Dvoufaktorová autentizace (2FA) - zabezpečení

Co je dvoufaktorová autentizace (2FA)?

Dvoufaktorová autentizace (2FA) je bezpečnostní opatření, které chrání online účty tím, že kromě hesla požaduje ještě druhý, nezávislý ověřovací prvek. I kdyby se útočníkovi podařilo heslo odhalit (phishingem, uniklou databází nebo prolomením), bez druhého faktoru se do účtu nedostane. 2FA je podmnožinou širšího konceptu vícefaktorové autentizace (MFA), která může kombinovat i tři a více faktorů.

Bezpečnostní faktory se obvykle dělí do tří kategorií: něco, co znáte (heslo, PIN), něco, co máte (telefon, hardwarový klíč, platební karta) a něco, co jste (otisk prstu, obličej - biometrie). Skutečná dvoufaktorová autentizace kombinuje prvky z minimálně dvou různých kategorií - zadání hesla a PINu pořád počítá jako jeden faktor (obojí je "něco, co znáte").

Jak 2FA funguje a jaké jsou její typy?

Po zadání hesla systém požádá o druhý faktor. Nejčastější metody, seřazené od nejméně po nejvíce bezpečné:

• SMS kód: jednorázový kód zaslaný textovou zprávou. Nejdostupnější, ale i nejslabší metoda - je zranitelná vůči tzv. SIM swap útoku, kdy útočník podvodně převede vaše telefonní číslo na vlastní SIM kartu u operátora, a vůči zneužití nezabezpečené signalizační sítě SS7. Americký úřad NIST (National Institute of Standards and Technology) ve svém doporučení SP 800-63B SMS jako druhý faktor dlouhodobě nedoporučuje a řadí ji mezi "omezené" (restricted) autentizátory.
• Autentizační aplikace (TOTP): appky jako Google Authenticator, Microsoft Authenticator nebo Authy generují časově omezený jednorázový kód (obvykle platný 30 sekund) přímo v telefonu, bez nutnosti signálu operátora. Odolná vůči SIM swapu, ale stále zneužitelná přes phishing, pokud uživatel kód zadá na podvodné stránce.
• Push notifikace: appka banky nebo služby zašle do telefonu žádost o potvrzení přihlášení jedním dotykem (např. George klíč České spořitelny, mKlíč MONETA). Pohodlnější než přepisování kódu, riziko zůstává u tzv. "MFA fatigue" útoků (zahlcení uživatele žádostmi, až jednu omylem potvrdí).
• Hardwarový bezpečnostní klíč (FIDO2/U2F): fyzické USB/NFC zařízení (např. YubiKey), které se při přihlášení jen přiloží nebo zapojí. Nejvyšší odolnost proti phishingu v kategorii klasického 2FA.
• Passkeys: nejnovější a dnes doporučovaný standard, který fakticky nahrazuje heslo i druhý faktor najednou - využívá kryptografický klíčový pár uložený v zařízení/správci hesel a ověření otiskem prstu, obličejem nebo PIN zámkem telefonu. Passkeys jsou ze své podstaty odolné proti phishingu, protože klíč nelze "přepsat" na podvodnou stránku jako kód. Google, Microsoft i Apple dnes passkeys aktivně prosazují jako výchozí metodu přihlášení.

Proč je SMS kód nejslabší volbou

Kromě SIM swapu a zneužití SS7 sítě má SMS i další slabinu: kódy mohou být zachyceny škodlivým softwarem přímo v telefonu nebo přesměrovány přes napadené zprostředkovatele SMS zpráv. Pokud vám to daná služba umožňuje, SMS kód by měl sloužit jen jako záložní metoda, ne jako hlavní druhý faktor - preferujte autentizační aplikaci, push notifikaci nebo passkey.

Kde se 2FA dnes běžně používá?

Dvoufaktorová autentizace se stala standardem u naprosté většiny online služeb, včetně:

• Sociální média: Facebook, Instagram, X (dříve Twitter)
• E-mailové služby: Gmail, Outlook, Seznam.cz
• Bankovní účty: internetové a mobilní bankovnictví všech bank v ČR (George klíč, mKlíč, KB+ apod.)
• E-shopy a platební systémy: ověření platby kartou přes 3-D Secure je rovněž forma dvoufaktorové autentizace
• Cloudová úložiště: Google Drive, Dropbox, iCloud
• Datové schránky a státní portály: přihlášení přes Identitu občana běžně vyžaduje druhý faktor (např. mobilní klíč)

Jak si 2FA aktivovat?

