2FA na Facebooku

Mimo svět Travianu připravujeme obsah i pro naše další projekty. Tentokrát jde o téma zabezpečení Facebook účtu, kterému se věnuje náš web prihlasit-fb.cz.

Proč samotné heslo dnes už nestačí

Dlouhá léta platilo, že bezpečný účet na internetu znamená hlavně silné, dostatečně dlouhé a složité heslo. Dnes to platí jen částečně – heslo samotné je důležité, ale v praxi čelí hrozbám, proti kterým je bezmocné, ať je sebedelší a sebesložitější. Prvním problémem jsou úniky databází hesel z různých webů a služeb. Pokud se jednou v minulosti stalo, že unikla databáze hesel z nějakého e-shopu, diskuzního fóra nebo jiné služby, kde jste použili stejnou e-mailovou adresu a stejné nebo podobné heslo jako na Facebooku, útočníci tuto kombinaci jednoduše zkusí i tam. Tomuto postupu se říká credential stuffing a je překvapivě účinný právě proto, že spousta lidí používá stejné heslo na více místech, aby si ho nemuseli pamatovat zvlášť pro každou službu.

Druhým problémem je phishing – podvodné stránky nebo zprávy, které se vydávají za přihlašovací stránku Facebooku a snaží se vás přimět, abyste tam zadali své přihlašovací údaje. Vizuálně bývají tyto stránky k nerozeznání od skutečného Facebooku, a pokud na ně jednou zadáte heslo, útočník ho má okamžitě k dispozici, bez ohledu na to, jak bylo silné. Právě proti těmto dvěma scénářům (uniklé heslo z jiné služby, phishingová stránka) je dvoufázové ověření extrémně účinnou obranou, protože útočník potřebuje nejen heslo, ale i druhý, dočasný prvek, ke kterému se bez přístupu k vašemu telefonu nebo autentifikační aplikaci nedostane.

Co přesně je dvoufázové ověření (2FA)

Dvoufázové ověření (anglicky two-factor authentication, zkratka 2FA) je princip, kdy k přihlášení nestačí jen jedna věc, kterou znáte (heslo), ale je potřeba i druhá věc, kterou máte u sebe nebo kterou jste – typicky mobilní telefon, autentifikační aplikace nebo fyzický bezpečnostní klíč. I kdyby se útočníkovi nějakým způsobem povedlo získat vaše heslo, bez tohoto druhého prvku se do účtu přesto nedostane. Facebook nabízí několik variant druhého ověřovacího prvku, které se liší pohodlím i úrovní bezpečnosti.

SMS kód

Nejjednodušší a nejrozšířenější metoda – při přihlášení z nového zařízení přijde na telefonní číslo spojené s účtem SMS zpráva s jednorázovým číselným kódem, který se zadá vedle hesla. Výhodou je jednoduchost a to, že nepotřebujete žádnou další aplikaci. Nevýhodou je závislost na mobilním signálu a určité (menší) riziko tzv. SIM swap útoku, kdy se útočník pokusí přesvědčit operátora, aby převedl vaše telefonní číslo na jeho SIM kartu – jde o vzácnější, ale ne nemožný scénář.

Autentifikační aplikace

Bezpečnější a dnes čím dál víc doporučovanou variantou jsou autentifikační aplikace typu Google Authenticator, Microsoft Authenticator nebo podobné nástroje integrované přímo ve Facebook aplikaci. Tyto aplikace generují na vašem telefonu krátkodobé číselné kódy (obvykle platné 30 sekund), které se pravidelně obměňují, aniž by bylo potřeba posílat jakoukoliv zprávu přes mobilní síť. Protože kód nikdy neputuje přes SMS ani internet, odpadá riziko SIM swap útoku i riziko zachycení zprávy. Nastavení probíhá jednorázovým naskenováním QR kódu zobrazeného ve Facebook nastavení.

Bezpečnostní klíče

Nejsilnější, ale také nejméně běžnou variantou jsou fyzické bezpečnostní klíče (například klíče kompatibilní se standardem FIDO2/U2F) – malá USB nebo NFC zařízení, která se při přihlášení fyzicky připojí nebo přiloží k telefonu/počítači. Tato metoda je prakticky imunní vůči phishingu, protože klíč komunikuje jen se skutečnou, ověřenou doménou Facebooku a nedá se „oklamat“ falešnou stránkou stejně snadno jako při zadávání kódu z SMS nebo aplikace. Pro běžného uživatele je ale obvykle dostatečná autentifikační aplikace, fyzický klíč se vyplatí hlavně pro účty s vyšším rizikem zneužití (například správci velkých stránek nebo firemních profilů).

