Podwójne życie
Sprawy ważne zabezpieczane są (co najmniej) podwójnie. To dlatego większość drzwi do naszych mieszkań posiada (co najmniej) dwa zamki otwierane dwoma różnymi kluczami; to dlatego istotne wskaźniki w samolotowym kokpicie pobierają dane z (co najmniej) dwóch niezależnych źródeł. W końcu to dlatego wozimy ze sobą jeszcze jedno, zapasowe koło do samochodu i udając się na ważne spotkanie wybieramy pociąg przedostatni, nie zaś ostatni. Podwójne zabezpieczenie w świecie internetu zawdzięczamy bankowcom: to oni pierwsi zamienili tokeny, zdrapki czy listy kodów na wiadomość wysyłaną sms-em czyli kanałem drugim, niezależnym i wcześniej zweryfikowanym. Rozwiązania wypracowane na potrzeby bankowych usług on-line warto obserwować, bo to tam znajduje się pierwsza linia frontu walki o bezpieczeństwo.
Żołnierzy z pierwszej linii frontu obserwują także ci, którzy są na linii drugiej – na przykład dostawcy usług hostingowych, zwłaszcza zaś – operatorzy systemów poczty elektronicznej. Wydawać by się mogło, że login i hasło mailowe szarego zjadacza sieci nie ma zbyt wielkiej wartości: sam użytkownik zresztą bardzo często uważa, iż tajemnic żadnych nie posiada, zaś hipotetyczne straty spowodowane utratą konta są jedynie iluzją. Właśnie z tego powodu popełniamy dwa kardynalne błędy przy konstruowaniu hasła: albo jest ono zbyt proste (krótkie, łatwe do złamania poprzez użycie sekwencji na przemian spółgłosek oraz samogłosek), albo do różnych systemów – a jest ich coraz więcej – używamy jednego i tego samego hasła. Hasło pozostawione kilka lat temu w niszowym konkursie może pewnego dnia okazać się bombą z opóźnionym zapłonem. Błędem jest także założenie, że nasze konto nie ma żadnej wartości – otóż ma, chociażby jako centrum rozsyłania spamu z drugiej półkuli.
Google na dwuetapową weryfikację zdecydowało się na początku 2011 roku, później podobny krok uczynili: Dropbox, WordPress, Twitter, Facebook oraz Apple. Co znamienne – najczęściej innowację wprowadzano pod naciskiem masowych ataków na przeróżnego rodzaju konta. Cztery lata po rozpoczęciu opisywanego procesu trudno znaleźć poważnego dostawcę usług sieciowych, który nie korzysta z podwójnego zabezpieczenia, często wspierając je dedykowaną aplikacją na urządzenia przenośne. W tak zwanym międzyczasie udało się usługę udoskonalić i uczynić bardziej przyjazną: na przykład wypracowano procedury haseł zastępczych na wypadek zgubienia smartfona. Nie da się jednakowoż zaprzeczyć teorii, iż całe to zamieszanie z podwójnym uwierzytelnianiem jest niewygodne, proste zaś logowanie za sprawą oczekiwania na sms od Google może zamienić się w przeżycie z gatunku traumatycznych.
Ludzkość traumę podwójnego logowania przeżyła już wielokrotnie. Ostatni bodaj taki przypadek mieliśmy we własnych samochodach, gdy – jeszcze wcale nie tak dawno temu – posiadanie kluczyka do stacyjki wcale nie oznaczało możliwości odpalenia pojazdu. Były jeszcze blokady numer dwa: albo ukryte włączniki odcinające prąd z akumulatora, albo fizyczne zapinki na drążek zmiany biegów, albo – o zgrozo – stalowe laski, które ustawiały kierownicę w jednej jedynej możliwej pozycji. Akcesoria owe zniknęły już z naszych aut (posiłkują się nimi jedynie kierowcy określani mianem ortodoksów), co nie znaczy, że dwustopniowa weryfikacja zniknęła. Wręcz odwrotnie – właśnie teraz podwójne zabezpieczenie święci tryumfy, bo trudno znaleźć pojazd, w którym kluczyk zapłonu nie ma dodatkowego, elektronicznego modułu blokującego nieuprawnione użycie. Mechanika (układ wypustek działających na zapadki zamka) to jedno, sygnał elektroniczny – to drugie. Różnica polega jednak na tym, że rozwiązanie takie jest bez porównania wygodniejsze, niż zapinanie jakichś łańcuchów na to czy owo. Użytkownik zwolniony jest z obowiązku dbania o drugie zabezpieczenie – załatwiła to za niego nowa technologia. Niestety – w dziedzinie logowania do poczty czy też społecznościowych serwisów jesteśmy (póki co) skazani na stalowe klamry w postaci apek i sms-ów. No ale co zrobić, nie ma wyjścia: zapinamy i jedziemy.
