2FA (Two-Factor Authentication)
Uwierzytelnianie dwuskładnikowe (2FA, MFA w szerszym wariancie) wymaga drugiego dowodu poza hasłem. Klasyczny podział: coś, co znasz; coś, co masz; coś, czym jesteś. Hasło plus kod z telefonu albo klucz sprzętowy to najczęstszy obraz.
Na blackweb.pl 2FA to warstwa przy logowaniu, nie absolut. Nie naprawia reuse haseł w sensie credential stuffing w serwisach bez drugiego składnika. Nie broni przed kradzieżą już wystawionego session cookie. Nie jest odporne na każdy wektor: SMS pada na SIM swapping.
Składniki w praktyce
SMS: wygodny, słaby wobec przejęcia numeru i ataków na operatora. Aplikacja TOTP (kody czasowe): lepsza, o ile sekret nie wycieknie ze stealera razem z hasłem i o ile masz backup kodów. Push w aplikacji banku: wygodny, bywa celem zmęczenia powiadomieniami. Klucz sprzętowy / WebAuthn / passkeys: phishing-resistant w sensownym wdrożeniu, bo kryptografia wiąże się z originem. Patrz Passkeys.
„Mam 2FA” bez dopowiedzenia którego rodzaju to marketingowy skrót. Threat model powinien mówić: SMS, TOTP czy klucz.
Co chroni, a czego nie
Chroni przed napastnikiem, który ma tylko hasło z wycieku albo zgadnięcie. Wymusza drugi krok w chwili auth. Nie pyta o drugi składnik przy każdym requeście sesji. Stąd stealer z cookie omija 2FA: sesja już jest po drugiej stronie drzwi. Szerszy opis: Infostealery. Logi po infekcji.
Phishing real-time (proxy) potrafi wyciągnąć hasło i kod TOTP w tej samej sesji ofiary. Klucze WebAuthn i passkeys są na to wyraźnie odporniejsze, bo nie da się ich wkleić w fałszywą domenę tak jak sześciu cyfr.
Higiena
Backup codes offline. Więcej niż jeden klucz sprzętowy, jeśli od tego zależy poczta. Rotacja po podejrzeniu kompromisu telefonu. Unikanie 2FA wyłącznie na numerze, który jest też recovery dla wszystkiego innego. W opsec dziennikarza drugi składnik na źródłowym koncie to minimum; jakość składnika jest częścią modelu.
Dla firm: wymuszenie MFA, preferencja phishing-resistant, alerty o nowych urządzeniach, szybkie unieważnianie sesji. Sam checkbox „2FA available” w settings to za mało, jeśli 2% użytkowników klika.
Recovery flows bywają słabsze niż sam drugi składnik: reset przez SMS, pomoc desk bez weryfikacji, kody zapasowe w screenshocie na chmurze. Atakujący idzie tam, gdzie tarcia jest mniej. Włączanie 2FA bez uporządkowania recovery to półśrodek, który wygląda dobrze w checklistie i gorzej w incydencie.
Czego tu nie ma
Nie ma rankingu aplikacji authenticator „na 2026” ani instrukcji omijania 2FA. Jest mapa składników i limitów, bo hasło „włącz 2FA” bez niuansów usypia.