Klucz fizyczny zapewnia wyższy poziom ochrony przed phishingiem, a aplikacja mobilna wygrywa wygodą i dostępnością. Dla najważniejszych kont warto wybrać FIDO2, natomiast TOTP będzie rozsądnym rozwiązaniem tam, gdzie liczy się prostota. Najlepszy model dla wielu osób łączy oba mechanizmy.
Klucz fizyczny czy aplikacja mobilna – porównanie
Oba rozwiązania wzmacniają logowanie wieloskładnikowe, ale działają na innej zasadzie. Klucz sprzętowy przechowuje dane uwierzytelniające w odizolowanym urządzeniu. Aplikacja generuje jednorazowe kody na smartfonie. Największa różnica dotyczy odporności na phishing, czyli prób wyłudzenia danych na podrobionej stronie.
| Cecha | Klucz fizyczny | Aplikacja mobilna |
|---|---|---|
| Bezpieczeństwo | Wysokie, szczególnie dzięki odporności FIDO2 na phishing | Dobre, ale kod TOTP można wyłudzić na fałszywej stronie |
| Wygoda | Wymaga posiadania klucza i zgodnego portu lub komunikacji bezprzewodowej | Smartfon jest zwykle zawsze pod ręką |
| Koszt | Wymaga zakupu urządzenia | Najczęściej bezpłatna aplikacja |
| Dostęp offline | Może działać bez sieci, zależnie od usługi i modelu klucza | Kody TOTP mogą działać bez internetu, ale potrzebny jest sprawny telefon |
| Kopia zapasowa | Warto mieć drugi klucz, ponieważ utrata jedynego może utrudnić dostęp | Trzeba zabezpieczyć możliwość odtworzenia kont lub przeniesienia sekretów |
Jak działa klucz FIDO2?
Klucze fizyczne wykorzystują standardy FIDO2 lub starszy U2F. Podczas rejestracji usługa tworzy parę kluczy kryptograficznych. Sekret pozostaje w urządzeniu, a serwis otrzymuje jedynie informację potrzebną do sprawdzania odpowiedzi.
Przy logowaniu klucz weryfikuje, dla jakiej domeny internetowej ma zadziałać. Fałszywa strona podszywająca się pod bank, pocztę lub portal społecznościowy nie otrzyma poprawnej odpowiedzi, nawet gdy użytkownik podłączy urządzenie i potwierdzi operację. To odróżnia FIDO2 od kodów wpisywanych ręcznie. Klucz nie przekazuje kodu, który można skopiować i wykorzystać na innej stronie.
Sprzętowa izolacja ogranicza też skutki przejęcia komputera lub wycieku hasła. Nie oznacza to jednak, że klucz rozwiązuje każdy problem. Można go zgubić, uszkodzić albo zostawić w innym miejscu. Dlatego przy ważnych kontach należy wcześniej dodać zapasowy klucz lub skonfigurować inną bezpieczną metodę odzyskiwania dostępu.
Jak działają aplikacje TOTP?
Aplikacje uwierzytelniające korzystają zwykle z TOTP, czyli jednorazowych haseł zależnych od czasu. Po zeskanowaniu kodu konfiguracyjnego aplikacja i serwer przechowują wspólny sekret. Program wylicza na jego podstawie krótki kod, który zmienia się cyklicznie.
Największą zaletą TOTP jest dostępność. Nie trzeba kupować dodatkowego urządzenia, a kod może zostać wygenerowany bez połączenia z internetem. To dobre rozwiązanie dla osób, które dopiero włączają ochronę logowania i chcą szybko zabezpieczyć pocztę, media społecznościowe czy inne usługi.
Aplikacja działa jednak w środowisku smartfona. Jeśli telefon zostanie zainfekowany złośliwym oprogramowaniem, napastnik może próbować odczytać sekret lub przejąć kod. TOTP jest też podatne na phishing w czasie rzeczywistym. Oszust może nakłonić użytkownika do wpisania aktualnego kodu na fałszywej stronie, a następnie wykorzystać go u prawdziwego dostawcy. Z tego powodu aplikacja zapewnia lepszą ochronę niż samo hasło lub SMS, ale nie daje takiej odporności na phishing jak FIDO2.
Kiedy wybrać klucz, a kiedy aplikację?
Dobór metody powinien zależeć przede wszystkim od wartości konta, prawdopodobieństwa ataku i tego, czy możesz bezpiecznie przechowywać urządzenie zapasowe. W typowych sytuacjach pomocne są następujące zasady:
- Wybierz klucz fizyczny – gdy chronisz główne konto pocztowe, bankowość, usługi związane z pieniędzmi lub portfele kryptowalutowe.
- Wybierz klucz fizyczny – gdy często logujesz się z różnych miejsc i chcesz ograniczyć ryzyko przejęcia danych przez fałszywą stronę.
- Wybierz aplikację mobilną – gdy potrzebujesz bezpłatnego rozwiązania, które możesz uruchomić bez kupowania dodatkowego sprzętu.
- Wybierz aplikację mobilną – gdy zabezpieczasz mniej wrażliwe usługi i korzystasz z aktualnego, dobrze chronionego telefonu.
- Połącz oba rozwiązania – gdy klucz ma chronić najważniejsze konta, a TOTP ma służyć jako metoda dla pozostałych usług lub awaryjna ścieżka dostępu.
Nie traktuj SMS-a jako równoważnego zamiennika dla tych metod. Wiadomości tekstowe mogą zostać przejęte między innymi przez ataki na numer telefonu. Niezależnie od wybranego rozwiązania przygotuj odzyskiwanie konta. W przypadku klucza oznacza to zwykle drugi egzemplarz przechowywany w innym miejscu, a przy aplikacji – bezpiecznie zapisane kody zapasowe lub oficjalny mechanizm migracji.
Jeśli obecnie nie używasz żadnego drugiego składnika, włączenie aplikacji TOTP będzie wyraźnym krokiem naprzód. Gdy konto ma dużą wartość albo zawiera dane pozwalające przejąć inne usługi, lepiej sięgnąć po klucz FIDO2. W praktyce model warstwowy daje najwięcej korzyści: sprzęt chroni najważniejsze punkty dostępu, a aplikacja zapewnia wygodę tam, gdzie ryzyko jest mniejsze.
