Uwierzytelnianie dwuskładnikowe (2FA) wymaga przy logowaniu czegoś więcej niż hasła — kodu, dotknięcia lub fizycznego klucza — dzięki czemu samo skradzione hasło nie wystarczy, by włamać się na konto. Nie każde 2FA jest jednak jednakowo silne. Oto jak naprawdę wypadają trzy popularne metody.
Kody SMS
Kod wysyłany SMS-em na telefon. Lepszy niż brak 2FA w ogóle, ale to najsłabsza opcja: SIM-swapping (atakujący przekonuje operatora, by przeniósł Twój numer na jego kartę SIM) i przechwytywanie sieci SS7 mogą go pokonać bez dotykania Twojego urządzenia. Używaj go tylko wtedy, gdy usługa nie oferuje niczego lepszego.
Aplikacje uwierzytelniające (TOTP)
Aplikacje takie jak Google Authenticator, Authy albo te wbudowane w Proton Pass, Bitwarden i 1Password generują 6-cyfrowy kod zmieniający się co 30 sekund, obliczany lokalnie na Twoim urządzeniu na podstawie współdzielonego sekretu — nic nie jest przesyłane, by go otrzymać, co już eliminuje SIM-swapping. Jej słabym punktem jest phishing: fałszywa strona logowania nadal może nakłonić Cię do wpisania kodu na stronie atakującego w czasie rzeczywistym.
Sprzętowe klucze bezpieczeństwa (FIDO2 / WebAuthn)
Fizyczny klucz (YubiKey, Google Titan i inne), który dotykasz lub wkładasz, aby potwierdzić logowanie. W przeciwieństwie do kodu, kryptograficznie sprawdza, czy jesteś na prawdziwej stronie, zanim odpowie — fałszywa strona po prostu nie otrzymuje ważnej odpowiedzi, co czyni go jedyną popularną metodą naprawdę odporną na phishing. Koszt to zakup klucza i noszenie go przy sobie.
Passkeys — nowsza alternatywa
Passkeys wykorzystują tę samą technologię FIDO2 co klucze sprzętowe, ale przechowują poświadczenie na telefonie lub komputerze zamiast na osobnym urządzeniu, odblokowywane odciskiem palca, twarzą lub PIN-em. Są odporne na phishing tak jak klucze sprzętowe i nie wymagają żadnego zakupu, ale wsparcie różni się w zależności od strony i sposobu synchronizacji między urządzeniami — szczegóły w naszym wpisie w słowniku.
Czego naprawdę używać?
W kolejności priorytetu: klucz sprzętowy lub passkey do najważniejszych kont (główny e-mail, menedżer haseł, bankowość, praca); aplikacja uwierzytelniająca do reszty; SMS tylko wtedy, gdy usługa naprawdę nie oferuje niczego lepszego. Większość menedżerów haseł — w tym te z naszego porównania menedżerów — potrafi już samodzielnie przechowywać i generować kody uwierzytelniające, więc nie potrzebujesz osobnej aplikacji.
Powiązane pojęcia: Uwierzytelnianie dwuskładnikowe (2FA) · Klucz dostępu (Passkey, FIDO2) · Hasło główne