Kryptotilin kaksivaiheinen tunnistautuminen: valitse tekijä ja palautusreitti

Ota kryptopalvelun tilille käyttöön palvelun tukema vahva toinen tunnistustekijä ja suunnittele sen palautus ennen kuin tarvitset sitä. Jos palvelu tukee kirjautumiseen tietojenkalastelua kestävää turva-avainta tai passkey-kirjautumista, tutustu niiden käyttöön. Muussa tapauksessa tunnistussovellus on usein käyttökelpoinen vaihtoehto. Valinta riippuu palvelun todellisesta tuesta ja siitä, pystytkö säilyttämään varareitin turvallisesti.

Kaksivaiheinen tunnistautuminen, eli 2FA, lisää kirjautumiseen toisen tarkistuksen salasanan lisäksi. Se vaikeuttaa tilille pääsyä pelkällä vuotaneella salasanalla, mutta ei poista kaikkia tilin kaappauksen riskejä. Suojaa myös tilin palautuksessa käytettävä sähköposti ja tarkista, millä tavoilla palvelu sallii tilille palaamisen.

Mitä toinen tekijä käytännössä tekee?

Tavallisessa kirjautumisessa annat ensin käyttäjätunnuksen ja salasanan. Toiseksi palvelu voi pyytää esimerkiksi tunnistussovelluksessa näkyvää vaihtuvaa koodia tai turva-avaimella tehtävää vahvistusta. Ajatus on, että salasanan tietäminen ei yksin riitä. Ethereum.org kuvaa tunnistussovelluksen tuottaman kertakoodin ja turva-avaimet tilin lisäsuojina 1.

Palvelut käyttävät termejä hieman eri tavoin. Passkey voi korvata salasanan tai toimia osana palvelun kirjautumisjärjestelyä, jossa käyttäjä todentaa itsensä esimerkiksi laitteen näytön lukituksella. Älä oleta, että passkey toimii samoin kaikissa palveluissa tai että sen lisääminen automaattisesti muuttaa kaikki palautusasetukset. Tarkista palvelun ohjeista, mitä kyseinen asetus tekee.

Suojattavia asioita on myös kirjautumisen jälkeen. Jotkin palvelut tarjoavat erillisiä vahvistuksia esimerkiksi nostoille tai asetusten muutoksille. Niiden saatavuutta ja vaikutusta ei voi päätellä siitä, että kirjautumiselle on asetettu 2FA. Tarkista nämä erikseen, mutta pidä ensin huolta siitä, että pääset tilille ja voit palauttaa pääsyn hallitusti.

Turva-avain tai passkey: vahva valinta, jos tuki löytyy

Fyysinen turva-avain on laite, jolla kirjautuminen vahvistetaan. Passkey taas on kirjautumisavain, jota voidaan käyttää esimerkiksi yhteensopivalla laitteella tai sen avainten hallinnan kautta. Molempien toiminta riippuu toteutuksesta: selvitä, tukeeko kryptopalvelu juuri kyseistä menetelmää ja käyttämääsi laitetta.

CISA käsittelee FIDO-pohjaista tunnistautumista tietojenkalastelua kestävänä vaihtoehtona: vahvistus sidotaan oikeaan palveluun, mikä vaikeuttaa tunnusten käyttämistä valesivulla. Tämä ei tarkoita, että kaikki passkey- tai turva-avainjärjestelyt poistaisivat kaikki muut riskit. 15

Ennen valintaa käy läpi palautus. Voitko rekisteröidä toisen avaimen? Voiko passkeyn palauttaa tai synkronoida, ja minkä tilin suojaamisesta palautus riippuu? Jos käytät varalle toista fyysistä avainta, säilytä se erillään varsinaisesta avaimesta turvallisessa paikassa. Älä oleta, että varalaite on käyttökelpoinen ennen kuin se on lisätty palvelun hyväksymällä tavalla.

Tarkista myös oma arki. Jos kirjaudut vain puhelimella, varmista yhteensopivuus juuri sen kanssa. Jos laite katoaa, pitääkö sinun ensin palauttaa käyttöjärjestelmän tili tai hankkia toinen hyväksytty laite? Vastaus vaikuttaa siihen, miten hyvä menetelmä on sinulle, vaikka tekninen suoja olisi vahva.

Tunnistussovelluksen koodi

Tunnistussovellus tuottaa vaihtuvan kertakoodin, jonka kirjoitat palvelun kirjautumisnäkymään. Käyttöönotossa palvelu ja sovellus jakavat salaisen asetustiedon; sen hallinta on osa tilin suojaa. Älä lähetä käyttöönoton QR-koodia tai salaisuutta toiselle henkilölle äläkä tallenna sitä suojaamattomana. Ethereum.org kuvaa koodin muodostamisen laitteelle tallennetun salaisuuden perusteella 1.

