Dvoufaktorová autentizace (2FA): srovnání metod (SMS, TOTP, hardwarové klíče)

Proč dvoufaktorová autentizace (2FA) patří mezi nejdůležitější obranné vrstvy

Dvoufaktorová autentizace (2FA) přidává k heslu druhý, nezávislý faktor, který výrazně snižuje riziko kompromitace účtu při úniku databází hesel, phishingu či útocích hrubou silou. Cílem tohoto článku je vysvětlit rozdíly mezi SMS kódy, autentizačními aplikacemi a hardwarovými klíči, porovnat jejich odolnost vůči moderním hrozbám a nabídnout praktická doporučení pro jednotlivce i organizace.

Model důvěry: tři kategorie faktorů

Něco, co víte: heslo nebo PIN.
Něco, co máte: telefon s aplikací nebo SIM kartou, hardwarový bezpečnostní klíč.
Něco, čím jste: biometrické údaje (otisk prstu, obličej) – v online prostředí se často používají k odemknutí lokálního klíče, nikoli přímo jako faktor odesílaný serveru.

2FA kombinuje minimálně dvě z těchto kategorií. Čím jsou faktory nezávislejší (zejména pokud je „něco, co máte“ implementováno mimo mobilní síť), tím vyšší je odolnost vůči útokům.

SMS kódy: dostupnost versus zranitelnosti

Princip: Služba odešle jednorázový kód prostřednictvím SMS, který uživatel přepíše do přihlašovacího formuláře.

Výhody

Nejširší podpora – funguje i bez chytrého telefonu nebo mobilních dat.
Rychlá implementace ze strany poskytovatelů.
Žádné další aplikace ani zařízení.

Rizika a limity

SIM swapping a podvody typu port-out: útočník převede vaše číslo na vlastní SIM kartu a získá SMS kódy.
SS7 a slabiny sítě: teoretická možnost odposlechu nebo přesměrování SMS v mobilní síti.
Phishing: kód lze vylákat v reálném čase („real-time phishing proxy“).
Dostupnost v roamingu / bez signálu: SMS nemusí vždy dorazit včas.

Shrnutí: SMS je lepší než žádné 2FA, ale z hlediska odolnosti vůči cíleným útokům jde o nejslabší variantu.

Autentizační aplikace: TOTP a push notifikace

Princip TOTP: Aplikace (např. Aegis, FreeOTP, Microsoft Authenticator, 1Password/Bitwarden Authenticator, Google Authenticator) generuje každých 30 sekund kód na základě sdíleného tajemství a času. Kód se zadává podobně jako u SMS, nevzniká však závislost na mobilní síti.

Výhody TOTP

Bez závislosti na operátorovi a infrastruktuře SMS.
Snadná migrace a zálohování (pokud to aplikace podporuje, ideálně šifrovaně).
Standardizovaný formát (RFC 6238), široká interoperabilita.

Rizika TOTP

Phishing: kódy lze vylákat – uživatel je zadává ručně.
Kompromitace telefonu: malware s přístupem k obrazovce nebo aplikaci může kódy přečíst.
Zálohy: nesprávně uložená tajemství (seed) představují dlouhodobé riziko.

Push notifikace: Přihlášení prostřednictvím možnosti „schválit/odmítnout“ v aplikaci (např. Duo, Okta, MS Authenticator). Zvyšují uživatelský komfort, jsou však náchylné k jevu push fatigue (uživatelé ze zvyku klikají na „schválit“). Odolnější jsou metody number matching a device binding (zařízení podepisuje požadavek vlastním klíčem).

Hardwarový bezpečnostní klíč: U2F/FIDO2/WebAuthn

Princip: Kryptografický klíč (USB-A/C, NFC, Lightning) provede autentizační výzvu a odpověď podepíše soukromým klíčem uloženým v bezpečném čipu. Server uchovává pouze veřejný klíč. Interakce probíhá stisknutím tlačítka (potvrzení přítomnosti uživatele) a případně zadáním PINu nebo ověřením biometrie.

