07/05/2014

Dvostepena autentifikacija: Da li ste pravilno zaštitili Fejsbuk profil?

Kompjuteraš blog Zaštita Critical, Društvene Mreže, Zaštita, Fejsbuk 9 komentara

Malo, malo, pa vidim da je nekome uhakovan profil na Fejsbuku. Poslednji u nizu koji sam video jeste hakovanje profila „Udruženja Građana Sveti Sava“ koje se bori protiv narkodilera, što opet pokreće pitanje zaštite profila na društvenim mrežama.

Ovog puta vam neću drobiti o jakim lozinkama, logovanju kroz nezaštićene mreže, fišing imejlove, pravljenju bekapa Fejsbuk profila, krađi kukija (eng. cookies) i slično, već o zaštitnoj meri velikih društvenih mreža i servisa koju mali broj ljudi u Srbiji a i šire koristi a koja je odlična. Ime joj je Dvostepena Autentifikacija a poznata je i kao 2FA (2 Factor Authentication).

Ovo je autentifikacija, kojom se sem vašeg korisničkog imena (ili imejl adrese) i lozinke, koristi još jedan faktor – vaš mobilni telefon ili neki drugi servis, što znači da onaj koji bi vam haknuo profil mora da ima i pristup vašem mobilnom telefonu ili tom nekom drugom servisu ili uređaju.

Dakle, prvi stepen autentifikacije je korisničko ime i lozinka, drugi stepen autentifikacije je kod (eng. code) poslat na vaš mobilni telefon ili neki drugi uređaj. Vi ćete, aktivacijom dvostepene autentifikacije, sem korisničkog imena i lozinke biti pitani i za kod koji će vam biti poslat na telefon.

Ova autentifikacija se još zove i MultiFactor Authentication (multifaktor autentifikacija) ili u Fejsbuk rečniku Login Approvals (odobravanje logovanja).

U slučaju da vam je neko provalio korisničko ime (eng. username) i lozinku (eng. password), a nije ukucao i kod poslat na telefon, vi ćete biti o tome obavešteni, ili putem imejla ili direktno na recimo Fejsbuku, te ćete imati vremena da promenite vašu lozinku bez bojazni da vam je neko uleteo, recimo na Fejsbuk stranicu vaše firme i obrisao sve sa nje.

Šta dobijate:

• Odličan, skoro pa neprobojan nivo zaštite naloga. Kažem „skoro“ jer je moguće i presresti SMS poruke ali računajte da taj ko može da vam presretne poruke može šta želi pa vam je bilo kakav vid zaštite džaba.

Šta gubite:

• Trebaće vam više vremena za logovanje unosom dodatnog koda koji će vam biti poslat (obično se ne čeka na kod duže od 30-tak sekundi). Ukoliko se logujete sa vašeg računara ovo će vam se tražiti samo prvi put i važiće dok ne obrišete takozvane kukije.
• Malo veće peripetije ako izgubite mobilni telefon, sve ostalo vam je uhakovano a niste odštampali bekap kodove

Neki od velikih servisa kod kojih je dvostepena autentifikacija omogućena su: Google (Gmail, Google+…), Fejsbuk, Outlook.com, Tviter, Dropbox, Evernote, WordPress.com, Majkrosoft, LastPass, PayPal, Linkedin, Bit.Ly ali ću vam ja ovom prilikom pojasniti kako da ovo omogućite na trenutno najkorišćenijoj društvenoj mreži te da izbegnete mogućnost hakovanja vašeg Fejsbuk naloga ili Fejsbuk stranice vas ili vaše firme.

Pod „Šta dobijate“ napisao sam „skoro neprobojan“ jer uvek postoji ono „ali“, recimo, može neko da vam uhakuje i mobilni telefon, da dobije pristup vašim SMS porukama pa da ukuca kod pre vas a može, ako ima tehničkoh mogućnosti za to – da presretne samu SMS poruku. Kao što sam ranije rekao, sve što je softversko može biti probušeno.

Takođe, SMS-ovi koje dobijate se ne naplaćuju u Srbiji, ali ipak proverite to za svaki slučaj sa vašim mobilnim operaterom, da ne bude posle „On je kriv“.

