Autentificarea în doi pași, prescurtată 2FA (de la englezescul two-factor authentication), este o metodă de conectare care cere două dovezi diferite că ești tu: de obicei parola și un cod sau o confirmare de pe un dispozitiv pe care îl ai la tine. Chiar dacă cineva îți află parola, nu poate intra în cont fără a doua dovadă.
Măsura este una dintre cele mai eficiente pe care le poți lua pentru conturile tale și durează câteva minute pentru fiecare serviciu. Nu toate formele de 2FA sunt însă la fel de sigure. Mai jos vezi cum funcționează fiecare, ce atacuri oprește și unde are limite.
Ce înseamnă „factor” de autentificare
Un factor de autentificare este o categorie de dovadă a identității, iar 2FA înseamnă combinarea a două categorii diferite. Specialiștii folosesc trei categorii clasice:
- ceva ce știi: parola, PIN-ul, răspunsul la o întrebare de securitate;
- ceva ce ai: telefonul, o cheie fizică de securitate, un card;
- ceva ce ești: amprenta, fața, alte trăsături biometrice.
Două parole nu fac un 2FA, pentru că sunt din aceeași categorie: cine a furat-o pe una o poate fura, în același fel, și pe cealaltă. Puterea metodei vine tocmai din faptul că atacatorul trebuie să obțină două lucruri de natură diferită, de obicei unul la distanță și unul fizic.
Termenul mai larg este autentificarea multifactor (MFA), care include și combinații de trei factori. În viața de zi cu zi, cele două denumiri sunt folosite aproape ca sinonime.
Unde întâlnești deja 2FA în România
Dacă folosești internet banking, cunoști deja principiul. Directiva europeană privind serviciile de plată, cunoscută ca PSD2 (Directiva (UE) 2015/2366), impune băncilor autentificarea strictă a clientului pentru accesul la cont și pentru multe plăți online. De aici vin confirmările din aplicația băncii sau codurile primite la plata cu cardul pe internet. Același principiu poate proteja și e-mailul, rețelele sociale sau magazinele online, doar că acolo trebuie, de cele mai multe ori, să îl activezi tu.
Ce atacuri oprește al doilea factor
Al doilea factor oprește atacurile care se bazează doar pe parola ta, adică marea majoritate. Este important să știi și ce nu oprește, ca să nu ai o falsă siguranță.
| Atac | Oprit de 2FA? | Explicație |
|---|---|---|
| Parolă găsită într-o scurgere de date | da | atacatorul nu are al doilea factor |
| Parolă ghicită sau spartă prin forță brută | da | aceeași explicație |
| Parolă furată de pe alt site (refolosită) | da | contul rămâne închis |
| Phishing clasic, care colectează doar parola | da | parola singură nu ajunge |
| Phishing în timp real, care cere și codul | depinde de tipul de 2FA | codurile pot fi retransmise imediat, cheile fizice nu |
| Schimbarea frauduloasă a cartelei SIM | nu, dacă folosești SMS | codurile ajung la atacator |
| Dispozitiv infectat, cu sesiunea deschisă | nu | atacatorul folosește sesiunea deja autentificată |
Prima jumătate a tabelului explică de ce 2FA merită activat oriunde este disponibil. A doua jumătate explică de ce tipul de 2FA contează.
Tipurile de autentificare în doi pași
Există cinci forme principale de al doilea factor, de la cea mai comodă și mai vulnerabilă la cea mai robustă. Multe servicii permit activarea mai multora, ca alternativă una alteia.
Codul primit prin SMS
Serviciul îți trimite un cod numeric prin SMS, pe care îl introduci după parolă. Este simplu și funcționează pe orice telefon, dar are două slăbiciuni. Prima este schimbarea frauduloasă a cartelei SIM (SIM swap): un infractor convinge operatorul, cu date furate sau documente false, să îi emită un duplicat al cartelei tale și primește astfel codurile. A doua este că un cod primit prin SMS poate fi cerut de o pagină falsă și folosit imediat. Chiar și așa, SMS-ul este mult mai bun decât lipsa oricărui al doilea factor.
