Google a activat autentificarea în doi pași pentru toți utilizatorii?

Nu pentru toți, dar pentru foarte mulți: în februarie 2022, Google a anunțat că activase automat verificarea în doi pași pentru peste 150 de milioane de conturi și că o făcuse obligatorie pentru peste 2 milioane de creatori de pe YouTube, iar printre utilizatorii înscriși numărul conturilor compromise scăzuse cu 50% (9to5Google). Dacă verificarea în doi pași nu e încă pornită pe contul dumneavoastră, o activați singur, în câteva minute, cum arătăm mai jos.

După cum probabil știți, cea mai mare problemă de securitate rămâne folosirea parolelor slabe, a aceleiași parole în mai multe locuri sau notarea lor pe bilețele și în alte locuri de unde pot fi ușor descoperite.

O parolă puternică are cel puțin 12 caractere, iar lungimea contează mai mult decât complexitatea: o frază de acces lungă, ușor de ținut minte, e mai greu de spart decât o parolă scurtă plină de simboluri. Mai multe sfaturi găsiți în articolul cu reguli de bază pentru crearea de parole sigure.

Dacă politica organizației este prea strictă, cel mai probabil utilizatorii vor alege o parolă greu de reținut și o vor nota undeva, ceea ce deschide o breșă de securitate. Dacă politica nu cere parole lungi, acestea pot fi ghicite sau sparte ușor de atacatori.

Se pot folosi aplicații de tip manager de parole, dar nici acestea nu sunt complet sigure, cum a arătat compromiterea parolelor din peste 29.000 de companii. Totuși, un manager de parole bun, protejat de o parolă principală lungă și de autentificarea în doi pași, rămâne mult mai sigur decât parolele refolosite sau scrise pe bilețele.

O metodă eficientă, care adaugă un nivel suplimentar de protecție, este autentificarea în doi pași. Chiar dacă parola este compromisă, un atacator are nevoie și de dispozitivul configurat pentru confirmarea autentificării (codul primit prin SMS, notificarea din aplicație sau cheia de securitate).

Ce anunțase Google în mai 2021?

În mai 2021, potrivit BleepingComputer, Google anunța că intenționează să activeze în mod implicit autentificarea în doi pași pentru toate conturile configurate corect.

Primul pas era ca utilizatorilor care aveau deja autentificarea în doi pași activă să li se ceară să își confirme identitatea pe telefon ori de câte ori se conectau la un serviciu Google: primeau o notificare prin care autorizau conectarea. În toamna lui 2021, Google a început înscrierea automată a conturilor, iar în februarie 2022 a anunțat rezultatele de la începutul articolului.

Cum funcționează autentificarea în doi pași?

Autentificarea în doi pași presupune confirmarea accesului de pe un al doilea dispozitiv, după ce este introdusă parola. Contul Google acceptă mai multe metode, de la cea mai slabă la cea mai sigură:

• Codul primit prin SMS. E mai bun decât nimic, dar e cea mai slabă metodă: un atacator poate prelua numărul de telefon printr-o fraudă cu cartela SIM (SIM swap) sau poate cere codul printr-un mesaj de phishing.
• Notificarea pe telefon sau codul din aplicația Google Authenticator. Nu depind de rețeaua mobilă și sunt mai greu de interceptat.
• Cheia de securitate, pe USB sau NFC, și cheile de acces (passkeys), disponibile pentru conturile Google din 2023: înlocuiesc parola cu amprenta, recunoașterea facială sau PIN-ul telefonului și nu pot fi folosite pe un site fals, așa că rezistă la phishing.

Odată activată, autentificarea în doi pași face mult mai grea misiunea celor care vor să vă acceseze conturile: pentru compromiterea unui cont protejat, atacatorul are nevoie și de acces la dispozitivul folosit pentru confirmare.

Cum activați verificarea în doi pași în contul Google?

1. Intrați în contul Google, la Securitate, și deschideți Verificarea în doi pași (direct, de pe pagina de activare a verificării în doi pași).
2. Adăugați numărul de telefon sau aprobați notificarea de pe telefonul pe care sunteți conectat.
3. Adăugați cel puțin o metodă de rezervă: aplicația Google Authenticator, o cheie de securitate sau o cheie de acces.
4. Generați codurile de rezervă și păstrați-le într-un loc sigur, ca să nu pierdeți accesul la cont dacă pierdeți telefonul.

Ce recomandăm firmelor?

• Impuneți autentificarea în doi pași pentru toate conturile firmei. În Google Workspace și în Microsoft 365, administratorul o poate face obligatorie pentru toți utilizatorii, nu doar recomandată.
• Chei de securitate sau chei de acces pentru conturile sensibile: administratorii, contabilitatea, conducerea.
• Atenție la notificările pe care nu le-ați cerut. Atacatorii care au aflat o parolă trimit notificare după notificare, până când utilizatorul obosește și aprobă una. Nu aprobați niciodată o conectare pe care nu ați pornit-o dumneavoastră.
• Închideți conturile celor care pleacă și scoateți-le telefoanele din metodele de confirmare.
• Instruiți echipa să recunoască phishingul, pentru că atacurile caută tocmai codurile de confirmare: vedeți ce trebuie să facem pentru a nu cădea pradă atacurilor de tip phishing și cum se activează autentificarea în doi pași pentru Zoom.

Pentru laptopurile cu care se lucrează de acasă, vedeți și măsurile obligatorii de securitate pentru laptopurile de muncă folosite acasă.

RezolvIT configurează autentificarea în doi pași pentru conturile firmelor, în Google Workspace sau Microsoft 365, ca parte din Securitate IT. Dacă vreți să știți cât de bine sunt protejate conturile din firma dumneavoastră, pornim de la un Audit IT gratuit.