Dvostepena autentifikacija na Fejsbuk nalogu

Ulogujte se na Fejsbuk i kliknite na katanac u gornjem desnom uglu, pa kliknite na „See More Settings“

Kliknite na Security, pa kliknite na Edit u sekciji Login Approvals

Začekirajte polje koje vam se nudi

Kliknite Get Started

Kliknite Continue

U sledećem prozoru izaberite pozivni broj za državu u kojoj vam je mobilni operater, a u formi ispod unesite broj vašeg mobilnog telefona, ali bez nule, ikakvih crtica i slično (npr ako vam je mobilni telefon 064/999999-999 vi unesite 64999999999), pa kliknite na Continue.
U roku od 5 minuta (obično stigne za maks 30 sekundi) treba da vam stigne SMS sa kodom, ili ako imate instaliranu Fejsbuk aplikaciju na mobilnom telefonu, ima da vam aplikacija izgeneriše kod.

Kad vam je stigao kod putem SMS-a (ili putem Fejsbuk aplikacije na mobilnom telefonu) uneite ga i kliknite Confirm

Začekirajte ponuđeno polje i kliknite Close. Time je podešavanje dvostepene autentifikacije završeno.
Izlogujte se sa Fejsbuka.

Prilikom logovanja u Fejsbuk, sem prvog stepena (username/password) tražiće vam se i kod koji će biti poslat putem SMS-a (ili Fejsbuk aplikacije). Unesite taj kod u polje i klinite na Continue. Ako kojim slučajem niste kod dobili, kliknite na Having Trouble, pa izaberite da vam posalje SMS ponovo. (u ovom slučaju, kod koji mi je stigao na telefon je 194086)

Ako se logujete na Fejsbuk sa kućnog računara ili nekog drugog računara koji je pod vašom kontrolom, kliknite u Save Browser pa Continue. Na taj način, više vam se neće tražiti taj dodatni kod na tom računaru, sve dok ne obrišete kukije (eng. cookies) brauzera.
Ako se kojim slučajem logujete sa nekog Javnog mesta, internet kafea ili slično, izaberite Don’t Save. Na taj način, kad se budete izlogovali, ako je neko i video/haknuo vaš username/password, neće moći da ga upotrebi dok god nema pristup vašem telefonu.

Kad ste se ulogovali putem korisničkog imena, lozinke i SMS koda, trebalo bi da odštampate ili zapišete takozvane bekap kodove. To su kodovi koji će vam zatrebati ako se desi da izgubite ili vam neko ukrade mobilni telefon. Tim kodovima ćete se uvek moci logovati, s tim, što jedan kod može biti iskorišćen samo jednom, posle korišćenja postaje nevažeći. Ako ste iskoristili kod, morate ili ugasiti dvostepenu autentifikaciju ili dodati nov broj mobilnog telefona.

Ti bekap kodovi izgledaju ovako. Preporuka je da ih odštampate ili zapišete na papirče i držite negde u kući. Ne morate svih 10 kodova prepisati, dovoljno je makar 3…to je dovoljno da u slučaju da izgubite telefon možete da se ulogujete i da promenite broj telefona u Fejsbuk nalogu ili da ugasite (bar privremeno) dvostepenu autentifikaciju.

Ponekad se ovo „zabode“ pa Fejsbuk uporno traži generisanje kodova putem Fejsbuk aplikacije, a vi recimo istu nemate na telefonu ili nemate smartfon (Nokia 3310 – keva). Naravno ako vam ne stigne kod uvek možete kliknuti na „Having Trouble“ (napisao sam gore u kom prozoru) pa klikuti da vam pošalje kod isključivo putem SMS-a.
Ako želite da vam se kodovi i ubuduće šalju isključivo SMS-om a ne preko generatora na Fejsbuk aplikaciji na vašem mobilnom telefonu to možete da iskonfigurišete tako što ćete u sekciji Login Approvals da kliknete Remove pored „Use Code Generator“

Taj generator kodova na Fejsbuk aplikaciji je postavljen od strane Fejsbuka kako bi ste mogli isti da ukucate ako vam je recimo mreža vašeg mobilnog operatera pala i nema signala a imate Wi-Fi signal….tako da ne morate da čekate da se „opravi“ operater da bi mogli da se ulogujete na Fejsbuk. Takođe, preporuka je da dvostepenu autentifikaciju aktivirate na svim vama bitnim nalozima počevši od Gmail-a, Dropboxa, Linkedina pa nadalje…