Kertakoodi on hyödyllinen lisä salasanaan, mutta se voidaan kalastella, jos käyttäjä syöttää sen huijaussivulle tai luovuttaa sen toiselle. Koodin nopea vaihtuminen ei yksin tee menetelmästä tietojenkalastelua kestävää. CISA erottaa tällaiset kirjautumismenetelmät FIDO-pohjaisesta tietojenkalastelua kestävästä tunnistautumisesta 15.

Selvitä ennen laitteen vaihtamista, miten sovellus siirretään tai palautetaan. Eri sovelluksilla on erilaiset varmistus- ja siirtotavat. Jotkin vaihtoehdot voivat riippua erillisestä pilvitilistä; silloin myös kyseisen tilin palautus ja suojaus ovat tärkeitä. Älä poista vanhaa sovellusta ennen kuin olet varmistanut uuden toiminnan ja säilyttänyt palvelun tarjoaman varareitin.

Tekstiviesti ja sähköposti eivät ole samanlaisia kuin turva-avain

Palvelu voi tarjota koodin tekstiviestinä tai sähköpostiin. Tekstiviestin käytössä on muun muassa puhelinnumeroon kohdistuvia riskejä; Ethereum.org nostaa esiin SIM-kaappauksen mahdollisuuden 1. Sähköpostiin lähetetty koodi puolestaan riippuu sähköpostitilin turvallisuudesta. Jos hyökkääjä hallitsee sähköpostia, hän voi päästä käsiksi sinne tuleviin palautusviesteihin.

Jos parempaa palvelun tukemaa vaihtoehtoa ei ole, käytettävissä oleva lisätarkistus on silti harkittava suhteessa siihen, ettei lisätarkistusta olisi lainkaan. Älä kuitenkaan tulkitse kaikkia menetelmiä samanarvoisiksi. Tarkista myös, jääkö heikompi vaihtoehto aktiiviseksi palautusreitiksi vahvemman menetelmän lisäämisen jälkeen.

Rakenna palautus ennen lukkiutumista

Tee suunnitelma rauhassa silloin, kun pääset vielä tilille. Etsi palvelun omista tilin turvallisuusasetuksista tai ohjeista, mitä tapahtuu puhelimen tai turva-avaimen kadotessa. Ota selville, onko käytössä varakoodit, varalaite vai henkilöllisyyden tarkistukseen perustuva palautusmenettely. Palvelukohtaiset vaatimukset voivat muuttua.

Jos saat kertakäyttöisiä varakoodeja, säilytä ne paikassa, johon ulkopuoliset eivät pääse mutta johon pääset myös puhelimen kadottua. Pelkästään saman puhelimen lukitsematon muisti ei ole hyvä ainoa varareitti. Älä myöskään lähetä koodeja itsellesi suojaamattomana tai jaa niitä tukihenkilöksi esiintyvälle.

Vara-avain tai toinen rekisteröity laite voi olla vaihtoehto, jos palvelu sen sallii. Testaa menettely palvelun ohjeen mukaan niin, ettei toimivaa pääsyä poisteta kesken kokeilun. Merkitse itsellesi, missä varareitti on ja mitä sen käyttö edellyttää. Tarkoitus ei ole varastoida salaisuuksia moneen paikkaan, vaan välttää yksi helposti menetettävä yhteinen riippuvuus.

Tämä suunnitelma koskee palvelutilin kirjautumista. Itsehallinnoidun lompakon palautussanat ovat eri asia: tilin 2FA:n palautus ei korvaa niitä, eikä lompakon palautuslause yleensä palauta pörssitilin kirjautumista. Älä syötä kumpaakaan toisen ongelman oletetuksi ratkaisuksi.

Kuvitteellinen esimerkki: puhelin vaihtuu

Oletetaan, että Mika kirjautuu kryptopalveluun salasanalla ja tunnistussovelluksen koodilla. Hän aikoo vaihtaa puhelimensa ja huomaa, ettei tiedä, miten sovellus siirtyy uuteen laitteeseen. Ennen vanhan laitteen tyhjentämistä Mika avaa itse palvelun virallisen ohjeen ja tarkistaa sallitut palautustavat.

Palvelu tarjoaa tässä kuvitteellisessa tilanteessa varakoodeja ja mahdollisuuden lisätä turva-avain. Mika tallentaa varakoodit turvallisesti erilleen puhelimesta ja lisää vara-avaimen ohjeen mukaisesti. Hän kokeilee uudella menetelmällä kirjautumista ennen kuin poistaa vanhan sovelluksen. Jos uusi kirjautuminen ei onnistu, hänellä on edelleen vanha reitti ja aikaa selvittää asia palvelun kanssa.

