Logowanie, 2FA i odcisk palca

W BOSZCE hasło nie jest zwykłą przepustką do konta. To ono odblokowuje klucz, którym zaszyfrowane są Twoje dane – dlatego ochrona logowania jest tu zbudowana warstwowo. Każda warstwa odpowiada na inne zagrożenie: zgadywanie hasła, wyciek hasła z innego serwisu, kradzież telefonu, otwartą sesję na cudzym komputerze. Poniżej opisujemy je po kolei – także te, które są opcjonalne i które warto włączyć samemu (logowanie dwuskładnikowe do nich nie należy – jest obowiązkowe).

Login, którego nikt nie zgadnie

Do BOSZKI nie logujesz się adresem e-mail. Login jest generowany losowo przy rejestracji i nie ma nic wspólnego z Twoim imieniem ani adresem. Ktoś, kto zna Twój adres e-mail, nie zna więc nawet połowy danych potrzebnych do logowania.

Aplikacja nie zdradza też, czy dane konto istnieje. Zły login i złe hasło dają ten sam komunikat „Nieprawidłowy login lub hasło.”, a przy nieistniejącym loginie serwer i tak wykonuje obliczenia skrótu hasła, żeby czas odpowiedzi niczego nie podpowiadał. Tak samo zachowują się formularze rejestracji, przypomnienia loginu i zmiany adresu e-mail.

Hasło: długie, sprawdzone, dobrze przechowane

• Polityka hasła – od 12 do 256 znaków, w tym co najmniej 5 różnych; najlepiej długa fraza albo hasło z menedżera haseł.
• Generator – przycisk „Zaproponuj losowe hasło” tworzy długie, losowe hasło w Twojej przeglądarce i pokazuje je, żebyś mógł je zapisać.
• Sprawdzenie w wyciekach – każde nowe hasło (przy zakładaniu konta, zmianie hasła i odzyskiwaniu konta) jest zawsze porównywane z publiczną bazą Have I Been Pwned. To samo sprawdzenie odbywa się przy każdym logowaniu hasłem – gdy Twoje hasło pojawi się w nowym wycieku z innego serwisu, zalogujesz się normalnie, a aplikacja poprosi o jego zmianę.
• Przechowywanie – serwer zapisuje wyłącznie skrót hasła (PBKDF2 z HMAC-SHA512, 600 000 powtórzeń, sól dla każdego użytkownika), z którego hasła nie da się odtworzyć.

Sprawdzanie w wyciekach korzysta z modelu k-anonimowości. Serwer liczy skrót hasła i wysyła do bazy tylko jego pierwsze 5 znaków. Wraca lista setek pasujących końcówek, a ostateczne porównanie odbywa się u nas. Baza nie dowiaduje się, jakie hasło było sprawdzane. Samo hasło nigdzie nie jest wysyłane, a do bazy nie trafia też login. Hasła, które znajduje się w wycieku, nie da się ustawić – zobaczysz komunikat z liczbą wystąpień i podpowiedź, żeby wpisać inne albo użyć generatora.

Kod odzyskiwania zamiast resetu e-mailem

Skoro hasło chroni klucz Twoich danych, nie da się go po prostu „zresetować linkiem”. Zamiast tego po założeniu konta dostajesz kod odzyskiwania – 32 znaki pokazane tylko raz. Aplikacja nie pozwoli przejść dalej, dopóki nie potwierdzisz, że go zapisałeś. Przy logowaniu dwuskładnikowym sam kod odzyskiwania nie wystarczy – potrzebny jest też kod z aplikacji albo kod zapasowy, więc znaleziona kartka z kodem nie wystarczy do przejęcia konta. Więcej o tym, dlaczego tak jest, piszemy w artykule o szyfrowaniu danych.

Logowanie dwuskładnikowe i kody zapasowe

Drugi składnik to 6-cyfrowy kod z aplikacji uwierzytelniającej na telefonie (np. Google Authenticator, Microsoft Authenticator, Aegis, 2FAS), zmieniający się co 30 sekund. Ktoś, kto pozna Twoje hasło, bez telefonu się nie zaloguje. Logowanie dwuskładnikowe jest obowiązkowe: nowe konto konfiguruje je zaraz po pierwszym logowaniu, a dopóki tego nie zrobi, aplikacja pokazuje tylko uproszczony ekran włączania – bez menu, bez płatności do potwierdzenia i bez żadnych danych majątkowych.

Samo hasło nie wystarczy też do włączenia logowania dwuskładnikowego. Po zeskanowaniu kodu QR i wpisaniu pierwszego kodu z aplikacji na adres e-mail konta przychodzi jednorazowy kod – 2FA włącza się dopiero po jego wpisaniu. Ktoś, kto zdobył tylko Twoje hasło, nie podłączy więc własnej aplikacji i nie odetnie Cię od konta. Po włączeniu dostajesz e-mail z odnośnikiem „To nie ja – cofnij włączenie 2FA”, który przez kilka dni pozwala jednym kliknięciem wyłączyć obce 2FA i wylogować wszystkie sesje. Jeśli ktoś miał dostęp i do hasła, i do poczty, świeżo włączone 2FA zresetujesz kodem odzyskiwania – z dobą zwłoki i e-mailem, w którym prośbę o reset można anulować.

