Почти всяка седмица можете да прочетете новина за поредния теч на данни. Хиляди акаунти от различни платформи биват компрометирани всекидневно. Макар че подобен неупълномощен достъп до информация често се получава, ако даден сървър не е настроен или защитен добре, понякога той може да е вследствие на откраднати потребителски имена и пароли. Измамниците, или т.нар скамъри (от англ. scammers), обикновено насочват усилията си към служители на компании на високо управленско ниво с цел да откраднат данните им за достъп, но често обикновени хора също стават жертви на това киберпрестъпление и губят достъп до акаунтите си.
Понякога е много трудно да различите фишинг (от англ. phishing) имейлите, така че ако въведете данните си за достъп до даден акаунт на фалшив уебсайт, неупълномощено лице ще получи достъп до информацията Ви или направо ще започне да използва акаунта Ви злонамерено. Можете да прочетете статията ни относно различните фишинг техники и как да ги разпознавате, но ако междувременно искате да защитите акаунтите си по-добре, трябва да добавите допълнително ниво на защита - двуфакторна автентикация (2FA). В тази статия ще разгледаме различните видове 2FA, какви приложения можете да използвате, както и по какъв начин можете да добавите 2FA в няколко популярни платформи за управление на съдържание и приложения за електронна търговия. По този начин ще можете да защитите информацията на клиентите си. Ще намерите информация и как да активирате двуфакторна автентикация за акаунтите си с ICDSoft.
- Какво точно е двуфакторна автентикация и защо Ви е нужна?
- Видове двуфакторна автентикация
- TOTP софтуер
- Мобилни приложения
- Браузърни разширения
- TOTP хардуер
- Как да добавите двуфакторна автентикация на уебсайта си
- Защитете акаунтите си с ICDSoft чрез 2FA
- В заключение
Какво точно е двуфакторна автентикация и защо Ви е нужна?
Двуфакторната автентикация повишава сигурността на акаунта Ви. Ще срещнете различни имена за една и съща услуга - двуфакторна верификация, логин автентикация, 2FA и други. По-просто казано, когато въведете потребителското име и паролата си, ще трябва да въведете допълнителен код или да направите нещо допълнително, за да одобрите опита за влизане в акаунта. Ако 2FA действието е неуспешно, няма да можете да влезете в акаунта, дори да използвате правилните данни за достъп.
Да използвате двуфакторна автентикация, означава да потвърдите самоличността си чрез използването на два от три вида потвърждение, когато искате да достъпите даден акаунт:
- Нещо, което знаете. Обикновено това е паролата Ви, но може да е и допълнителен ПИН код.
- Нещо, което имате. Това може да е телефонът Ви или хардуерен ключ.
- Нещо, което сте. В най-общия случай трябва да използвате пръстов отпечатък, но това може да са и други биометрични данни - сканиране на ретината, гласово разпознаване и други. Този вариант е най-сигурният, но и най-рядко използваният.
Двуфакторната автентикация ще повиши сигурността на всеки акаунт. Тя ще затрудни максимално всеки хакер, който се опитва да достъпи акаунта и на практика ще обезсмисли т.нар. социално инженерство - техника, която се използва, за да бъде подмамен човек да предостави данните си за достъп. Вие също трябва да използвате 2FA по чисто практически причини, стига доставчикът на услугата да поддържа подобна система. Ето няколко примера:
- Ако използвате онлайн банкиране, може да изгубите парите си, ако някой се докопа до данните Ви за достъп.
- Всякакъв неупълномощен достъп може да доведе до кражба на онлайн идентичността Ви, тъй като лицето, влязло в акаунта Ви, ще има достъп до личната Ви информация и може да реши да я използва, за да се представя за Вас.
- Ако играете някаква онлайн игра, ще изгубите цялото време, което сте играли, както и всякакви предмети, които сте събрали в играта през годината, включително такива, които сте закупили за истински пари.
- Ако имате уебсайт и някой получи достъп до акаунта Ви, може да изгубите съдържанието на сайта. Щетите в този случай ще варират от загубата на време и пари да го възстановите, до фалит на бизнеса Ви, ако нямате бекъп и търговското Ви име пострада необратимо.
Добавяйки 2FA на Вашия собствен сайт, ще повишите доверието на клиентите си. Тъй като те няма да се тревожат за сигурността на акаунтите си, ще е по-вероятно да останат Ваши клиенти в дългосрочен план. Ако самите Вие се притеснявате, че някой може да достъпи акаунтите Ви неупълномощено и да загубите пари или дигитално съдържание, можете да разберете защо собствените Ви клиенти биха се тревожили за същите неща. В допълнение: двуфакторната автентикация може да Ви спести много главоболия, с които бихте се сблъскали, ако клиентски акаунт бъде компрометиран поради липсата на допълнителни мерки за сигурност.
Видове двуфакторна автентикация
Различните доставчици на услуги поддържат различни начини за удостоверяване, така че ще видите различни варианти за двуфакторна автентикация. Ето списък с най-често срещаните:
- Постоянен ПИН код. Този код има ролята на втора парола, тъй като е винаги един и същ, докато не решите да го промените. Този вариант не е много сигурен - ако някой може да научи паролата Ви, ще може също толкова лесно да научи и ПИН кода Ви.