Postup je u většiny služeb podobný:

1. Nastavení zabezpečení: přejděte do sekce zabezpečení/soukromí v nastavení účtu.
2. Volba druhého faktoru: vyberte autentizační aplikaci, push notifikaci, hardwarový klíč nebo (jako nejméně bezpečnou variantu) SMS.
3. Propojení a záložní kódy: naskenujte QR kód appkou nebo zaregistrujte klíč, a bezpečně si uložte zobrazené záložní/obnovovací kódy - bez nich se při ztrátě telefonu může stát, že se do účtu nedostanete ani vy sami.
4. Ověření: dokončete první přihlášení s novým druhým faktorem, abyste si potvrdili, že vše funguje.

Doporučuje se aktivovat dvoufaktorovou autentizaci na všech účtech, které ji nabízejí, zejména u e-mailu (slouží často jako klíč k obnově ostatních hesel), bankovnictví a sociálních sítí. Vždy si zálohujte obnovovací kódy na bezpečném místě mimo telefon (např. vytištěné nebo v šifrovaném správci hesel) - ztráta telefonu bez záložních kódů bývá jedním z nejčastějších důvodů, proč se lidé dočasně nebo trvale uzamknou ze svých vlastních účtů.

Často kladené otázky o 2FA

Je 2FA to samé jako MFA?

Ne úplně - 2FA (dvoufaktorová autentizace) je vždy přesně dva faktory. MFA (vícefaktorová autentizace) je obecnější pojem pro dva nebo více faktorů, tedy 2FA je jejím nejběžnějším případem.

Je lepší SMS kód, autentizační appka, nebo passkey?

Z bezpečnostního hlediska: passkey > hardwarový klíč > autentizační appka/push notifikace > SMS kód. SMS by měla být jen záložní volbou, pokud ji daná služba umožňuje nahradit něčím silnějším.

Co se stane, když ztratím telefon s autentizační appkou?

Pokud jste si při aktivaci uložili záložní/obnovovací kódy, použijete je k přístupu a opětovnému nastavení 2FA na novém zařízení. Bez nich je nutné kontaktovat podporu dané služby a prokázat vlastnictví účtu jinak (což může trvat i několik dní).

Může mě 2FA ochránit úplně před hacknutím účtu?

Výrazně snižuje riziko, ale není stoprocentní. Sofistikované phishingové útoky (tzv. "adversary-in-the-middle") dokážou v reálném čase přeposlat i jednorázový SMS/TOTP kód na falešnou přihlašovací stránku. Proti tomuto typu útoku jsou odolné jen hardwarové klíče a passkeys, které jsou vázané na konkrétní legitimní doménu.

Proč NIST nedoporučuje SMS jako druhý faktor?

Americký úřad pro standardy NIST ve svém doporučení SP 800-63B řadí SMS mezi tzv. "omezené" autentizátory - primárně kvůli riziku SIM swap útoků a zneužití signalizační sítě SS7, přes kterou SMS zprávy putují. Doporučuje místo toho kryptograficky vázané metody jako autentizační appky nebo hardwarové klíče.

Co jsou to passkeys a proč se o nich tolik mluví?

Passkeys jsou nejnovější standard přihlašování, který nahrazuje heslo i druhý faktor jedním krokem - kryptografickým klíčem uloženým v zařízení, odemykaným biometrií nebo PIN zámkem telefonu. Jsou ze své podstaty odolné proti phishingu, protože klíč nelze zkopírovat ani zadat na podvodné stránce. Google, Apple i Microsoft je dnes aktivně prosazují jako výchozí metodu místo hesla i klasického 2FA.

Musím mít 2FA zapnuté na všech svých účtech?

Ideálně ano, alespoň na těch nejdůležitějších - e-mail, bankovnictví, sociální sítě a cloudová úložiště, kde se často ukládají citlivá data nebo odkud lze resetovat hesla k dalším službám.