Aplikacja autentykator jest bezpieczniejszym wyborem niż kod SMS. SMS zależy od infrastruktury operatora i może zostać przejęty między innymi podczas ataku SIM swapping. Aplikacja generuje jednorazowe kody lokalnie, zwykle także bez dostępu do internetu, dlatego lepiej chroni ważne konta.
Jak działają SMS 2FA i aplikacja autentykator?
Weryfikacja dwuetapowa, czyli 2FA, wymaga dwóch elementów logowania. Pierwszym jest zazwyczaj hasło, a drugim jednorazowy kod. Sam fakt włączenia 2FA zwiększa ochronę konta, ale poziom bezpieczeństwa zależy od wybranej metody.
W przypadku SMS serwis wysyła kod na przypisany numer telefonu. Wiadomość przechodzi przez sieć operatora i trafia do karty SIM lub urządzenia obsługującego ten numer. Użytkownik nie musi instalować dodatkowej aplikacji, lecz bezpieczeństwo zależy od ochrony numeru i infrastruktury telekomunikacyjnej.
Aplikacja autentykator korzysta najczęściej z mechanizmu TOTP, czyli Time-based One-Time Password. Podczas konfiguracji otrzymuje tajny klucz, a następnie tworzy kody na podstawie tego klucza i aktualnego czasu. Kod powstaje na urządzeniu, więc do jego wygenerowania nie jest potrzebny zasięg sieci komórkowej ani wiadomość SMS.
SMS czy aplikacja autentykator – co wypada lepiej?
Poniższa tabela pokazuje najważniejsze różnice między obiema metodami:
| Cecha | SMS 2FA | Aplikacja autentykator |
|---|---|---|
| Poziom bezpieczeństwa | Niższy, ponieważ kod zależy od sieci operatora i numeru telefonu. | Wyższy, ponieważ kod jest generowany lokalnie na urządzeniu. |
| Odporność na phishing | Niska. Przestępca może nakłonić użytkownika do przekazania kodu otrzymanego SMS-em. | Wyższa, choć sam kod nadal może zostać wyłudzony na fałszywej stronie. |
| Zależność od sieci | Wymaga zasięgu i sprawnie działającej sieci komórkowej. | Najczęściej działa offline, bez połączenia z internetem. |
| Prywatność | Konto jest powiązane z numerem telefonu. | Do generowania kodów nie jest potrzebny numer telefonu. |
| Odzyskiwanie dostępu | Może być łatwiejsze po odzyskaniu numeru, ale przejęcie numeru zwiększa ryzyko. | Wymaga zabezpieczenia kodów zapasowych lub wcześniej przygotowanej migracji. |
SMS bywa wygodniejszy przy pierwszej konfiguracji i na urządzeniach, na których nie można zainstalować aplikacji. Ta wygoda nie oznacza jednak wyższego poziomu ochrony. W przypadku bankowości, poczty elektronicznej, menedżera haseł czy konta administracyjnego lepiej użyć aplikacji autentykator, jeśli serwis ją obsługuje.
Dlaczego SMS ma słabszy profil bezpieczeństwa?
SMS nie jest z definicji bezużyteczny. Chroni lepiej niż brak drugiego składnika, ale wykorzystuje kanał, nad którym użytkownik ma ograniczoną kontrolę. Najważniejsze zagrożenia to:
- SIM swapping – oszust przekonuje operatora do przeniesienia numeru na inną kartę SIM, a następnie odbiera kody przeznaczone dla właściciela konta.
- Przechwycenie wiadomości – słabości infrastruktury telekomunikacyjnej, w tym protokołu SS7, mogą ułatwić nieuprawniony dostęp do komunikacji.
- Wyłudzenie kodu – wiadomość może wyglądać wiarygodnie, ale przestępca może poprosić o przepisanie kodu na fałszywej stronie lub podczas rozmowy telefonicznej.
- Utrata kontroli nad numerem – zmiana karty SIM, problemy u operatora albo utrata numeru mogą zablokować logowanie i utrudnić odzyskanie konta.
Aplikacja TOTP ogranicza część tych ryzyk, ponieważ nie przesyła kodu przez sieć komórkową. Nie oznacza to pełnej odporności na phishing. Jeśli użytkownik wpisze kod na stronie kontrolowanej przez oszusta, atakujący może wykorzystać go przed wygaśnięciem. Jeszcze wyższy poziom ochrony przed phishingiem zapewniają klucze sprzętowe zgodne z rozwiązaniami takimi jak FIDO2, ale nie każdy serwis je obsługuje.
Jak wdrożyć bezpieczniejsze 2FA?
Przy zmianie metody uwierzytelniania wykonaj poniższe czynności:
- Wybierz aplikację autentykator – w ustawieniach konta sprawdź, czy zamiast SMS można włączyć kody TOTP.
- Zapisz kody zapasowe – przechowuj je poza telefonem, na przykład w bezpiecznym menedżerze haseł lub innym chronionym miejscu.
- Sprawdź odzyskiwanie konta – upewnij się, że masz zapasową metodę dostępu, zanim usuniesz poprzedni sposób logowania.
- Przetestuj nową metodę – wyloguj się dopiero po potwierdzeniu, że aplikacja generuje prawidłowe kody.
- Zostaw SMS tylko jako ostateczność – korzystaj z niego tam, gdzie aplikacja autentykator nie jest dostępna.
Jeśli telefon z aplikacją zostanie zgubiony, kody zapasowe mogą umożliwić dostęp do konta. Bez nich odzyskanie dostępu zależy od procedury danego serwisu i może wymagać dodatkowej weryfikacji.
Wybór jest prosty: aplikacja autentykator powinna być pierwszą opcją dla ważnych kont, a SMS – rozwiązaniem awaryjnym. Przy mniej istotnych usługach SMS nadal zwiększa ochronę w porównaniu z samym hasłem, lecz nie zapewnia takiego poziomu bezpieczeństwa jak lokalnie generowane kody TOTP.
