Ako fungujú overovacie kódy a prečo chodia e-mailom
Šesť číslic, ktoré vypršia o desať minút. Vyzerá to ako formalita, ale overovací kód rieši konkrétny problém — a nie ten, ktorý si väčšina ľudí myslí.
Čo kód dokazuje
Jedinú vec: že ten, kto vypĺňa formulár, má v tejto chvíli prístup k danej schránke. Nedokazuje, kto si, ani že adresa je „tvoja" v právnom zmysle. Službe slúži na to, aby predišla dvom konkrétnym problémom: registráciám s vymyslenými adresami a registráciám cudzou adresou.
Prečo e-mailom a nie inak
Lebo adresu služba už má — práve si jej ju dal — a odoslanie nič nestojí. SMS stojí peniaze za každú správu, takže sa používa tam, kde to riziko odôvodňuje: platby, banky, služby s povinnou identifikáciou.
Kód alebo odkaz: aký je rozdiel
Sú to dve podoby toho istého. Odkaz obsahuje jedinečný identifikátor a potvrdzuje jedným kliknutím; kód prepíšeš ručne. Odkaz je pohodlnejší, ale správa sa zle, keď e-mail otvoríš na inom zariadení, než na ktorom registruješ — preto mnohé služby posielajú oboje.
Ako dlho platia
Zvyčajne 5 až 30 minút. Krátka platnosť zmenšuje okno pre toho, kto by správu zachytil. Mnohé služby navyše zneplatnia predchádzajúce kódy, keď vygeneruješ nový: ak si vypýtaš tri, funguje len posledný — klasická príčina „ten kód nefunguje".
Nie je to dvojfaktorové overenie
Overovací kód pri registrácii potvrdí adresu jediný raz. Dvojfaktorové overenie chráni každé prihlásenie a stojí na niečom, čo vlastníš (aplikácia, fyzický kľúč), popri hesle. Zamieňanie týchto dvoch vecí vedie k preceňovaniu ochrany vlastnej schránky.
V dočasnej schránke
Funguje to presne ako v bežnej schránke: správa príde, kód prečítaš. U nás kód rozpoznávame automaticky a zobrazíme ho s tlačidlom na skopírovanie, takže ho nemusíš hľadať v texte. Ak si tu preto, že kód nechodí, príčiny sú v nechodí overovací kód.
Jedno bezpečnostné pravidlo
Žiadna seriózna služba ťa nikdy nepožiada, aby si kód niekomu oznámil — ani telefonicky, ani v chate, ani e-mailom. Ak niekto pýta prijatý kód, je to pokus prevziať tvoj účet. Vždy, bez výnimky.
Časté otázky
Prečo majú kódy väčšinou šesť číslic?
Je to kompromis. Kratší kód by sa dal uhádnuť skúšaním, dlhší by sa zle prepisoval z telefónu. Bezpečné to robí až kombinácia s krátkou platnosťou a obmedzeným počtom pokusov.
Dá sa ten istý kód použiť dvakrát?
Nie, kód sa po použití znehodnotí. Keď potrebuješ ďalšiu operáciu, služba vygeneruje nový a starý prestane platiť aj v prípade, že mu formálne ešte neuplynul čas.
Čo znamená kód, o ktorý som nežiadal?
Niekto zadal tvoju adresu — buď omylom, alebo skúša, či sa cez ňu dostane do účtu. Kód nikam neprepisuj, na nič v tej správe neklikaj a ak sa opakuje, zmeň heslo k dotknutej službe.
Čo je OTP kód?
OTP je skratka anglického one-time password, teda jednorazové heslo. Je to ten štyri- až osemmiestny kód, ktorý ti príde e-mailom, esemeskou alebo sa vygeneruje v aplikácii, a platí spravidla niekoľko minút a len na jedno použitie. Po zadaní alebo po vypršaní je bezcenný, takže sa na rozdiel od hesla nedá znovu zneužiť.
Aký je rozdiel medzi OTP kódom a heslom?
Heslo si volíš ty a platí, kým ho nezmeníš — kto ho získa, dostane sa do účtu kedykoľvek. OTP kód vygeneruje služba, doručí ho iným kanálom než heslo a o pár minút vyprší. Práve preto sa oboje kombinuje: útočník by musel mať naraz tvoje heslo aj prístup do schránky či telefónu.