: riziko lockout; vždy mať aspoň dva.
• Seed TOTP bez zálohy: pri strate telefónu prídete o prístup; používajte export a trezor.
• Príliš slabý fallback: SMS ako jediná obnova pre kritické účty; vyžadujte viacúrovňovú verifikáciu pri obnove.
• Push fatigue: bez number match a kontextu; zaviesť opatrenia proti slepému potvrdzovaniu.
• Ignorovanie fyzickej bezpečnosti: kľúč na kľúčenke bez PIN/biometrie pri roamingu; zvážte kľúče s ochrannými politikami.

Zhrnutie a odporúčanie

Ak chcete skutočne výrazne znížiť riziko kompromitácie účtu, cielite na FIDO2/WebAuthn alebo passkeys, pri súčasnom zachovaní TOTP ako zálohy s rozumnou správou seedov a recovery kódov. SMS ponechajte len ako dočasný alebo núdzový kanál. Úspešná stratégia 2FA je kombináciou technológie, dobre nastavenej politiky, vzdelávania používateľov a pravidelného auditu.