Kétlépcsős azonosítás bekapcsolása a kaszinófiókban
Ez az útmutató azoknak szól, akik egy online kaszinó vagy fogadóiroda fiókját a jelszón túl egy második ellenőrzéssel is védeni szeretnék. A kétlépcsős azonosítás (angol rövidítéssel 2FA, vagyis a belépéskor a jelszó mellé kért, egyszer használatos kód) nem minden üzemeltetőnél érhető el, és ahol igen, ott is többféle formában. Sorra vesszük, miben különbözik az SMS-ben érkező kód a hitelesítő alkalmazástól, lépésenként leírjuk a beállítást, végül azt, mi a teendő, ha a telefon elvész. A leírás általános, mert a menüpontok neve oldalanként eltér.
Mit véd a második lépés, és mit nem
A jelszó egyetlen tényező: aki ismeri, belép. A kétlépcsős azonosítás ehhez egy második tényezőt köt, jellemzően egy olyan eszközt, amely a fiók tulajdonosánál van, például a telefonját. Egy kiszivárgott vagy kitalált jelszó így önmagában kevés a belépéshez.
Kaszinófióknál ennek különös súlya van, mert a fiókban egyenleg, mentett fizetési mód és a KYC során – vagyis a személyazonosság ellenőrzésekor – feltöltött iratok másolata is megtalálható. Aki átveszi a fiókot, hozzáférhet ezekhez az adatokhoz, és megpróbálhat kifizetést kérni vagy a kifizetési adatokat módosítani.
A második lépés viszont nem pótolja a többi védelmet.
Nem véd az adathalász oldal ellen, ha a felhasználó ott valós időben megadja a jelszavát és a friss kódot is, és semmit nem árul el magáról az üzemeltetőről. A böngésző címsorában látható lakat ikon ugyanígy csak annyit jelent, hogy a kapcsolat titkosított, azt viszont nem, hogy a túloldalon engedélyes szolgáltató áll. Az engedélyt mindig a kiadó hatóság nyilvántartásában kell megnézni, Magyarországon a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) listáján, és ott az engedélyes nevét is össze kell vetni az oldal láblécében szereplő üzemeltetővel.
SMS-kód és hitelesítő alkalmazás összevetése
A legtöbb oldal két módszer közül enged választani: SMS-ben küldött kódot vagy hitelesítő alkalmazásban generált kódot. A sorok a nyilvános szabványokra és az amerikai NIST digitális azonosítási irányelveire épülnek, amelyek az SMS-t külön kockázati kategóriába sorolják.
SMS-ben érkező kód | Hitelesítő alkalmazás |
|---|---|
| Telefonszámhoz kötött, SIM-csere esetén a támadóhoz kerülhet | A kulcs a készüléken van, a telefonszámtól független |
| Térerő és működő mobilhálózat kell hozzá | Offline, repülőgép-üzemmódban is működik |
| Nincs mit telepíteni, azonnal használható | Alkalmazást kell telepíteni és QR-kódot beolvasni |
| A NIST korlátozott (restricted) módszernek tekinti | Szabványos TOTP-kód az RFC 6238 alapján |
| Telefoncserénél elég a számot átvinni | Telefoncserénél a fiókokat is át kell költöztetni |
| Hamis oldalon beírt kód továbbítható | Hamis oldalon beírt kód ugyanúgy továbbítható |
A bekapcsolás menete a gyakorlatban
A beállítás a legtöbb oldalon a fiókbeállítások biztonsági menüpontjában található, olyan néven, mint „Biztonság”, „Fiókvédelem” vagy angol felületen „Two-factor authentication”. Ha a menüben nincs ilyen pont, az ügyfélszolgálat meg tudja mondani, létezik-e a funkció az adott oldalon.
Az alkalmazásos módszer a TOTP-ra épül, vagyis az időalapú egyszeri jelszóra, amelyet az RFC 6238 szabvány ír le. A telefon és a kaszinó szervere ugyanabból a titkos kulcsból és a pontos időből számolja ki a kódot, a szabvány alapértelmezése szerint 30 másodpercenként újat. Emiatt a telefon órájának automatikusan kell szinkronizálnia, különben a két oldal más kódot számol, és a belépés elakad.
Kezdés előtt kell egy biztos hely, ahová a tartalékkódokat leírhatjuk.
Hitelesítő alkalmazás beállítása lépésenként
Az alábbi sorrend a hitelesítő alkalmazással történő beállítást írja le. SMS-es módszernél a második és harmadik lépés helyén a telefonszám megadása és egy próbakód visszaírása áll.
