25Aug
Lozinke za pristup aplikaciji opasnije su od zvuka. Unatoč imenu, oni su ništa drugo nego aplikacija. Svaka je lozinka specifična za aplikaciju više slična ključu kostura koji omogućuje neograničen pristup vašem računu.
"Lozinke specifične za aplikaciju" nazivaju se tako da potiču dobre sigurnosne postupke - ne biste ih trebali ponovno upotrijebiti. Međutim, ime također može pružiti lažni osjećaj sigurnosti za mnoge ljude.
Zašto su potrebne lozinke za aplikaciju
Potvrda dvostrukog teksta - ili potvrda u dva koraka ili što god usluga zove - zahtijeva dvije stvari za prijavu na vaš račun. Prvo morate unijeti zaporku, a zatim morate unijeti kôd za jednokratnu upotrebu koju generira aplikacija pametnih telefona, poslana SMS-om ili poslana e-poštom.
Ovako se obično radi kada se prijavite na web stranicu ili kompatibilnu aplikaciju usluge. Unesete zaporku, a zatim se od vas zatraži jednokratni kôd. Unosite kôd, a vaš uređaj prima znak OAuth koji smatra da je aplikacija ili preglednik ovjerena ili nešto slično - zapravo ne pohranjuje zaporku.
Međutim, neke aplikacije nisu kompatibilne s ovom shemom u dva koraka. Na primjer, recimo da želite koristiti klijent e-pošte za stolna računala za pristup Gmailu, Outlook.com ili iCloud e-pošti. Ovi klijenti e-pošte rade tako što vas traže lozinku, a zatim pohranjuju tu lozinku i upotrebljavaju ga svaki put kada pristupaju poslužitelju. Ne postoji način unosa koda za potvrdu u dva koraka u ove starije aplikacije.
Da biste to riješili, Google, Microsoft, Apple i različiti davatelji računa koji nude potvrdu u dva koraka također nude mogućnost generiranja "zaporke za pristup aplikaciji". Zatim unesite ovu lozinku u aplikaciju - na primjer, radnu površinuklijent e-pošte izbora - i ta se aplikacija može sretno povezati s vašim računom. Problem riješen - aplikacije koje ne bi bile kompatibilne s autentifikacijom u dva koraka sada rade s njom.
Pričekajte nekoliko minuta, što se upravo dogodilo?
Većina ljudi vjerojatno će nastaviti svoj put, siguran u znanju da koriste autentičnost s dva faktora i sigurni su. Međutim, ta "zaporka za pristup aplikaciji" zapravo je nova zaporka koja omogućuje pristup cijelom računu, u potpunosti zaobilazeći autentifikaciju s dva faktora. Na taj način ove zaporke za pristup aplikaciji omogućuju starije aplikacije koje ovise o sjećanju zaporki za funkcioniranje.
Sigurnosni kodovi također omogućuju zaobići autentifikaciju s dva faktora, no mogu se koristiti samo jednom. Za razliku od pričuvnih kodova, lozinke za pristup aplikaciji mogu se koristiti zauvijek - ili dok ih ručno ne opozove.
Zašto se zovu aplikacijske lozinke
To se često nazivaju lozinke za pristup aplikaciji jer biste trebali generirati novu za svaku aplikaciju koju upotrebljavate. Zato Google i ostale usluge ne dopuštaju da u stvarnosti pogledate ove zaporke za pristup aplikaciji nakon što ih generirate. One se jednom prikazuju na web stranici, unesete ih u aplikaciju, a onda ih idealno više nećete vidjeti. Sljedeći put kada trebate koristiti takvu aplikaciju, samo generirate novu zaporku aplikacije.
Ovo pruža neke sigurnosne prednosti. Kada završite s aplikacijom, ovdje možete upotrijebiti gumb "Opoziv" za zaporku za pristup aplikaciji i ta lozinka više neće odobriti pristup vašem računu. Sve aplikacije koje koriste staru lozinku neće raditi. Zaporka aplikacije na snimci zaslona u nastavku je opozvana, stoga je to sigurno pokazati.
Lozinke specifične za aplikaciju zasigurno su veliko poboljšanje zbog toga što uopće ne koristite autentifikaciju s dva faktora. Davanje poslanih zaporki za pristup aplikaciji bolje je od davanja svake aplikacije vašu primarnu lozinku. Lakše je opozvati zaporku za određenu aplikaciju nego potpuno promijeniti glavnu lozinku.
Rizici
Ako imate pet zaporki za pristup aplikaciji, postoji pet zaporki koje se mogu koristiti za pristup vašim računima Rizici su jasni:
- Ako je lozinka ugrožena, može se koristiti za pristup vašem računu. Na primjer, recimo da imate postavljenu autentifikaciju s dva faktora na Google računu, a računalo je zaraženo zlonamjernim softverom. Dva faktora za provjeru autentičnosti normalno bi zaštitili vaš račun, ali zlonamjerni softver može sakupljati zaporke specifične za aplikacije pohranjene u aplikacijama kao što su Thunderbird i Pidgin. Te se zaporke tada mogu upotrijebiti za izravni pristup vašem računu.
- Netko s pristupom vašem računalu mogao bi generirati zaporku za pristup aplikaciji, a zatim ga zadržati, koristeći ga kako bi se ubacila na vaš račun bez budućih autentičnosti s dva faktora. Ako je netko gledao preko ramena dok ste generirali zaporku za pristup aplikaciji i snimili zaporku, imali bi pristup vašem računu.
- Ako pružate zaporku za pristup aplikaciji ili aplikaciji, a ta je aplikacija zlonamjerna, niste dali samo pristup aplikaciji na svoj račun - vlasnik aplikacije mogao bi proći lozinku, a drugi bi ga mogli koristiti za zlonamjernesvrhe.
Neke usluge mogu pokušati ograničiti prijavu na internet pomoću zaporke za pristup aplikaciji, ali to je više od bandeida. Na kraju, zaporke za pristup aplikaciji pružaju neograničen pristup vašem računu prema dizajnu, a ne može se mnogo toga učiniti da bi se to spriječilo.
Ne pokušavamo te previše uplašiti, ovdje. Ali stvarnost zaporki specifičnih za aplikacije jest ta da nisu specifična za aplikaciju. Oni su sigurnosni rizik, stoga trebate opozvati zaporke za pristup aplikaciji koje više ne upotrebljavate. Budite oprezni s njima i tretirati ih kao glavne lozinke na svojem računu.