- Предварително дефиниран отговор на въпрос. Много сайтове използват този вариант. Трябва да изберете един или няколко въпроса и да въведете отговорите им. В някои случаи можете да избирате от предварително зададен списък от въпроси, в други можете да въведете собствени въпроси и отговорите им. Когато искате да влезете в акаунта си, ще се появи произволно избран въпрос, а Вие ще трябва да напишете отговора му.

- Еднократен код, изпратен чрез SMS. Тази опция е широко използвана. Всеки път, когато искате да достъпите акаунта си, доставчикът на услугата Ви изпраща текстово съобщение с код, който трябва да въведете. Този вариант за двуфакторна автентикация е доста сигурен, тъй като ако друг човек иска да получи достъп до акаунта Ви, той ще трябва физически да се намира до телефона Ви.

- Временен код за сигурност. Това е може би най-популярният метод за двуфакторна автентикация. Уникален код се генерира от приложение за автентикация на всеки 15-60 секунди. Можете да свържете акаунта си с подобно приложение с помощта на QR код или таен ключ, които ще намерите в акаунта си, стига доставчикът на услугата да поддържа подобно нещо. Предимството на този вариант е, че кодовете изтичат доста бързо, така че няма време някой хакер да се опита да Ви измами чрез сложна атака, която би отнела много време.

- Еднократен код, изпратен чрез имейл (time-based, one-time passcode, TOTP). Ако използвате имейл за двуфакторна автентикация, код или линк за потвърждение ще бъде изпратен на имейл адреса Ви всеки път, когато искате да достъпите акаунта си. Подобни кодове обикновено изтичат в рамките на 10-15 минути. Недостатъкът на този метод е, че ако имейлът Ви бъде хакнат, хакерът ще може да промени данните Ви за достъп и да влезе във всеки от акаунтите Ви, дори да сте пуснали двуфакторна автентикация.

- Push нотификация. Ако използвате този метод за двуфакторна автентикация, ще трябва да кликнете на нотификация на телефона си. Тъй като не се изпраща никаква информация и никакви данни не могат да бъдат прихванати от трето лице, този метод за автентикация е един от най-сигурните. За да използвате Push нотификации, трябва да инсталирате приложение от същия доставчик, на чийто уебсайт искате да се логнете, а доставчикът трябва да поддържа този метод за двуфакторна автентикация.

- Биометрични данни. Тук се включват пръстови отпечатъци, гласово и лицево разпознаване. Тъй като този метод за автентикация е много труден за въвеждане в употреба и поддръжка, достъпът чрез биометрични данни се използва много рядко. Отключването на телефон с отпечатък или чрез лицево разпознаване т.е. заместването на един начин за достъп (парола) с друг (2FA) не е същото нещо като двуфакторна автентикация.