- 1. lépés
Nyisd meg a fiók biztonsági beállításait
Jelentkezz be a kaszinó oldalán, majd a profilmenüben keresd a Biztonság vagy Fiókvédelem pontot. Mobilalkalmazásban is elérhető lehet, de a beállítás számítógépen kényelmesebb, mert a QR-kódot a telefonnal kell beolvasnod. - 2. lépés
Telepíts egy hitelesítő alkalmazást a telefonodra
Töltsd le a hivatalos alkalmazásboltból a Google Authenticatort, a Microsoft Authenticatort vagy egy másik TOTP-alkalmazást. A kódok számítása szabványos, így a választásnál inkább az számít, kínál-e titkosított biztonsági mentést. - 3. lépés
Olvasd be a képernyőn megjelenő QR-kódot
Kapcsold be a kétlépcsős azonosítást, mire az oldal QR-kódot mutat. Az alkalmazásban add hozzá az új fiókot, és olvasd be. A kód mellett gyakran szöveges kulcs is áll: ezt senkinek ne add ki, és ne fotózd le. - 4. lépés
Erősítsd meg az első generált kóddal
Írd be az oldalon az alkalmazásban éppen látható kódot. Ha a rendszer elutasítja, nézd meg, hogy a telefon órája automatikus időre van-e állítva, mert már néhány másodperces eltérés is érvénytelenné teheti a kódot. - 5. lépés
Mentsd el a tartalékkódokat biztos helyre
Sok oldal a bekapcsoláskor egyszer használatos tartalékkódokat ad. Írd le őket papírra vagy tedd jelszókezelőbe, de ne arra a telefonra, amelyen a hitelesítő fut. Telefonvesztéskor ezekkel ügyfélszolgálat nélkül is be tudsz lépni. - 6. lépés
Jelentkezz ki, és próbáld ki a belépést
Lépj ki a fiókból, majd jelentkezz be újra jelszóval és kóddal. Ezután nézd meg, kérhet-e az oldal kódot kifizetéskor vagy adatmódosításkor is, és ha van ilyen opció, kapcsold be azt is.
Telefonvesztés, és ha nincs kétlépcsős védelem
Elveszett vagy lecserélt telefon
Ha megvannak a tartalékkódok, egy ilyen kóddal belépünk, kikapcsoljuk a régi hitelesítőt, és az új telefonon elölről beállítjuk. Tartalékkód nélkül az ügyfélszolgálathoz kell fordulni, amely a legtöbb esetben újabb azonosítást kér, például igazolványfotót vagy a regisztrált e-mail-cím megerősítését, mielőtt a második lépést törli. Ez lassabb út, de így van rendjén: ha egy csevegőablakban elég lenne kérni a kikapcsolást, a védelemnek nem volna értelme.
Tervezett telefoncserénél könnyebb a helyzet, mert a régi készülék még működik.
Ha az oldal nem kínál kétlépcsős azonosítást
Nem minden kaszinó ad ilyen lehetőséget. Ilyenkor a fiók védelme a jelszón és a regisztrált e-mail-fiókon múlik, ezért azt is kétlépcsős azonosítással érdemes védeni, hiszen a jelszó-visszaállító levél oda érkezik. Egy egyedi, máshol nem használt jelszó és egy jelszókezelő a hiányzó második lépés egy részét pótolja.
Van, amit kívülről a szerkesztőség nem tud ellenőrizni. Hogy egy üzemeltető hogyan tárolja a jelszavakat és a hitelesítési kulcsokat, azt csak az adatkezelési tájékoztató és a GDPR szerinti kötelezettségek írják körül, a tényleges gyakorlatot viszont nem látjuk.
Kapcsolódó fogalmak
Gyakori kérdések a kétlépcsős azonosításról
Kötelező bekapcsolni a kétlépcsős azonosítást?
Az oldalak többségén nem, a felhasználó dönt róla. Néhány üzemeltető bizonyos műveleteknél, például a kifizetési adatok módosításakor külön kódot kér, de ez oldalanként eltér, ezért a fiókbeállításokban kell megnézni.
Melyik a jobb: SMS-kód vagy hitelesítő alkalmazás?
A hitelesítő alkalmazás, mert a telefonszám átvétele, vagyis a SIM-csere ellen is véd, és térerő nélkül működik. Az amerikai NIST az SMS-t korlátozott módszernek tekinti, jelszó mellett mégis többet ér a semminél.
Miért nem fogadja el az oldal a kódot?
A leggyakoribb ok a telefon órájának eltérése, mert a kód a pontos időből számolódik. Az automatikus időbeállítás bekapcsolása után a következő generált kóddal érdemes újra próbálkozni.
Mi a teendő, ha a tartalékkódok is elvesztek?
Ilyenkor csak az ügyfélszolgálat tudja kikapcsolni a második lépést. Jellemzően újabb személyazonosítást kérnek, például igazolványfotót vagy a regisztrált e-mail-cím megerősítését, így ez az út lassabb a kódos belépésnél.
Használható ugyanaz az alkalmazás több kaszinóhoz?
Igen. Egy hitelesítő alkalmazásban sok fiók tárolható egymás mellett, mindegyik saját kulccsal és saját kóddal, így az egyik oldal kulcsa a többi fiókhoz nem ad hozzáférést.
Véd a kétlépcsős azonosítás az adathalász oldal ellen?
Csak részben. Ha valaki egy hamis oldalon a jelszó mellett a friss kódot is megadja, a támadó azonnal felhasználhatja. Belépés előtt ezért a címsorban a domaint kell ellenőrizni, a lakat ikon ehhez kevés.
További információk az online kaszinókról
Amit elsőként megnézünk egy oldalnál, az az, hogy kínál-e alkalmazásalapú kódot, vagy csak SMS-t. Ha mindkettő elérhető, a hitelesítő alkalmazást javasoljuk, mert a telefonszám átvétele ellen is véd. Az SMS ettől még jobb a semminél: a csak jelszóval védett fióknál erősebb.