Výhody

Odolnost proti phishingu: klíč váže autentizaci na konkrétní doménu (vazba na origin), takže útoky prostřednictvím podvodných stránek selhávají.
Žádné jednorázové kódy: není co přepisovat ani zachytit.
Silný model ochrany soukromí: každý účet má odlišný pár klíčů, bez trvalého identifikátoru napříč službami.
Offline: funguje bez GSM i bez internetu na klientském zařízení.

Rizika a praktické otázky

Ztráta klíče: je nutné mít záložní klíč a mechanismus obnovení přístupu.
Kompatibilita: starší služby podporují pouze TOTP/SMS; FIDO2/WebAuthn je však dnes široce podporováno v moderních prohlížečích a operačních systémech.
Náklady a logistika: cena klíčů, jejich evidence a obměna ve firmách.

Shrnutí: Hardwarový klíč je dnes zlatým standardem pro kritické účty: poskytuje nejvyšší odolnost proti phishingu a moderním útokům.

Rychlé srovnání podle hrozeb

Hrozba / metoda	SMS	Aplikace (TOTP/push)	Hardwarový klíč (FIDO2)
Phishing (podvodná doména)	zranitelná	zranitelná (lepší s number matching)	odolná (vazba na origin)
SIM swapping / přesměrování SMS	zranitelná	nerelevantní	nerelevantní
Malware v telefonu	střední riziko	střední riziko (pokud dojde ke kompromitaci seedu)	nízké (klíč je izolovaný)
Dostupnost bez signálu	omezená	dobrá	dobrá
Jednoduchost pro uživatele	dobrá (známý postup)	dobrá (automatické kopírování z clipboardu, push)	výborná (dotyk, bez kódů)
Náklady	nízké	nízké	střední až vyšší

Passkeys a přihlašování bez hesla vs. 2FA

Passkeys (založené na FIDO2/WebAuthn) nahrazují heslo párem klíčů. Přihlášení je jednofaktorové, ale kryptograficky silné a odolné vůči phishingu. V praxi je často nejlepší strategií používat passkeys a tam, kde to zatím není možné, aktivovat 2FA pomocí TOTP, nebo ještě lépe hardwarového klíče.

Doporučené strategie pro jednotlivce

Kritické účty (e-mail, bankovnictví, správce hesel, digitální identity): upřednostněte hardwarový klíč nebo passkey. Nastavte alespoň dva klíče (primární a záložní).
Ostatní účty: aktivujte TOTP v autentizační aplikaci. SMS používejte pouze v případě, že není jiná možnost.
Kódy pro obnovení přístupu: uložte je do šifrovaného trezoru (správce hesel), ideálně si pořiďte i offline zálohu (uložte výpis do trezoru).
Zabezpečení telefonu: používejte silný kód, instalujte aktualizace a omezte rootování či jailbreak.
Opatrnost při push notifikacích: schvalujte pouze požadavky, které jste sami iniciovali.

Doporučené strategie pro organizace

Rizikové profily: pro administrátory, vývojáře a účty s přístupem do produkčního prostředí vyžadujte klíče FIDO2 (MFA odolné proti phishingu) a pro push notifikace nastavte zásadu „number matching“.
Procesy životního cyklu klíčů: vydávání, evidence, více registračních metod (minimálně 2 klíče), pravidelná kontrola a bezpečná likvidace.
Zásady pro náhradní přístup: kódy pro obnovení přístupu, ověření identity při ztrátě klíče, vyhněte se snižování úrovně zabezpečení (např. přechodu na SMS) bez dodatečného ověření.
Školení a simulované phishingové útoky: snižují pravděpodobnost schválení nevyžádaných push požadavků a vylákání kódů.
Integrační standardy: upřednostňujte jednotné přihlašování (SSO) s WebAuthn, moderní poskytovatele identity (IdP) a povinné MFA pro vzdálený přístup a cloudové služby.