TOTP софтуер
Почти всички гореспоменати методи за двуфакторна автентикация са или лични (биометрични данни, достъп до телефона Ви т.е. нещо, което сте или което притежавате), или специфични за даден уебсайт (PIN код, предварително зададени въпроси: т.е. неща, които се управляват само от доставчика на услугата). За да използвате временен код за сигурност обаче, Ви е необходим допълнителен софтуер. Това е най-използваният метод за автентикация, така че ще споменем някои от най-популярните приложения за телефон и браузърни разширения, които можете да използвате. Препоръчително е да използвате мобилно приложение, тъй като то ще бъде инсталирано на телефона Ви и би било изключително трудно за трето лице да получи достъп до него. Да използвате браузърно разширение, може да е по-лесно и по-бързо за ежедневната Ви работа, но това би улеснило всеки с достъп до компютъра Ви да получи достъп до акаунтите Ви.
Мобилни приложения
- Google Authenticator (Android, iOS). Това е едно от най-популярните приложения за телефони, тъй като е много лесно за употреба. Изчистеният интерфейс Ви позволява да добавите ключ или да сканирате QR код, както и да синхронизирате времето на устройството си със сървърите на Google. Последното е нужно понякога, тъй като дори малко разминаване може да стане причина генерираните кодове да не работят. Ако искате да смените телефона си, Google Authenticator ще Ви позволи лесно да експортирате и импортирате всичките си акаунти накуп.
- Microsoft Authenticator (Android, iOS). Още едно приложение с много изчистен интерфейс, но и с повече опции на Ваше разположение, като например облачен бекъп и сканиране на екрана, което позволява на други приложения да четат генерираните кодове автоматично. В допълнение, можете да използвате приложението и за управление на паролите си - те ще се запазват и попълват автоматично. За допълнителна сигурност можете да активирате заключване на приложението с PIN код или с автентикация с биометрични данни, които ще са нужни, за да можете да използвате автоматичното попълване на данните за даден акаунт.
- LastPass Authenticator (Android, iOS). LastPass е един от най-популярните мениджъри за пароли (password managers), но компанията предлага и приложение за двуфакторна автентикация. За разлика от конкурентни приложения, това поддържа седем езика както и персонализирано сортиране и търсене в кодовете. Опцията за бекъп е налична само ако имате LastPass акаунт, а за целта ще трябва да инсталирате и приложението LastPass Manager. LastPass Authenticator поддържа заключване с PIN код и биометрични данни.
- FreeOTP (Android, iOS). Това е безплатно приложение с отворен код, така че ако сте фенове на този вид софтуер и предпочитате да не се доверявате на големи корпорации за сигурността си, FreeOTP би бил Вашият най-добър избор.
Браузърни разширения
- MYKI Password Manager & Authenticator (Firefox, Chrome, Edge). Това всъщност е мениджър на пароли, който включва и функция за автентикация. Ще трябва да свържете браузърното разширение с мобилното приложение или десктоп програмата MYKI. Цялата информация се съхранява локално, а не на облачни сървъри.
- Authenticator (Firefox, Chrome, Edge). Просто, но много ефективно разширение. Дори ако го използвате с браузър на настолен компютър, пак ще имате опция да сканирате страница за QR код, ако предпочитате да не копирате на ръка тайния ключ. Ако изберете опцията Manual entry, ще можете да зададете и различен режим - ограничен във времето код (time based), брояч (counter based), Steam, Battle.net (последните две са платформи за онлайн игри).
- Open Two-Factor Authenticator (Firefox, Chrome, Edge). Още едно разширение, което Ви позволява да използвате двуфакторна автентикация в различни уеб браузъри. То Ви дава възможност да криптирате всеки добавен акаунт с парола, така че нужният Ви временен код няма да се покаже, докато не въведете правилната парола. Това ще Ви даде допълнителна сигурност. Разширението идва с над 20 иконки на популярни услуги, които можете да използвате, когато добавяте даден акаунт.
TOTP хардуер
Някои платформи поддържат употребата на т.нар. хардуерни токени вместо софтуерно-генерирани кодове. Можете да намерите подобни токени на пазара, като съществуват два вида според начина, по който се свързват с компютър, за да бъдат настроени - чрез USB или чрез NFC. Когато хардуерният токен е настроен, ще можете да го използвате без допълнителен софтуер на компютъра или телефона Ви. Когато искате да достъпите даден акаунт, кодът за потвърждение ще бъде генериран от хардуерния токен. Всеки път, когато натиснете бутон на токена, ще бъде генериран нов код.
YubiKey и Duo са два от производителите на хардуерни токени, които могат да се използват с някои от най-популярните услуги като: Facebook, Salesforce, GitHub, Coinbase и т.н. Някои компании предлагат хардуерни токени, които са предварително настроени да работят с услугите им или дори с конкретен акаунт.


Как да добавите двуфакторна автентикация на уебсайта си
Можете да пуснете двуфакторна автентикация на всеки уебсайт, който използвате, стига на него да се предлага подобна услуга. Ако имате собствен уебсайт, на който хората могат да си направят акаунт, можете да добавите двуфакторна автентикация и на него. Това ще позволи на потребителите на сайта да се възползват от същото ниво на сигурност, каквото самите Вие бихте искали да имате за Вашите собствени акаунти. По-долу ще намерите информация как можете да направите това с няколко популярни уебсайт платформи. Няма да споменаваме как да добавите двуфаторна автентикация на уебсайт, който не ползва готова платформа, или на приложение, тъй като това изисква набор от умения в областта на програмирането. Ако вече имате тези умения, най-вероятно няма да Ви трябва ръководство. Ако нямате нужните умения, най-добре потърсете разработчик, с когото да работите.
Ако използвате някое от приложенията, споменати по-долу обаче, можете лесно да добавите двуфакторна автентикация, така че можете да продължите да четете.
- WordPress. Подобно на много други функции, можете да добавите двуфакторна автентикация на WordPress сайта си, като инсталирате плъгин. Ще намерите различни варианти в хранилището за плъгини на WordPress като например: Two Factor Authentication, WP 2FA или Two Factor. В зависимост от плъгина, който изберете, потребителите на сайта ще получат код за потвърждение по имейл или ще трябва да въведат временен код, генериран от свързано приложение, всеки път, когато искат да достъпят акаунта си. Ще можете да изберете и дали двуфакторната автентикация да важи за всички потребители, или само за конкретни групи.


