Dvoufaktorová autentizace: SMS, aplikace a hardwarový klíč v porovnání

Proč dvojfaktorová autentifikace (2FA) stále rozhoduje o bezpečnosti

Dvojfaktorová autentizace kombinuje něco, co znáte (heslo), s něčím, co máte (telefon, hardwarový klíč) nebo jste (biometrie). Cílem je dramaticky snížit úspěšnost útoků založených na odcizení hesel. V praxi však existují významné rozdíly mezi 2FA přes SMS, přes aplikaci (TOTP/push) a přes hardwarový bezpečnostní klíč (FIDO2/WebAuthn). Tento článek vysvětluje technické principy, hrozby, vhodné scénáře a doporučenou migrační strategii.

Stručný přehled metod: definice a mechanismy

SMS 2FA: Služba vygeneruje jednorázový PIN (OTP), který přijde v SMS zprávě a uživatel ho přepíše do přihlašovacího formuláře. Ověření probíhá na serveru poskytovatele služby.
Aplikace (TOTP/HOTP/push): Nejčastěji časově synchronizovaná jednorázová hesla (Time-based One-Time Passwords, TOTP) generovaná v autentizační aplikaci offline. Případně „push“ notifikace, které vyžadují potvrzení v aplikaci.
Hardwarový klíč (FIDO2/WebAuthn): Kryptografický token (USB/NFC/Lightning) generuje a uchovává soukromé klíče. Při přihlašování provede výzvu-odpověď (challenge-response) vázanou na konkrétní doménu, často s podporou biometrie.

Hlavní hrozby a odolnost jednotlivých metod

Phishing: Útočník simuluje legitimní web a vyláká kód nebo potvrzení.
- SMS/TOTP: náchylné na real-time phishing (zadání kódu na falešné stránce).
- Push: náchylný na „push bombing“ (únava z notifikací); mitigace: číselný match, kontext.
- FIDO2: phishing-resistant; vazba na origin (doménu) brání zachycení.
Únos účtu na straně operátora/telekomunikační infrastruktury:
- SMS: riziko SIM-swap, SS7 zranitelností, přesměrování.
- TOTP/Push: nezávislé na operátorovi; riziko je v kompromitaci zařízení/aplikace.
- FIDO2: nezávislé na operátorovi; tajemství neopouští klíč.
Malware na koncovém zařízení:
- SMS/TOTP/Push: pokud je zařízení kompromitováno (keylogger/overlay), útočník může kód zachytit nebo potvrdit push.
- FIDO2: i při infikovaném zařízení soukromý klíč neuniká; útočník však může převzít kontrolu nad relací, jestliže uživatel fyzicky potvrdí.
Opakované použití kódu a zpoždění:
- SMS: zpoždění doručení, blokace v roamingu; kód lze použít jen krátce, ale v reálném čase ho lze přeposlat.
- TOTP: offline generování, pevné časové okno (typicky 30 s); odolnější vůči zpožděním.
- FIDO2: bez kódů; podpis výzvy je vázán na relaci a origin.

Porovnávací tabulka: bezpečnost, použitelnost, náklady

Vlastnost	SMS	Aplikace (TOTP/Push)	Hardwarový klíč (FIDO2)
Odolnost vůči phishingu	Nízká	Střední (lepší s číselným match)	Vysoká (vazba na origin)
Riziko SIM-swap/SS7	Vysoké	Žádné	Žádné
Závislost na signálu	Ano	Ne (TOTP), občasná data (push)	Ne
UX při cestování/roamingu	Často problematické	Dobré	Výborné (pokud máte klíč s sebou)
Podpora bez administrace	Téměř všude	Široká	Rostoucí (moderní služby)
Počáteční náklady	Nízké (přenáší operátor)	Nízké (zdarma aplikace)	Střední (klíč 30–80 €)
Správa a škálování ve firmách	Střední (závislost na telco)	Dobré (MDM, seed management)	Výborné (fleet management, attestation)
Odstranění kódů z uživatelské práce	Ne	Částečně (push)	Ano (dotyk/biometrie)

Standardy: TOTP/HOTP vs. FIDO2/WebAuthn

TOTP/HOTP: Sdílený tajný klíč (seed) mezi serverem a aplikací. TOTP používá časové okno (typicky 30 s), HOTP čítač. Výhody: offline generování, interoperabilita, jednoduchost. Nevýhody: sdílené tajemství, náchylnost k phishingu.
FIDO2/WebAuthn: Párové klíče vytvářené v hardwarovém nebo platformovém autentikátoru; soukromý klíč neopouští zařízení, podpis je vázán na origin. Výhody: odolnost vůči phishingu, žádné kódy, možnost biometrie, škálovatelná správa ve firmách. Nevýhody: potřeba kompatibilního autentikátoru a prohlížeče; proces adopce.

Praktické scénáře použití a doporučení

Obyčejný uživatel sociálních sítí a e-mailu: Aktivujte alespoň TOTP v aplikaci (např. jako náhradu za SMS). U klíčových účtů (e-mail, bankovnictví) zvažte hardwarový klíč.
Práce na dálku, freelanceři: Preferujte TOTP/push; u kritických účtů FIDO2. Zabezpečte záložní kódy a druhý autentizátor.
Malé a střední firmy: Minimálně TOTP s MDM politikami a centralizovaným onboarding/offboarding procesem. Pro administrátory a cloudové účty nasadit FIDO2.
Regulované odvětví a vysoké bezpečnostní hrozby (fintech, zdravotnictví, novináři): FIDO2 jako primární faktor; SMS vypnout, TOTP jako dočasná fallback možnost.