Esimerkki ei oleta, että kaikki palvelut tarjoavat samat vaihtoehdot. Jos oma palvelu ei anna varakoodeja tai vara-avainta, selvitä sen todellinen menettely. Mahdollista henkilöllisyyden todentamista, odotusaikaa tai palautuksen onnistumista ei voi luvata yleisesti.

Sähköposti ja salasana kuuluvat samaan suunnitelmaan

Kryptotili voi olla riippuvainen sähköpostista esimerkiksi salasanan palautuksessa tai tärkeiden ilmoitusten vastaanottamisessa. Suojaa siksi myös sähköposti vahvalla, sille yksilöllisellä salasanalla ja sen tukemalla monivaiheisella tunnistautumisella. Tarkista sähköpostin oma palautusmenettely erikseen.

Yksilöllinen salasana vähentää riskiä, että yhden palvelun tietovuoto paljastaa saman salasanan muihin palveluihin. Salasanojen hallintaohjelma voi auttaa vahvojen yksilöllisten salasanojen säilyttämisessä. Ethereum.org käsittelee sekä yksilöllisten salasanojen että salasananhallinnan merkitystä 1.

Suunnitelman heikoin kohta voi olla palautus: jos tilille pääsee nollaamalla toisen tekijän helposti suojaamattoman sähköpostin kautta, vahva kirjautumisavain ei yksin ratkaise ongelmaa. Selvitä omasta palvelusta, millaisia tarkistuksia palautus todella vaatii, äläkä oleta sen suojaustasoa.

Tarkista asetukset käyttöönoton jälkeen

Kun menetelmä on käytössä, tarkista vielä palvelun turvallisuusnäkymästä, näkyykö oikea kirjautumistapa aktiivisena ja ovatko mahdolliset vanhat menetelmät edelleen käytössä. Älä poista toimivaa menetelmää ennen kuin uusi ja sen varareitti ovat käytettävissä. Jos palvelu ilmoittaa asetusten muutoksista sähköpostilla, seuraa ilmoituksia, mutta avaa asetukset itse palvelusta.

Pidä palautussuunnitelma ajan tasalla myös silloin, kun vaihdat puhelinnumeroa, sähköpostiosoitetta tai salasanojen hallintaa. Vanhentunut palautusosoite voi tehdä tilille palaamisesta vaikeaa tai jättää tarpeettoman riippuvuuden vanhaan palveluun. Tarkista muutoksen jälkeen, että uusi yhteystieto toimii ja vanhan poistaminen on todella onnistunut.

Mieti lisäksi, voiko jokin yksittäinen menetys viedä sekä ensisijaisen että varareitin. Jos puhelin sisältää tunnistussovelluksen, sähköpostin ja ainoan tallennetun varakoodin, yhden laitteen menetys voi vaikeuttaa useaa palautusvaihetta kerralla. Erillinen turvallisesti säilytetty varareitti voi vähentää tätä riippuvuutta, jos palvelu tarjoaa sellaisen.

Valitse omien rajoitteiden mukaan

Jos käytettävissä on tietojenkalastelua kestävä menetelmä, varmista ensin, että pystyt käyttämään sitä kaikilla tarvittavilla laitteillasi ja ymmärrät palautuksen. Muussa tapauksessa hyvin hoidettu tunnistussovellus ja turvallinen varareitti voivat olla käytännöllinen ratkaisu. Vertaile koko ketjua, älä vain kirjautumisnäytön nimeä.

Selvitä myös, käyttääkö palvelu samaa tunnistusta sisäänkirjautumiseen, varojen nostamiseen ja turvallisuusasetusten muuttamiseen. Aseta erilliset vahvistukset vain palvelun ohjeiden ja omien tarpeidesi mukaan. Tarkista muutoksen jälkeen, mikä toiminto todellisuudessa pyytää lisävahvistuksen. Mikään yksittäinen asetus ei suojaa tilanteessa, jossa hyökkääjä saa käyttöönsä kaikki tarvittavat palautuskeinot.

Jos epäilet tilin vaarantuneen

Jos saat vahvistuspyynnön, jota et aloittanut, älä hyväksy sitä. Avaa palvelu itse aiemmin tuntemastasi osoitteesta tai sovelluksesta ja tarkista tilin turvallisuusasetukset. Jos epäilet sähköpostinkin vaarantuneen, pyri suojaamaan myös se. Ota tarvittaessa yhteys palvelun viralliseen tukeen sen omien kanavien kautta.

Tuki voi antaa palvelukohtaiset ohjeet pääsyn rajaamiseen tai palauttamiseen, mutta varojen palautumista ei voi luvata. Älä luovuta salasanoja, kertakoodeja, varakoodeja tai lompakon palautussanoja kenellekään. Ennakkoon tehty suunnitelma auttaa sekä tavallisessa laiterikossa että kiireisessä poikkeustilanteessa: tiedät, mitä voit tehdä ja mistä oikea ohje löytyy.