Po włączeniu dostajesz 10 jednorazowych kodów zapasowych na wypadek, gdy nie masz przy sobie telefonu. O każdym ich użyciu powiadamiamy e-mailem, a gdy zostaną najwyżej 3, aplikacja ostrzega. Sekret, z którego liczone są kody, jest zaszyfrowany kluczem Twoich danych, a kody zapasowe przechowujemy tylko jako skróty.

Na własnym komputerze możesz zaznaczyć „Nie wymagaj dodatkowej autoryzacji na tym urządzeniu”. Przez 7 dni w tej przeglądarce wystarczy wtedy login i hasło. Hasło jest potrzebne zawsze. Zaufanie wygasa wcześniej po zmianie hasła, „Wyloguj wszędzie” albo odwołaniu urządzenia, a aplikacja wyraźnie ostrzega, żeby nie zaznaczać tej opcji na sprzęcie współdzielonym.

Odcisk palca na telefonie

W aplikacji zainstalowanej na telefonie możesz zamiast hasła odblokowywać BOSZKĘ odciskiem palca lub twarzą. Służy do tego klucz dostępu (passkey) zapisany w menedżerze haseł telefonu – Menedżerze haseł Google albo Pęku kluczy iCloud.

Ważny jest szczegół techniczny. Przy włączaniu klucz dostępu (rozszerzenie WebAuthn PRF) zabezpiecza osobną kopertę z kluczem Twoich danych, przeznaczoną tylko dla tego urządzenia. Ciasteczko w telefonie nie zawiera klucza ani niczego, z czego dałoby się go odtworzyć. Dopóki nie potwierdzisz odcisku palca, serwer fizycznie nie może odczytać Twoich danych – blokada wynika z kryptografii, a nie tylko z wyglądu ekranu. Zapamiętanie wygasa samo po pewnym czasie, po zmianie hasła i po kilku nieudanych odblokowaniach z rzędu. Jedna uwaga: telefon może zamiast odcisku przyjąć PIN ekranu blokady, więc ktoś, kto zna ten PIN, odblokuje też aplikację.

Sesje, nowe urządzenia i „To nie ja”

Jak w bankowości internetowej, aplikacja pozostawiona bez ruchu najpierw pokazuje pasek z odliczaniem, a po kilku minutach sama Cię wyloguje – otwarty ekran na wspólnym komputerze czy telefonie nie zostaje dostępny dla innych. Niezależnie od tego sesja na serwerze wygasa po 30 minutach bezczynności i najpóźniej po 12 godzinach. Na ekranie „Bezpieczeństwo konta” widzisz tabelę aktywnych sesji – urządzenie, adres IP, czas logowania i ostatniej aktywności – i możesz zakończyć każdą z nich osobno albo wszystkie naraz przyciskiem Wyloguj wszędzie. Wylogowanie usuwa klucz danych tej sesji z pamięci serwera od razu.

Gdy zalogujesz się z przeglądarki, której wcześniej nie używałeś, dostaniesz e-mail z czasem, adresem IP i opisem urządzenia. Wiadomość zawiera link „To nie ja – wyloguj wszędzie”, który działa bez logowania, jeden raz, przez 7 dni. Samo otwarcie linku niczego nie zmienia (programy pocztowe często same sprawdzają odnośniki). Dopiero przycisk na stronie kończy wszystkie sesje i usuwa zapamiętane urządzenia. Link nie daje dostępu do konta – może je tylko wylogować.

Blokady i limity przeciw zgadywaniu

Po kilku nieudanych próbach – błędnym haśle albo błędnym kodzie 2FA – kolejne próby z tego samego miejsca są czasowo wstrzymywane, a Ty dostajesz e-mail. Kolejne wstrzymania z rzędu trwają coraz dłużej. Ktoś, kto zna tylko Twój login, nie zablokuje Ci więc dostępu z Twoich urządzeń, a przed zgadywaniem z wielu miejsc naraz chroni osobna blokada całego konta. Kody 2FA i błędne hasła przy operacjach chronionych (zmiana adresu e-mail, nowy kod odzyskiwania, usuwanie konta) mają własne liczniki – nawet ktoś, kto zna Twoje hasło, nie może bez końca zgadywać kodu z aplikacji.

Niezależnie od blokady konta działają limity żądań – na logowanie, na formularze wysyłające e-maile i na liczbę zmian danych w krótkim czasie. Zautomatyzowane zgadywanie haseł czy zalewanie aplikacji żądaniami szybko trafia na ścianę.

Także po zalogowaniu aplikacja zauważa podejrzane serie – na przykład próby otwierania kolejnych cudzych wpisów albo formularze ze sfałszowanym zabezpieczeniem. Taka seria kończy sesję i czasowo wstrzymuje dostęp, a w dzienniku aktywności i w e-mailu pojawia się jedna informacja o całym zdarzeniu.