- Joomla. Влезте в административния панел и отидете на Users -> Manage -> кликнете на Administrator user -> кликнете на таба Two Factor Authentication. Това е мястото, където можете да изберете типа двуфакторна автентикация, която да се използва на сайта. По подразбиране Joomla поддържа Google Authenticator и YubiKey. Веднъж активирана, двуфакторната автентикация ще се появява за всеки потребител.


- Drupal. За да добавите двуфакторна автентикация на сайт, направен с Drupal, трябва да свалите, инсталирате и активирате модула miniOrange 2FA. След това отидете на Configuration -> miniOrange Second Factor Authentication и си направете акаунт за услугата miniOrange. Когато сте готови, кликнете на таба Setup Two-Factor и ще видите 16 различни метода за двуфакторна автентикация - имейл, SMS, хардуерен токен, въпроси за сигурност и други. Трябва само да изберете метода, който Ви допада най-много.


- Moodle. Свалете плъгина Multi-factor authentication. Влезте в административния си панел и отидете на Site Administration -> Plugins -> Install plugins, след това го инсталирайте. Можете да активирате двуфакторна автентикация за различни групи потребители, да добавите въпроси за сигурност и дори да активирате допълнителна защита единствено ако някой потребител иска да достъпи акаунт от конкретни IP адреси.


- OpenCart. За да добавите двуфакторна автентикация към OpenCart магазин, свалете разширението Two Factor Authentication for customers + admin, след това влезте в административния панел и го инсталирайте от Extensions -> Installer. Активирайте разширението от Extensions -> Modules, а след това отидете на Extensions -> Modifications и кликнете на бутона за запазване, без да променяте каквото и да е. Ако след това кликнете на профилната си информация в горния десен ъгъл на страницата, ще видите новата опция Two Factor Authentication, която се е появила там. Всеки от Вашите клиенти ще може да активира тази опция, ако иска да повиши сигурността на акаунта си.


Защитете акаунтите си с ICDSoft чрез 2FA
Ако имате акаунт с нас, можете да активирате двуфакторна автентикация както за акаунт панела, така и за хостинг контролния панел. За всеки от тях ще намерите нужния Ви таен ключ или QR код в секция Профил. Можете да използвате която и да е от двете опции в зависимост от това дали ще използвате приложение на телефона си, или браузърно разширение. Добавете ключа или сканирайте кода, за да свържете акаунта с приложението/разширението, и оттам нататък ще трябва да въвеждате генерирания от него код всеки път, когато въведете потребителското име и паролата си.
Ако добавите нов потребител на хостинг контролния си панел, можете да зададете задължително активиране на двуфакторната автентикация при първото влизане в акаунта от страна на потребителя.


Разбира се, за максимална сигурност, трябва да имате и пълен бекъп на съдържанието си. Нашата система създава два бекъпа на ден на цялото съдържание на всеки един акаунт (файлове и имейли) и ги пази за 7 дни за споделените ни планове и за 15 дни за менажираните ни VPS планове. Ако добавите и услугата ни “Допълнителни архиви”, ще се създават и още два бекъпа на месец, които ще бъдат на Ваше разположение в продължение на 12 пълни месеца. Така, каквото и да стане, можете да разчитате на нас.
В заключение
Жизненоважно е да защитите акаунтите си, тъй като в противен случай може лесно да изгубите пари, лични данни или достъп до услуги. Използвайки двуфакторна автентикация за всеки Ваш акаунт, който поддържа тази функция, ще бъдете по-спокойни. Това може да Ви спести много време и пари, които в противен случай бихте дали, за да се справите с щетите, нанесени вследствие на неупълномощен достъп до някой от акаунтите Ви. Макар че някои методи за двуфакторна автентикация са по-добри от други, не всички се поддържат от различните доставчици на услуги. Важното в случая е, че някаква защита е по-добра от никаква защита.
Независимо дали използвате нашите услуги, имате акаунт с друг доставчик, или искате да предложите допълнителна защита на собствените си клиенти, трябва да добавите/активирате двуфакторна автентикация възможно най-скоро.