Парола и двуфакторно удостоверяване

Модул 8: Сигурно и без притеснения · Време за четене: 10 минути

Учебна цел: След този урок ще можете да обясните какво е силна парола за Вашата пощенска кутия, какво трябва да направите на устройствата си след смяна на паролата, как се получава кодът от приложение за удостоверяване и от какво двуфакторното удостоверяване в webmail Ви защитава и от какво не.

Основни понятия: парола на пощенската кутия, мениджър на пароли, двуфакторно удостоверяване, TOTP, споделена тайна, QR код, код за възстановяване, разминаване на часовника, IMAP и SMTP без втора стъпка

Защо пощенската кутия е най-важният Ви акаунт

Пощенската кутия е връзката ключове на Вашия онлайн живот. Почти всяка услуга изпраща по имейл линк за възстановяване на паролата. Който има достъп до пощата Ви, може да поеме и онлайн магазина Ви, счетоводството и социалните Ви мрежи. Освен това той може да изпраща писма от Ваше име до клиенти, които Ви имат доверие. Затова откраднатата пощенска кутия често се използва за измами с фактури или за изпращане на спам. Последното създава проблеми за целия Ви домейн: други сървъри започват да отказват Вашите писма.

Две неща държат натрапника навън: добра парола и втора стъпка при влизане.

Силната парола е преди всичко дълга и уникална

Паролата на пощенската кутия принадлежи на един имейл адрес. Тя не е същата като паролата на клиентския Ви акаунт или на контролния панел на Вашия пакет (урок 1.3).

Какво прави една парола силна? Не удивителният знак след някоя дума, а дължината и случайността. Нападателите изпробват изтекли пароли и списъци с често използвани думи и шаблони. „Leto2026!“ е в такъв списък, а поредица от четири случайни думи или двадесет случайни знака не е. Също толкова важно е паролата да е уникална. Ако изтекат данните на онлайн магазин, в който сте използвали същата парола, престъпниците ще я опитат и за пощата Ви.

Практичното решение е мениджър на пароли: програма, която създава и помни дълга случайна парола за всяка услуга. Тогава Вие трябва да помните само една силна главна парола.

След смяната: обновете всички устройства

Сменяте паролата в webmail чрез Настройки > Парола или в контролния панел на Вашия пакет, ако вече не помните старата. От този момент новата парола важи навсякъде: в webmail, на телефона Ви и в пощенската Ви програма.

Точно тук често се получават проблеми. Sanne de Vries сменя в понеделник паролата на sanne@example.com. Тя веднага обновява лаптопа си, но забравя стария таблет в кухнята. Таблетът продължава на всеки няколко минути да влиза със старата парола. След определен брой неуспешни опити защитната стена (firewall) на сървъра вижда връзка, която постоянно опитва грешна парола, и блокира IP адреса. Тъй като таблетът и лаптопът у дома споделят един и същ IP адрес, Sanne изведнъж не може да достъпи пощата си и от лаптопа, а понякога и уебсайта си.

Затова след смяна веднага обновете всички устройства: телефон, таблет, пощенска програма на компютъра, както и принтер или скенер, който изпраща имейли, ако имате такъв.

Двуфакторно удостоверяване: нещо, което знаете, и нещо, което имате

При двуфакторното удостоверяване (в webmail се нарича Двуфакторно удостоверяване) при влизане са Ви нужни две неща: Вашата парола (нещо, което знаете) и код от телефона Ви (нещо, което имате). Който се сдобие с паролата Ви чрез фишинг или изтичане на данни, пак не може да влезе.

Кодът идва от приложение за удостоверяване, например приложението на Вашия мениджър на пароли или отделно приложение за такива кодове. Методът се нарича TOTP, time-based one-time password (еднократна парола, базирана на времето), и е описан в RFC 6238. Ето как работи:

1. При включване webmail създава споделена тайна: случайна поредица от знаци. Виждате я като таен ключ и като QR код.
2. Сканирате QR кода с приложението. Оттук нататък сървърът и телефонът Ви знаят една и съща тайна.
3. На всеки 30 секунди и двете страни изчисляват от тайната и текущото време шестцифрен код.
4. При влизане сървърът сравнява Вашия код със собствения си резултат.

От това следват две неща. Приложението не се нуждае от интернет: то изчислява само с тайната и часовника. И часовникът трябва да е точен. Ако телефонът Ви избързва или изостава с няколко минути, той изчислява за друг времеви интервал и кодът не е верен. Настройте часа на телефона си на автоматичен.

Трето следствие: QR кодът е самата тайна. Който има снимка или екранна снимка на него, може да създава същите кодове. Затова никога не го споделяйте и не го пазете като изображение.

