Kétlépcsős azonosítás
A kétlépcsős azonosítás olyan bejelentkezési eljárás, amelyben a jelszó mellé egy második, attól független elemet is meg kell adni, jellemzően egy egyszer használható kódot vagy egy jóváhagyást a telefonon. Kaszinó- és fogadási fiókoknál ez azt jelenti, hogy egy kiszivárgott jelszó önmagában nem elég a belépéshez. A második elem lehet SMS-ben érkező kód, hitelesítő alkalmazás által generált szám vagy fizikai biztonsági kulcs. Hogy egy üzemeltető melyiket kínálja, és kötelezővé teszi-e, oldalanként eltér.
Mi számít második lépésnek a belépésnél
A szakirodalom a hitelesítési elemeket három csoportba sorolja: amit a felhasználó tud (jelszó, PIN), amit birtokol (telefon, kulcs), és ami a biológiai tulajdonsága (ujjlenyomat, arc). A Magyar Nemzeti Bank fizetési rendszerről szóló jelentése is ezt a felosztást használja, és az erős ügyfél-hitelesítéshez legalább két különböző kategóriából kér elemet.
A pontos szóhasználat itt számít.
Két jelszó egymás után két lépés ugyan, de mindkettő ugyanabba a kategóriába tartozik, így szigorúan véve nem kétfaktoros védelem. A gyakorlatban a magyar nyelvű oldalak a kétlépcsős és a kétfaktoros (2FA) kifejezést felcserélhetően használják, és szinte mindig jelszó plusz telefonon kapott kód kombinációt értenek alatta. A hitelesítő alkalmazások a TOTP szabványt követik, vagyis időalapú egyszeri jelszót állítanak elő: az RFC 6238 alapértelmezésként 30 másodperces időablakot ajánl, a kód pedig általában hat számjegyű.
SMS-kód és hitelesítő alkalmazás összevetése
A két legelterjedtebb második elem az SMS-ben érkező kód és a hitelesítő alkalmazás. Az összevetés a TOTP szabvány leírásán és a SIM-csere támadásokról szóló nyilvános biztonsági tájékoztatókon alapul, nem egy adott üzemeltető beállításain.
SMS-kód | Hitelesítő alkalmazás |
|---|---|
| Kiszolgáltatott a SIM-csere támadásnak, mert a számhoz kötődik | A kód a telefonon készül, a telefonszám átvétele nem elég |
| Térerő és működő mobilhálózat kell hozzá | Hálózat nélkül is generál kódot, csak pontos óra kell |
| Nem kell külön alkalmazást telepíteni | Első beállításkor QR-kódot kell beolvasni |
| A kód érvényességi idejét az üzemeltető szabja meg | Alapértelmezésben 30 másodpercenként új kód |
| Egy hamis belépőoldalon a kód kicsalható | Egy hamis belépőoldalon a kód ugyanígy kicsalható |
| Új telefonnál a szám átvitelével együtt költözik | Új telefonnál a fiókokat át kell menteni vagy újra beállítani |
Hol találkozik vele a játékos
A kaszinó- és fogadási oldalakon a második lépés leggyakrabban a fiókbeállítások biztonsági menüjében kapcsolható be, és onnantól a bejelentkezéskor kér kódot. Több üzemeltető a kifizetés kérésekor, a jelszó vagy az e-mail-cím módosításakor, illetve új eszközről történő belépéskor is ismét bekéri.
Egységes szabály erre nincs.
Van oldal, ahol a funkció alapból be van kapcsolva, máshol a játékosnak kell megkeresnie, és olyan is akad, amelyik csak e-mailben küldött megerősítő linket ismer. Amit a szerkesztőség a fiókbiztonsági részben először megnéz, az az, hogy a felhasználási feltételek vagy a súgó leírja-e, melyik módszert kínálja az oldal, és mi történik a telefon elvesztésekor. Ez utóbbit kívülről nem lehet ellenőrizni: a visszaállítás menete gyakran csak az ügyfélszolgálattól derül ki, és üzemeltetőnként más dokumentumot vagy igazolást kérhetnek hozzá.
Amivel gyakran összekeverik
A leggyakoribb összemosás a KYC-vel történik, vagyis a személyazonosság ellenőrzésével, amikor az üzemeltető igazolványt és lakcímet kér. A KYC egyszer azt igazolja, ki nyitotta a fiókot, a kétlépcsős azonosítás pedig minden belépésnél azt, hogy a fiók tulajdonosa lép be.
Kártyás befizetésnél sokan a banki megerősítést is a kaszinó saját védelmének hiszik, pedig az a PSD2 irányelv szerinti erős ügyfél-hitelesítés, amelyet a kártyát kibocsátó bank kér a tranzakcióhoz. A kaszinófiók ettől még védtelen maradhat, ha ott csak jelszóval lehet belépni.
A böngésző címsorában látható lakat ikon szintén nem ugyanez: csak annyit jelez, hogy a kapcsolat titkosított, az oldal megbízhatóságáról vagy a fiók védelméről semmit nem mond.