Aplicația care generează coduri
O aplicație de autentificare afișează un cod de șase cifre care se schimbă la fiecare 30 de secunde. Metoda se numește TOTP (Time-based One-Time Password, parolă unică bazată pe timp) și este un standard deschis. La activare, serviciul și aplicația ta își împart un secret, de obicei prin scanarea unui cod QR. Apoi ambele calculează, independent, același cod din secret și din ora exactă.
Avantajele sunt că funcționează fără semnal și fără internet, iar codurile nu trec prin rețeaua operatorului. Dezavantajul rămâne același ca la SMS în fața phishingului în timp real: un cod introdus pe o pagină falsă poate fi folosit de atacator în următoarele secunde.
Notificarea de confirmare
Unele servicii trimit pe telefon o notificare: „Încerci să te conectezi? Da / Nu”. Este cea mai comodă metodă, dar a dat naștere unui atac numit oboseala de notificări (MFA fatigue): atacatorul care știe parola declanșează zeci de cereri, până când utilizatorul apasă „Da” ca să scape de ele. Variantele mai noi îți cer să tastezi un număr afișat pe ecranul de conectare sau îți arată locația cererii, ceea ce reduce mult riscul.
Atenție: Dacă primești o cerere de confirmare sau un cod pe care nu l-ai cerut, înseamnă că cineva are deja parola ta. Nu aproba nimic și schimbă imediat parola contului respectiv.
Cheia fizică de securitate
O cheie de securitate este un mic dispozitiv, cu conector USB sau cu NFC, pe care îl atingi sau îl introduci la conectare. Funcționează pe baza standardelor FIDO2 și WebAuthn, prin criptografie cu chei publice: cheia semnează o provocare trimisă de site, iar semnătura este legată de adresa exactă a site-ului. Pe o pagină falsă, semnătura nu se potrivește, așa că phishingul nu are efect. Este metoda recomandată pentru conturile foarte valoroase. Principiul cheilor publice este explicat în Criptografia pe scurt: criptare simetrică, asimetrică și chei.
Biometria și passkey-urile
Amprenta sau recunoașterea feței pe telefon nu sunt trimise serviciului; ele deblochează doar o cheie criptografică stocată local. Așa funcționează și passkey-urile, care combină într-un singur gest „ceva ce ai” (dispozitivul) și „ceva ce ești” sau „ceva ce știi” (biometria sau PIN-ul). Ele pot înlocui complet parola, așa cum arată articolul despre passkey-uri.
Comparația pe scurt
Fiecare metodă reprezintă un compromis între comoditate și rezistență la atacuri. Tabelul de mai jos te ajută să alegi pentru fiecare cont.
| Metodă | Funcționează fără semnal | Rezistă la SIM swap | Rezistă la phishing în timp real | Comoditate |
|---|---|---|---|---|
| Cod prin SMS | nu | nu | nu | mare |
| Aplicație TOTP | da | da | nu | bună |
| Notificare de confirmare | nu (necesită internet) | da | parțial, cu potrivire de număr | foarte mare |
| Cheie fizică FIDO2 | da | da | da | bună, dacă o ai la tine |
| Passkey | da, pentru deblocarea locală | da | da | foarte mare |
O regulă practică: pentru e-mailul principal, managerul de parole și conturile de administrare folosește cheie fizică sau passkey; pentru restul, aplicația de coduri este un echilibru foarte bun; SMS-ul rămâne o soluție acceptabilă acolo unde nu există altă opțiune.
Cum activezi 2FA fără să te blochezi singur
Activarea durează câteva minute, dar trebuie făcută împreună cu pregătirea unei căi de recuperare. Cea mai frecventă problemă nu este un atac, ci un utilizator care își pierde telefonul și nu mai poate intra în propriile conturi.
- Intră în setările de securitate ale contului, de obicei la secțiunea „Securitate” sau „Conectare și securitate”.
- Alege metoda: aplicație de autentificare, cheie fizică sau passkey, iar SMS-ul doar ca ultimă variantă.
- Pentru aplicația de coduri, scanează codul QR afișat și introdu codul generat, ca să confirmi.
- Salvează codurile de rezervă oferite de serviciu: sunt coduri de unică folosință pentru situația în care nu ai acces la al doilea factor.
- Adaugă o a doua metodă (o a doua cheie fizică sau un al doilea dispozitiv), dacă serviciul permite.
- Verifică datele de recuperare: adresa de e-mail alternativă și numărul de telefon.
