Dvojzložkové overovanie identity

Prečo dvojfaktorová autentifikácia (2FA) stále rozhoduje o bezpečnosti

Dvojfaktorová autentifikácia kombinuje niečo, čo poznáte (heslo), s niečím, čo máte (telefón, hardvérový kľúč) alebo ste (biometria). Cieľom je dramaticky znížiť úspešnosť útokov založených na odcudzení hesiel. V praxi však existujú významné rozdiely medzi 2FA cez SMS, cez aplikáciu (TOTP/push) a cez hardvérový bezpečnostný kľúč (FIDO2/WebAuthn). Tento článok vysvetľuje technické princípy, hrozby, vhodné scenáre a odporúčanú migračnú stratégiu.

Stručný prehľad metód: definície a mechanizmy

• SMS 2FA: Služba vygeneruje jednorazový PIN (OTP), ktorý príde v SMS správe a používateľ ho prepíše do prihlasovacieho formulára. Overenie prebieha na serveri poskytovateľa služby.
• Aplikácia (TOTP/HOTP/push): Najčastejšie časovo synchronizované jednorazové heslá (Time-based One-Time Passwords, TOTP) generované v autentifikačnej appke offline. Prípadne „push“ notifikácie, ktoré vyžadujú potvrdenie v aplikácii.
• Hardvérový kľúč (FIDO2/WebAuthn): Kryptografický token (USB/NFC/Lightning) generuje a uchováva súkromné kľúče. Pri prihlasovaní vykoná výzvu-odpoveď (challenge-response) viazanú na konkrétnu doménu, často s podporou biometrie.

Hlavné hrozby a odolnosť jednotlivých metód

• Phishing: Útočník simuluje legitímny web a vyláka kód alebo potvrdenie.
  • SMS/TOTP: náchylné na real-time phishing (zadanie kódu na falošnej stránke).
  • Push: náchylný na „push bombing“ (únava z notifikácií); mitigácia: číslený match, kontext.
  • FIDO2: phishing-resistant; väzba na origin (doménu) bráni odchyteniu.
• Únos účtu na strane operátora/telekom infraštruktúry:
  • SMS: riziko SIM-swap, SS7 zraniteľností, presmerovania.
  • TOTP/Push: nezávislé od operátora; riziko je v kompromise zariadenia/appky.
  • FIDO2: nezávislé od operátora; tajomstvo neopustí kľúč.
• Malvér na koncovom zariadení:
  • SMS/TOTP/Push: ak je zariadenie kompromitované (keylogger/overlay), útočník môže kód odchytiť alebo potvrdiť push.
  • FIDO2: aj pri infikovanom zariadení súkromný kľúč neuniká; no útočník môže ovládnuť reláciu, ak užívateľ fyzicky potvrdí.
• Opakovateľné použitie kódu a oneskorenia:
  • SMS: oneskorenia doručenia, blokácie v roamingu; kód možno použiť len krátko, ale v reálnom čase ho možno preposlať.
  • TOTP: offline generovanie, pevné okno (typicky 30 s); odolnejšie voči oneskoreniam.
  • FIDO2: bez kódov; podpis výzvy je viazaný na reláciu a origin.

Porovnávacia tabuľka: bezpečnosť, použiteľnosť, náklady

Štandardy: TOTP/HOTP vs. FIDO2/WebAuthn

• TOTP/HOTP: Zdieľaný tajný kľúč (seed) medzi serverom a appkou. TOTP používa časové okno (typicky 30 s), HOTP čítač. Výhody: offline, interoperabilné, jednoduché. Nevýhody: zdieľané tajomstvo, náchylnosť na phishing.
• FIDO2/WebAuthn: Párové kľúče vytvárané v hardvérovom alebo platformovom autentikátore; súkromný kľúč neopúšťa zariadenie, podpis je viazaný na origin. Výhody: odolnosť proti phishingu, žiadne kódy, možnosť biometrie, škálovateľná správa vo firmách. Nevýhody: potreba kompatibilného autentikátora a prehliadača; proces adopcie.

Praktické scenáre použitia a odporúčania

• Bežný používateľ sociálnych sietí a e-mailu: Aktivujte aspoň TOTP v appke (napr. ako náhradu za SMS). Pre kľúčové účty (e-mail, bankovníctvo) zvážte hardvérový kľúč.
• Práca na diaľku, freelanceri: Uprednostnite TOTP/push; pri kritických účtoch FIDO2. Zabezpečte backup kódy a druhý autentikátor.
• Malé a stredné firmy: Minimálne TOTP s MDM politikami a centralizovaným onboard/offboard procesom. Pre administrátorov a cloud účty nasadiť FIDO2.
• Regulované odvetvia a vysoká hrozba (fintech, zdravotníctvo, novinári): FIDO2 ako primárny faktor; SMS vypnúť, TOTP ako dočasná fallback voľba.

