Two-factor authentication, sa simpleng pananalita

Ang two-factor authentication ay ang isang security setting na pinakamalaki ang epekto na hindi pa ginagamit ng karamihan. Ayon sa published numbers ng Microsoft, nahaharangan nito ang higit sa 99% ng mga automated account takeover. Pero may reputasyon itong magulo — dahil ang tatlong karaniwang uri ("SMS code", "authenticator app", "security key") ay pinag-uusapan na parang magkapareho lang. Hindi sila magkapareho. Narito ang praktikal na bersyon.

Ano talaga ang ginagawa ng 2FA

Patuloy na tumatagas ang mga password. Database dumps, phishing pages, browser malware, password reuse — napakaraming paraan para mauwi ang isa sa mga password mo sa spreadsheet ng iba. Nagdaragdag ang 2FA ng pangalawang check na nakatali sa isang bagay na hawak mo, hindi lang sa alam mo. Ang umaatakeng nagnakaw ng password mo ay kailangan din magnakaw ng pangalawang factor, real time, sa parehong device — mas mahirap.

SMS 2FA

Dumarating ang anim na digit na code sa pamamagitan ng text. Itype mo. Pinakamadaling gamitin dahil mayroon na ito ang bawat phone, at iyon din ang dahilan kung bakit ito ang pinakamababang katanggap-tanggap na seguridad: sapat para mapigilan ang credential-stuffing bots, ngunit mahina laban sa SIM-swap attacks (kumukumbinsi ang umaatake sa carrier na ilipat ang numero mo) at sa silent SMS interception sa mas mahihinang network.

Mainam para sa: mga low-value account kung saan ayaw mo mag-install ng isa pang app. Forums, shopping sites, mailing lists.

Hindi mainam para sa: email, banking, government portals, anumang kumukontrol sa ibang accounts.

Authenticator apps (TOTP)

Ang mga app tulad ng Google Authenticator, 1Password, Bitwarden, at Authy ay gumagawa ng bagong anim na digit na code tuwing 30 segundo, hango sa secret na nakatago sa device mo lang. Walang SMS, walang carrier — gumagana ang code offline. Maaaring gumana pa rin ang phishing attack na kumukuha ng password mo at iisang code, ngunit hindi na issue ang SIM-swap.

Setup tip: kapag pinapakita sa iyo ng site ang QR code, i-save ang textual seed kasama nito (kayang i-export ito ng karamihan sa authenticator apps). Kung mawawala ang phone mo nang walang seed at walang recovery codes, kailangan mong i-reset ang bawat account mula sa simula.

Mainam para sa: halos lahat. Sinusuportahan ng karamihan sa email providers, social platforms, crypto exchanges at developer tools ang TOTP, at libre ito.

Security keys (FIDO2 / WebAuthn / passkeys)

Isang USB o NFC key (YubiKey, Titan, kamakailan ay pati "passkeys" na nasa iOS at Android keychain) na cryptographically pinipirmahan ang login challenge. Ang mahalaga, nakatali ito sa domain ng site — ang phishing page na kamukhang-kamukha ng totoo ay hindi makakakuha ng pirma. Ito lang ang karaniwang 2FA method na natatalo ang well-built na phishing.

Mainam para sa: primary email, password manager, anumang hindi mo kayang mawalan. Bumili ng dalawang key; irehistro pareho; itago ang isa sa drawer.

Saan kasya ang pansamantalang numero

Magaling ang pansamantalang SMS numbers para sa initial signup, ngunit hindi sila angkop para sa nagpapatuloy na SMS 2FA — sa oras na kailangan mo nang tumanggap ng code, naibalik na ang numero sa pool. Best practice: mag-sign up gamit ang pansamantalang numero, agad mag-set up ng TOTP sa security settings ng account, at i-save ang recovery codes sa ligtas na lugar. Pagkatapos ay maaaring mawala ang pansamantalang numero.

Karapat-dapat banggitin ang recovery codes

Halos bawat 2FA setup screen ay nag-aalok ng listahan ng single-use recovery codes. I-print sila o i-save sila sa password manager mo. Sila ang paraan mo para makapasok muli kung mawalan ka ng lahat ng device. Huwag mong laktawan ang hakbang na ito — ang pag-recover ng account nang wala ito ay madalas nangangailangan ng identity documents na umaabot ng linggo.

Mabilisang rekomendasyon

• Email at password manager: security key muna, TOTP bilang backup.
• Bank, broker, exchange: kung ano ang pinakamataas na tier na inaalok nila.
• Social, dev tools, work SaaS: TOTP.
• Random forum na humihingi ng phone number: pansamantalang SMS, pagkatapos TOTP post-signup.