На изображението виждате екрана, в който включвате двуфакторното удостоверяване, с тайния ключ, кодовете за възстановяване и QR кода.

Кодове за възстановяване и изгубен телефон

При включване получавате и четири кода за възстановяване. Всеки от тях работи веднъж, вместо код от приложението. Те са Вашият резервен ключ, ако телефонът Ви е повреден, откраднат или сменен. Пазете ги на друго място, а не в телефона: в мениджъра на пароли или на хартия в чекмедже.

Ако използвате код за възстановяване, веднага настройте отново двуфакторното удостоверяване с новия си телефон. Така ще получите и нови кодове за възстановяване. Ако нямате повече кодове за възстановяване, Вашият доставчик на поща може да изключи втората стъпка за пощенската Ви кутия, след като провери самоличността Ви.

На собствения си компютър можете при влизане да изберете webmail да не иска отново код в продължение на 30 дни. На споделен компютър никога не правете това.

От какво двуфакторното удостоверяване не Ви защитава

Това е най-важният капан и много хора не го познават. Двуфакторното удостоверяване в webmail важи само за webmail. Пощенската Ви програма и приложението за поща на телефона влизат чрез IMAP (получаване) и SMTP (изпращане), а те искат само паролата Ви. Нападател с Вашата парола може следователно чрез пощенска програма все още да чете пощата Ви и да изпраща писма от Ваше име.

Затова двуфакторното удостоверяване е допълнение, а не заместител. Паролата Ви все така трябва да е дълга и уникална. Двуфакторното удостоверяване за клиентския Ви акаунт се настройва отделно: това е друг акаунт със собствена защита.

При големи услуги като Gmail или Outlook.com нещата стоят малко по-различно: там втората стъпка често важи за целия акаунт, а пощенската програма се нуждае от отделна парола за приложение или от собствен метод за влизане. Идеята е същата: парола плюс нещо, което имате.

На практика: така работи в webmail

Паролата сменяте чрез Настройки > Парола, а двуфакторното удостоверяване включвате чрез Настройки > Двуфакторно удостоверяване. Там поставяте отметка на Активиране, оставяте webmail да попълни полетата, сканирате QR кода, проверявате един код и запазвате. Стъпките са описани в ръководството за Roundcube (10.3, 10.4 и 10.5). Други webmail програми имат подобни настройки, често под Security.

Обобщение

• Пощенската кутия е ключът към другите Ви акаунти: защитете я с дълга, уникална парола от мениджър на пароли.
• След смяна на паролата обновете всички устройства; устройство със старата парола може да доведе до блокиране на IP адреса Ви.
• TOTP създава на всеки 30 секунди код от споделена тайна и времето; часовникът на телефона Ви трябва да е точен, а QR кодът е самата тайна.
• Пазете четирите кода за възстановяване извън телефона; всеки код работи веднъж.
• Двуфакторното удостоверяване в webmail защитава само webmail, а не IMAP и SMTP в пощенската Ви програма.

Тест (quiz)

Задача

Задача A8.1: Упражнете се с приложение за удостоверяване. Щракнете върху бутона за тренировъчна тайна. Ще получите QR код на тренировъчен акаунт. Сканирайте го с приложение за удостоверяване по Ваш избор (или въведете показания ключ ръчно) и попълнете шестцифрения код, който показва приложението. Програмата изчислява със същата тренировъчна тайна и времето дали Вашият код е верен; код от предишния или следващия времеви интервал също се приема, така че малко разминаване на часовника не е проблем. Зелено: кодът е верен. Червено: кодът не е верен; тогава проверете часовника на телефона си и дали използвате правилния ред в приложението. Тренировъчната тайна не е свързана с пощенската Ви кутия, няма стойност и изчезва в рамките на 24 часа. След това изтрийте тренировъчния акаунт от приложението си.

Прочетете още

Където са описани стъпки в webmail, те се отнасят за webmail на WebOké; в други webmail програми работи по подобен начин.

• Roundcube Webmail 10.3: Включване на двуетапна проверка
• Roundcube Webmail 10.4: Вход с двуфакторна автентикация
• Roundcube Webmail 10.5: Смяна на паролата на Вашата пощенска кутия
• Промяна на паролата или лимитите на имейл адрес
• Мениджър на пароли и passkeys: как да влизате безопасно в своите акаунти
• Безплатен курс Безопасно онлайн за предприемачи 2.1: Какво всъщност е силна парола
• Безплатен курс Безопасно онлайн за предприемачи 2.3: Двуфакторно удостоверяване: кодове, приложения и sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (на английски): https://www.rfc-editor.org/rfc/rfc6238