Najčastejšie zlyhania a ako im predísť

1. MFA fatigue (push bombing): Zapnite number matching a zobrazovanie geolokačného kontextu v push notifikácii.
2. Phishing na OTP: Používajte iba oficiálne aplikácie, pridajte detekciu domény (browser password manager + HSTS), migrujte na FIDO2.
3. Strata zariadenia/kľúča: Majte záchranné kódy, druhý registrujúci autentikátor a definovaný recovery proces (HR/IT overenie identity).
4. Shadow IT a neregistrované appky: Politiky MDM, whitelist autentifikátorov, logovanie a audit.

Migračná stratégia: od SMS k FIDO2 bez bolesti

1. Inventarizácia: Zmapujte účty a služby, ktoré podporujú TOTP a WebAuthn.
2. Fáza 1 – vypnite SMS tam, kde to ide: Prepnite na TOTP; ponechajte SMS len ako dočasný recovery kanál s prísnymi kontrolami (bezpečnostné otázky odstrániť).
3. Fáza 2 – pilot FIDO2: Nasadiť hardvérové kľúče pre adminov, DevOps a VIP účty. Využite overenie autenticity (attestation) a väzbu na účty.
4. Fáza 3 – široká adopcia: Štandardizujte nákup kľúčov, nastavte politiky (počet registrovaných kľúčov na osobu, povinné záložné kľúče), vyškolte používateľov.
5. Fáza 4 – vypnutie kódov: Ak to služba umožňuje, zrušte OTP ako primárny faktor; ponechajte ich len ako riadený break-glass mechanizmus.

Bezpečnostné a prevádzkové odporúčania

• Politiky registrácie: Vyžadujte minimálne dva autentikátory (napr. dva FIDO2 kľúče alebo kľúč + TOTP) ešte pred nasadením do produkcie.
• Recovery bez call centra: Uprednostnite self-service recovery s dôkazom držby zariadenia, eID alebo internou identitou; obmedzte telefonickú podporu.
• Monitorovanie anomálií: Upozornenia na netypické lokality, čas, neúspešné pokusy, opakované push žiadosti.
• Segregácia rizika: Pre privilegované účty povinné FIDO2 a just-in-time prístupy.

Špecifiká mobilných platforiem a prehliadačov

Moderné prehliadače a OS podporujú platformové autentikátory (napr. Secure Enclave/TPM). Tie umožňujú „passkeys“ – FIDO2 kľúče viazané na zariadenie s biometrickým odomknutím. Pre multiplatformové využitie a tímové scenáre sú ale naďalej praktické externé hardvérové kľúče (USB-C/NFC) – najmä ako prenosné, zdieľateľné medzi zariadeniami a kompatibilné s politikami organizácie.

Compliance, audit a životný cyklus autentikátorov

• Evidence a inventár: Viesť zoznam registrovaných kľúčov, dátumov vydania a revokácie.
• Rotácia a revokácia: Po strate alebo odchode zamestnanca okamžitá revokácia a audit prihlasovacích udalostí.
• Testy obnovy: Pravidelne simulujte stratu zariadenia; overte, že recovery proces je rýchly a bezpečný.

Časté mýty o 2FA a realita

• „SMS stačí každému“: Nestačí v prostredí so zvýšenou hrozbou, pri cestovaní alebo tam, kde hrozí SIM-swap.
• „Hardvérové kľúče sú nepraktické“: Moderné kľúče podporujú NFC, biometrie a viac protokolov; zavedenie je jednorazová námaha s dlhodobým ziskom.
• „TOTP je rovnako bezpečný ako FIDO2“: TOTP chráni pred únikom hesiel, ale nie pred živým phishingom; FIDO2 áno.

Rozhodovací strom: akú metódu zvoliť dnes

1. Potrebujete odolnosť voči phishingu? Áno → FIDO2. Nie → pokračujte.
2. Máte obmedzený rozpočet a chcete rýchly upgrade zo SMS? Prepnite na TOTP v appke.
3. Preferujete najjednoduchšie UX? Push s number-match alebo FIDO2.
4. Firemné privilégiá alebo kritická infra? Povinne FIDO2 + druhý kľúč.

Kontrolný zoznam pre nasadenie

• SMS ponechať len ako break-glass a vyžadovať dodatočné overenie identity.
• TOTP zaviesť ako minimum; používať spoľahlivé appky a chrániť seed (záloha/šifrovanie).
• FIDO2 pripraviť pre kľúčové účty a privilegovaných používateľov; distribuovať min. 2 kľúče/osoba.
• Nastaviť politiky recovery, logging a detekciu anomálií; pravidelne testovať.

Hierarchia spoľahlivosti

V poradí od najslabšieho k najsilnejšiemu platí: SMS → TOTP/Push → FIDO2/WebAuthn. Každý krok nahor výrazne znižuje riziko kompromitácie účtu a súčasne môže zlepšiť použiteľnosť. Minimom je odchod od SMS. Cieľovým stavom pre kritické účty a organizácie je phishing-odolná autentifikácia cez hardvérový kľúč alebo platformový FIDO autentikátor, s premysleným záložným mechanizmom a dôsledným dohľadom.