Postup implementace krok za krokem

Audit účtů: zjistěte, kde je k dispozici WebAuthn/Passkeys, TOTP nebo pouze SMS.
Nastavení hardwarového klíče: zaregistrujte alespoň dva (USB-C + NFC pro mobilní zařízení), pojmenujte je a záložní klíč uložte odděleně.
Nastavení TOTP: naskenujte QR kód v aplikaci, uložte seed nebo v aplikaci zapněte šifrovanou synchronizaci či zálohování.
Kódy pro obnovení přístupu: ihned je stáhněte a bezpečně uložte.
Vypněte SMS, pokud je to možné: minimalizujete tak útoky na mobilní síť a phishing kódů.

Řízení rizik: rozhodovací matice

Nízké riziko (fórum, koníčky): TOTP; SMS, pokud není alternativa.
Střední riziko (běžné cloudové služby, sociální sítě): TOTP nebo passkey, uvažte hardwarový klíč pro hlavní e-mailový účet.
Vysoké riziko (finance, infrastruktura, správci hesel, administrátorské účty): hardwarový klíč FIDO2 nebo passkeys, minimálně dva kusy a zásady pro obnovení přístupu.

Nejčastější chyby a jak se jim vyhnout

Jeden klíč bez zálohy: vždy zaregistrujte alespoň dva.
Neuložené kódy pro obnovení přístupu: bez nich je obnovení přístupu složité a zdlouhavé.
Schvalování nevyžádaných push požadavků: používejte number matching a proškolte uživatele.
Ponechání SMS jako náhradní možnosti bez dodatečného ověření: omezte tuto možnost nebo ji zabezpečte dalšími kroky.
Nešifrované zálohy TOTP seedů: ukládejte je výhradně do šifrovaného trezoru.

Ochrana soukromí a soulad s regulací

Hardwarové klíče a passkeys minimalizují sdílení identifikátorů napříč službami. Z hlediska GDPR a ochrany soukromí je výhodou, že poskytovatel vidí pouze veřejný klíč a vazbu na origin – nikoli jedinečné globální ID. U finančních a zdravotnických systémů mohou být požadavky na silné MFA přímo součástí rámců pro zajištění souladu s předpisy; MFA odolné proti phishingu (FIDO2) jejich splnění obvykle usnadňuje.

Bezpečný provoz a údržba

Obměna a kontroly: pravidelně kontrolujte seznam registrovaných klíčů a zařízení.
Aktualizace: udržujte operační systémy, prohlížeče a autentizační aplikace aktuální.
Segmentace rizik: pokud je to možné, oddělujte pracovní a soukromé identity a zařízení.

FAQ: praktické otázky

Co když ztratím hardwarový klíč?: Použijte záložní klíč nebo kódy pro obnovení přístupu. Poté zrušte registraci ztraceného klíče a zaregistrujte nový.
Mohu mít 2FA na více zařízeních?: Ano. TOTP seedy lze importovat do více aplikací (pozor na bezpečnost), zaregistrovat lze i více hardwarových klíčů.
Je biometrie povinná?: Ne. Biometrie často pouze odemyká lokální klíč (passkey), samotná autentizace probíhá kryptograficky.
Proč se po aktivaci TOTP nebo klíče doporučuje vypnout SMS?: Aby útočník nemohl během obnovy přístupu „přejít“ na nejslabší kanál.

Praktický kompromis mezi bezpečností a pohodlím

Pokud chcete rychle a výrazně zvýšit bezpečnost, začněte aktivací TOTP na všech účtech a u nejdůležitějších účtů přidejte hardwarový klíč nebo passkeys. Důležité je mít zálohy (druhý klíč, kódy pro obnovení přístupu), instalovat aktualizace a minimalizovat závislost na SMS. Dosáhnete tak vysoké odolnosti vůči phishingu, snížíte rizika spojená s mobilní sítí a zároveň si zachováte pohodlné a rychlé přihlašování.