Klucz odzyskiwania: co zrobić, gdy zapomnisz hasła głównego
W modelu zero-knowledge nikt poza Tobą nie ma klucza do skarbca - także my. Dlatego przy rejestracji dostajesz klucz odzyskiwania. Wyjaśniamy, jak działa i gdzie go trzymać.
Blog · Bezpieczeństwo
Kody 2FA: dlaczego warto i jak je przechowywać
Weryfikacja dwuetapowa zatrzymuje większość przejęć kont. Wyjaśniamy, jak działa, którą metodę wybrać i jak nie stracić dostępu, gdy zgubisz telefon.
Spis treści
Hasło to za mało
Hasło może wyciec z cudzej bazy, zostać wyłudzone na fałszywej stronie albo odgadnięte. Weryfikacja dwuetapowa (2FA) dodaje drugi składnik - coś, co masz (telefon, klucz sprzętowy), a nie tylko coś, co wiesz. Nawet jeśli ktoś pozna Twoje hasło, bez drugiego składnika nie zaloguje się na konto.
Które metody są najlepsze
- SMS - lepszy niż nic, ale numer można przejąć (SIM swapping).
- Kod e-mail - wygodny, ale tylko tak bezpieczny jak Twoja skrzynka.
- Aplikacja uwierzytelniająca (TOTP) - kod zmienia się co 30 sekund i powstaje na urządzeniu, bez sieci. Dobry standard dla większości kont.
- Klucz sprzętowy (np. YubiKey) - fizyczne urządzenie, bardzo odporne na phishing.
Zacznij od kont, które otwierają inne: poczty, bankowości, kont Google, Apple i Microsoft oraz menedżera haseł.
Problem: telefon jednej osoby
Kody TOTP żyją zwykle w jednej aplikacji na jednym telefonie. Skutki znasz:
- telefon się psuje albo ginie - i nagle nie możesz zalogować się nigdzie,
- konto firmowe z 2FA jest przypięte do telefonu pracownika, który właśnie odszedł,
- przy każdym logowaniu szukasz telefonu i przepisujesz sześć cyfr.
Kody 2FA w menedżerze haseł
Inlockly (od planu Osobistego) przechowuje klucz 2FA przy loginie i sam generuje kod:
- kod wypełnia się po haśle - w rozszerzeniu, na telefonie i w aplikacjach,
- kod jest szyfrowany jak hasło i liczony na Twoim urządzeniu,
- wspólne konto firmowe z 2FA trzymasz w folderze firmy - z tymi samymi uprawnieniami co hasło,
- przeniesiesz kody z Google Authenticator, Aegis, 2FAS czy Ente Auth.
Rozszerzenie rozpozna też konfigurację 2FA na stronie i zaproponuje zapisanie klucza, a katalog ponad 1600 serwisów podpowie, gdzie jeszcze warto włączyć 2FA.
Wyjątek: Twoje konto Inlockly. Drugi składnik do skarbca musi być poza skarbcem - dlatego aplikacja nie przyjmie klucza 2FA własnego konta Inlockly.
Nie zgub dostępu
- Zapisz kody zapasowe każdego ważnego serwisu w bezpiecznym miejscu.
- W Inlockly masz 10 kodów zapasowych do własnego konta i ostrzeżenie, gdy zostaną tylko trzy.
- Trzymaj klucz odzyskiwania Inlockly poza skarbcem - o tym w artykule Klucz odzyskiwania: co zrobić, gdy zapomnisz hasła głównego.
Kody 2FA bez szukania telefonu. Zobacz, jak działają w Inlockly.
Zespół Inlockly
Piszemy o bezpieczeństwie haseł i danych tak, jak tworzymy aplikację: konkretnie, bez straszenia i bez żargonu.