Nejčastější selhání a jak jim předejít

MFA fatigue (push bombing): Zapněte number matching a zobrazování geolokačního kontextu v push notifikacích.
Phishing na OTP: Používejte pouze oficiální aplikace, přidejte detekci domény (správce hesel v prohlížeči + HSTS), migrujte na FIDO2.
Ztráta zařízení/klíče: Mějte záchranné kódy, druhý registrující autentizátor a definovaný recovery proces (HR/IT ověření identity).
Shadow IT a neregistrované aplikace: MDM politiky, whitelist autentizátorů, logování a audit.

Migrační strategie: od SMS k FIDO2 bez bolestí

Inventarizace: Zmapujte účty a služby, které podporují TOTP a WebAuthn.
Fáze 1 – vypněte SMS tam, kde je to možné: Přepněte na TOTP; ponechte SMS jen jako dočasný recovery kanál s přísnými kontrolami (odstranit bezpečnostní otázky).
Fáze 2 – pilot FIDO2: Nasadit hardwarové klíče pro administrátory, DevOps a VIP účty. Využijte ověření autenticity (attestation) a vazbu na účty.
Fáze 3 – široká adopce: Standardizujte nákup klíčů, nastavte politiky (počet registrovaných klíčů na osobu, povinné záložní klíče), vyškolte uživatele.
Fáze 4 – vypnutí kódů: Pokud to služba umožňuje, zrušte OTP jako primární faktor; ponechte je pouze jako řízený break-glass mechanismus.

Bezpečnostní a provozní doporučení

Politiky registrace: Vyžadujte minimálně dva autentizátory (např. dva FIDO2 klíče nebo klíč + TOTP) ještě před nasazením do produkce.
Recovery bez call centra: Preferujte self-service recovery s důkazem držby zařízení, eID nebo interní identitou; omezte telefonickou podporu.
Monitorování anomálií: Upozornění na neobvyklé lokality, časy, neúspěšné pokusy, opakované push žádosti.
Segmentace rizika: Pro privilegované účty povinné FIDO2 a just-in-time přístupy.

Specifika mobilních platforem a prohlížečů

Moderní prohlížeče a OS podporují platformové autentizátory (např. Secure Enclave/TPM). Ty umožňují „passkeys“ – FIDO2 klíče vázané na zařízení s biometrickým odemknutím. Pro multiplatformní využití a týmové scénáře jsou však nadále praktické externí hardwarové klíče (USB-C/NFC) – zejména jako přenosné, sdílené mezi zařízeními a kompatibilní s politikami organizace.

Compliance, audit a životní cyklus autentizátorů

Evidenční a inventární systém: Vést seznam registrovaných klíčů, dat vydání a revokace.
Rotace a revokace: Po ztrátě nebo odchodu zaměstnance okamžitá revokace a audit přihlašovacích událostí.
Testy obnovy: Pravidelně simulovat ztrátu zařízení; ověřit, že recovery proces je rychlý a bezpečný.

Časté mýty o 2FA a realita

„SMS stačí každému“: Nestačí v prostředí se zvýšeným rizikem, při cestování nebo tam, kde hrozí SIM-swap.
„Hardwarové klíče jsou nepraktické“: Moderní klíče podporují NFC, biometrie a více protokolů; zavedení je jednorázová investice s dlouhodobým přínosem.
„TOTP je stejně bezpečný jako FIDO2“: TOTP chrání před únikem hesel, ale ne před cíleným phishingem; FIDO2 ano.

Rozhodovací strom: jakou metodu zvolit dnes

Potřebujete odolnost proti phishingu? Ano → FIDO2. Ne → pokračujte.
Máte omezený rozpočet a chcete rychlou náhradu SMS? Přepněte na TOTP v aplikaci.
Preferujete nejjednodušší UX? Push s number-match nebo FIDO2.
Firemní privilegia nebo kritická infrastruktura? Povinně FIDO2 + druhý klíč.

Kontrolní seznam pro nasazení

SMS ponechte pouze jako break-glass a vyžadujte dodatečné ověření identity.
TOTP zaveďte jako minimum; používejte spolehlivé aplikace a chraňte seed (záloha/šifrování).
FIDO2 připravte pro klíčové účty a privilegované uživatele; distribuujte min. 2 klíče/osoba.
Nastavte politiky recovery, loggingu a detekce anomálií; pravidelně testujte.

Hierarchie spolehlivosti

V pořadí od nejslabšího k nejsilnějšímu platí: SMS → TOTP/Push → FIDO2/WebAuthn. Každý krok vzhůru výrazně snižuje riziko kompromitace účtu a zároveň může zlepšit použitelnost. Minimem je odchod od SMS. Cílovým stavem pro kritické účty a organizace je phishing-odolná autentizace přes hardwarový klíč nebo platformový FIDO autentizátor, s promyšleným záložním mechanizmem a důsledným dohledem.