Sfat: Păstrează codurile de rezervă în managerul de parole și o copie pe hârtie, într-un loc sigur acasă. Dacă folosești chei fizice, cumpără două și înregistrează-le pe amândouă, apoi ține una acasă, ca rezervă.
Ce faci când schimbi telefonul
Înainte să resetezi sau să vinzi telefonul vechi, mută conturile din aplicația de coduri pe noul dispozitiv. Multe aplicații de autentificare au funcție de export sau de copie de rezervă criptată. Dacă nu, dezactivează și reactivează 2FA pe fiecare cont folosind noul telefon. Pentru o imagine generală despre cum ajung datele dintr-un dispozitiv pe altul, vezi Sincronizarea datelor între dispozitive: cum funcționează.
Limitele autentificării în doi pași
Al doilea factor protejează momentul conectării, nu tot ce se întâmplă după. Este o barieră foarte puternică, dar nu una absolută, iar câteva atacuri o ocolesc complet.
- Furtul sesiunii: după conectare, site-ul îți dă un „bilet” temporar, păstrat de browser. Un program malițios care fură acest bilet nu mai are nevoie de parolă sau de cod.
- Phishingul în timp real: o pagină falsă care transmite instantaneu parola și codul către site-ul real poate deschide contul. Doar cheile fizice și passkey-urile rezistă complet.
- Manipularea telefonică: un fals operator care îți cere „codul pe care tocmai l-ai primit” ocolește orice 2FA bazat pe coduri. Tehnicile sunt descrise în Ingineria socială: tehnicile prin care ești manipulat online.
- Recuperarea slabă a contului: dacă resetarea parolei se poate face doar cu o adresă de e-mail nesecurizată, atacatorul ocolește 2FA prin procedura de recuperare.
Toate acestea arată că 2FA funcționează cel mai bine împreună cu celelalte obiceiuri de bază: parole unice, actualizări și prudență la mesaje, prezentate pe larg în ghidul complet de securitate online. Iar primul pas, parola unică pentru fiecare cont, este explicat în Parolele puternice și managerele de parole explicate.
Ce merită reținut despre 2FA
Autentificarea în doi pași transformă o parolă furată dintr-o catastrofă într-un incident fără urmări, de aceea merită activată pe toate conturile importante. Tipul ales contează: SMS-ul este cel mai slab, aplicația de coduri este un echilibru bun, iar cheile fizice și passkey-urile sunt singurele care rezistă și phishingului.
De reținut:
- 2FA combină două categorii de dovezi: ceva ce știi, ceva ce ai sau ceva ce ești;
- începe cu e-mailul principal, managerul de parole și banca;
- preferă aplicația de coduri, cheia fizică sau passkey-ul în locul SMS-ului;
- salvează codurile de rezervă imediat după activare;
- nu dicta și nu aproba niciodată un cod sau o cerere pe care nu ai inițiat-o tu.
Întrebări frecvente
Este 2FA prin SMS mai bun decât nimic?
Da, mult mai bun. Oprește automat atacurile cu parole scurse sau ghicite; doar că rămâne vulnerabil la schimbarea frauduloasă a cartelei SIM și la phishingul în timp real.
Ce fac dacă îmi pierd telefonul cu aplicația de coduri?
Folosește codurile de rezervă salvate la activare ca să intri în conturi, apoi mută 2FA pe noul telefon. Dacă nu ai coduri de rezervă, urmează procedura de recuperare a fiecărui serviciu, care poate dura câteva zile.
Trebuie să introduc codul la fiecare conectare?
De obicei nu. Majoritatea serviciilor îți permit să marchezi un dispozitiv ca fiind de încredere, iar codul este cerut din nou doar pe dispozitive noi sau după o perioadă mai lungă.
Poate cineva să îmi ceară legitim codul primit prin SMS?
Nu. Codul este destinat doar ție, pentru acțiunea pe care ai inițiat-o; nicio bancă, firmă de curierat sau instituție nu îl cere la telefon sau pe mesaj.
Este amprenta de pe telefon trimisă site-ului la care mă conectez?
Nu. Amprenta sau fața sunt verificate local, pe dispozitiv, și doar deblochează o cheie criptografică; site-ul primește o semnătură digitală, nu datele tale biometrice.