Jak si 2FA na Facebooku zapnout

Zapnutí dvoufázového ověření je otázka několika minut. V nastavení Facebooku je potřeba přejít do sekce Nastavení a soukromí, dále Zabezpečení a přihlášení, kde se nachází položka Dvoufázové ověření. Facebook následně nabídne výběr metody (SMS, autentifikační aplikace nebo bezpečnostní klíč) a provede vás jejím nastavením krok za krokem – u autentifikační aplikace to znamená naskenování zobrazeného QR kódu, u SMS jen potvrzení telefonního čísla. Po zapnutí Facebook při každém přihlášení z nového, dříve nerozpoznaného zařízení nebo prohlížeče vyžádá i druhý ověřovací krok, zatímco na důvěryhodných, již dříve použitých zařízeních se obvykle nevyžaduje opakovaně. Podrobný návod krok za krokem s aktuálními snímky obrazovky a popisem každého kroku najdete na stránce jak aktivovat a nastavit dvoufázové ověření (2FA) na Facebooku.

Co dělat při ztrátě telefonu

Logická obava u dvoufázového ověření zní: co když ztratím telefon, se kterým se ověřuji? Facebook na tuto situaci myslí hned několika způsoby. Při zapnutí 2FA je možné (a velmi doporučené) vygenerovat si sadu záložních kódů pro jednorázové použití, které se vyplatí si vytisknout nebo bezpečně uložit mimo telefon – každý z nich lze použít jednou namísto běžného ověřovacího kódu, pokud k telefonu nemáte přístup. Další možností je nastavení dalšího důvěryhodného zařízení (například počítač, na kterém jste už dříve byli přihlášeni) jako zálohy. Pokud dojde k nejhoršímu scénáři, kdy nemáte k dispozici ani telefon, ani záložní kódy, Facebook nabízí i proces obnovy přístupu k účtu přes identifikaci jinými údaji, i když to bývá zdlouhavější a méně pohodlné – proto se záložní kódy vyplatí mít připravené dopředu, ne až ve chvíli nouze.

Časté problémy s přihlášením na Facebook

Kromě ztráty telefonu se v praxi objevuje i řada dalších běžných potíží spojených s přihlašováním. Zapomenuté heslo je asi nejčastější případ – Facebook umožňuje obnovu přes e-mail nebo telefonní číslo spojené s účtem, ale pokud ani k jednomu z nich již nemáte přístup, proces se komplikuje a je potřeba využít alternativní ověření identity. Dalším běžným scénářem je dočasné nebo trvalé zablokování účtu, ke kterému může dojít při podezření na podvodnou aktivitu, hromadném nahlášení profilu jinými uživateli, nebo při přihlášení z neobvyklé lokace či zařízení, které systém vyhodnotí jako rizikové. V takových případech Facebook obvykle vyžaduje ověření identity (například nahráním fotografie dokladu nebo zodpovězením bezpečnostních otázek), než účet znovu odemkne.

Zvláštní kategorií jsou situace, kdy se do účtu skutečně dostal někdo jiný – projeví se to typicky podivnými příspěvky, zprávami odeslanými bez vašeho vědomí, nebo rovnou tím, že se už sami nemůžete přihlásit, protože útočník heslo změnil. Tady je dvoufázové ověření zásadní prevencí ještě předtím, než k něčemu podobnému dojde, protože zabrání přihlášení i tomu, kdo vaše heslo skutečně zná. Podrobnosti k těmto a dalším situacím, včetně toho, jak poznat, že byl účet napadený, a jak postupovat při obnově, najdete v sekci bezpečnost a ochrana účtu na webu prihlasit-fb.cz, konkrétně v článcích můj Facebook účet byl napaden a mám zamčený/hacknutý Facebook.

Shrnuto – dvoufázové ověření sice přidá k přihlášení jeden krok navíc, ale tento malý nepohodlný krok je ve skutečnosti jedna z nejúčinnějších a nejlevnějších obran, jakou si pro svůj účet můžete nastavit. Vzhledem k tomu, kolik osobního obsahu, fotografií a kontaktů se na Facebooku za roky nahromadí, se investice těch pár minut na nastavení rozhodně vyplatí.