Τι είναι το 2FA;

Σκέψου ότι κάποιος αντέγραψε το κλειδί της εξώπορτάς σου, αλλά για να μπει χρειάζεται και μια κάρτα που έχεις στην τσέπη σου. Κάπως έτσι λειτουργεί το 2FA, από το αγγλικό two-factor authentication: ο κωδικός πρόσβασης δεν αρκεί μόνος του για να ανοίξει την πόρτα.

Οι παράγοντες χωρίζονται σε τρεις βασικές κατηγορίες: κάτι που ξέρεις, όπως ένας κωδικός πρόσβασης, κάτι που έχεις, όπως ένα κλειδί ασφαλείας, και κάτι που είσαι, όπως το δακτυλικό σου αποτύπωμα. Για πραγματικό 2FA χρειάζονται δύο διαφορετικές κατηγορίες. Δύο κωδικοί που έχεις απομνημονεύσει δεν κάνουν την ίδια δουλειά.

Στην πράξη, ένα ανταλλακτήριο μπορεί να σου ζητήσει πρώτα τον κωδικό πρόσβασης και μετά έναν προσωρινό κωδικό από εφαρμογή επαλήθευσης στο κινητό. Η εφαρμογή δημιουργεί κωδικούς που αλλάζουν περιοδικά και συνήθως λειτουργεί χωρίς σύνδεση στο διαδίκτυο. Άλλες επιλογές είναι τα SMS ή ένα φυσικό κλειδί ασφαλείας, ανάλογα με όσα υποστηρίζει η υπηρεσία.

Γιατί έχει σημασία

Αν διαρρεύσει ο κωδικός σου, το 2FA προσθέτει ένα εμπόδιο στην πρόσβαση στον λογαριασμό. Στα ανταλλακτήρια μπορεί να ζητείται και για αναλήψεις ή αλλαγές ρυθμίσεων ασφαλείας. Εμείς το θεωρούμε βασικό μέτρο προστασίας, όχι εγγύηση ότι ένας λογαριασμός δεν παραβιάζεται.

Υπάρχει όμως μια κρίσιμη διαφορά: το 2FA δεν προστατεύει αυτόματα τα ιδιωτικά κλειδιά ενός πορτοφολιού. Αν κάποιος αποκτήσει τη φράση ανάκτησης (seed phrase), μπορεί συνήθως να ανακτήσει το πορτοφόλι αλλού, παρακάμπτοντας το κλείδωμα της δικής σου εφαρμογής.

Τι να προσέξεις

Δεν προσφέρουν όλες οι μέθοδοι την ίδια προστασία. Τα SMS είναι ευάλωτα σε απάτες μεταφοράς του αριθμού σου σε άλλη SIM (SIM swapping). Οι κωδικοί εφαρμογών μπορούν επίσης να υποκλαπούν μέσω ψεύτικων σελίδων σύνδεσης. Τα συμβατά κλειδιά ασφαλείας FIDO2 προσφέρουν ισχυρότερη αντίσταση σε τέτοιες επιθέσεις ηλεκτρονικού ψαρέματος (phishing).

Κράτησε τους εφεδρικούς κωδικούς ανάκτησης σε ασφαλές μέρος, χωριστά από τη συσκευή σου. Πριν αλλάξεις κινητό, έλεγξε τη διαδικασία μεταφοράς της εφαρμογής επαλήθευσης. Μην κοινοποιείς προσωρινούς κωδικούς σε όποιον εμφανίζεται ως «υποστήριξη» και μην εγκρίνεις αιτήματα σύνδεσης που δεν ξεκίνησες εσύ.