Każdy z tych elementów może ograniczać inne zagrożenie, dlatego samo silne hasło nie wystarcza do oceny całego systemu. W przypadku serwisu opisywanego jako Pelican Casino dostępność konkretnych funkcji trzeba sprawdzić, zamiast wywodzić ją z ogólnych zapewnień reklamowych. Szyfrowane połączenie nie potwierdza uczciwości odbiorcy danych, a dodatkowy kod nie chroni przed każdym rodzajem przejęcia dostępu. Osobną kwestią jest legalność oferty: w Polsce urządzanie gier kasynowych przez internet jest objęte monopolem państwa, więc polska wersja językowa nie stanowi dowodu uprawnienia do ich oferowania. Znajomość ograniczeń zabezpieczeń pozwala trafniej oceniać komunikaty i szybciej reagować na nieautoryzowane działania.
Hasła i dodatkowe potwierdzanie logowania
Hasło powinno być długie, nieprzewidywalne i unikalne dla danego konta. Powtarzanie tej samej kombinacji w kilku usługach sprawia, że wyciek z jednego serwisu może zagrozić pozostałym. Dodanie znaku specjalnego do łatwego słowa nie usuwa tego problemu.
Menedżer haseł ułatwia tworzenie i przechowywanie różnych danych dostępowych. Wymaga jednak ochrony własnego dostępu oraz przemyślanego sposobu odzyskiwania. Nie zastępuje też sprawdzania, do jakiej strony trafiają dane. Brak automatycznego uzupełnienia na nieznanej domenie może być sygnałem do weryfikacji adresu, lecz nie jest samodzielnym testem bezpieczeństwa.
Dodatkowe potwierdzenie może opierać się na kodzie SMS, aplikacji uwierzytelniającej lub innym rozwiązaniu. Nie każda procedura złożona z dwóch kroków jest jednak uwierzytelnianiem dwuskładnikowym. Znaczenie ma wykorzystanie odrębnych czynników, a nie sama liczba ekranów.
Poszczególne metody mają różne ograniczenia. Kod przesłany na przejętą skrzynkę nie ochroni przed osobą, która już kontroluje pocztę. Kod z aplikacji również może zostać wyłudzony na fałszywej stronie. CERT Polska opisywał ataki, w których przestępcy przechwytywali hasło, a następnie prosili o kod potrzebny do bieżącej próby logowania.
Kody jednorazowe a odporność na phishing
Jednorazowość kodu ogranicza czas i zakres jego użycia, ale nie potwierdza, że formularz należy do właściwego odbiorcy. Fałszywa strona może przekazać kod dalej, zanim straci on ważność. Dlatego dodatkowego kodu nie należy traktować jako informacji przeznaczonej dla konsultanta ani wpisywać go na stronie otwartej z niezweryfikowanej wiadomości.
Jeśli usługa udostępnia klucze dostępu lub sprzętowe klucze bezpieczeństwa, trzeba sprawdzić sposób ich działania i odzyskiwania. Rozwiązania powiązane z właściwą domeną mogą zapewniać inną ochronę niż przepisywane kody. Nie wolno jednak zakładać ich dostępności na podstawie samego określenia „dodatkowa autoryzacja”.
Ograniczanie liczby prób logowania, wykrywanie nietypowej aktywności i dodatkowe sprawdzenia mogą uzupełniać ochronę. Ich faktyczna skuteczność zależy od wdrożenia. Z kolei szyfrowanie transmisji chroni dane w drodze do serwera, lecz nie zapobiega ich podaniu oszustowi ani wykorzystaniu na zainfekowanym urządzeniu.
Odzyskiwanie dostępu a ryzyko przejęcia konta
Ścieżka odzyskiwania nie powinna pozwalać na łatwiejsze obejście ochrony niż zwykłe logowanie. Jeżeli dostęp zabezpiecza dodatkowy składnik, ale jego usunięcie wymaga jedynie odpowiedzi na łatwe pytanie, rzeczywista odporność całego procesu jest niższa, niż sugeruje ekran logowania.
Szczególne znaczenie ma przypisana skrzynka pocztowa. Link do resetu może umożliwiać ustawienie nowego hasła, a dostęp do historii wiadomości może ujawnić informacje przydatne w kolejnych próbach przejęcia. CERT Polska wskazuje, że kontrola nad pocztą pozwala wykorzystywać procedury odzyskiwania innych powiązanych kont.
Ochrona poczty obejmuje nie tylko hasło, ale także aktywne sesje, adresy odzyskiwania i reguły przekazywania wiadomości. Obca reguła może kierować powiadomienia do innej osoby lub ukrywać je przed właścicielem. Samo odzyskanie możliwości logowania nie oznacza więc usunięcia wszystkich zmian wprowadzonych przez intruza.
Pytania o szkołę, miejsce urodzenia czy imię zwierzęcia mogą opierać się na informacjach dostępnych publicznie. Nie należy utożsamiać ich z mocnym potwierdzeniem tożsamości. Jeśli system wymaga takich odpowiedzi, ich przewidywalność i ponowne używanie między usługami tworzą dodatkowe ryzyko.
Utrata telefonu lub dostępu do aplikacji uwierzytelniającej wymaga odrębnej procedury. Jej opis powinien wyjaśniać, jak potwierdzana jest tożsamość oraz jak chronione są ewentualnie przesyłane dokumenty. Odtworzenie dostępu nie uzasadnia żądania pełnego hasła, kodów odzyskiwania ani kodu zatwierdzającego nieznaną operację.
Powiadomienie o resecie może oznaczać zarówno próbę ataku, jak i pomyłkę innej osoby. Nie dowodzi jeszcze skutecznego logowania. Wymaga jednak sprawdzenia przez niezależnie otwarty serwis, zwłaszcza gdy towarzyszą mu zmiany danych kontaktowych lub utrata dostępu.
Zarządzanie aktywnymi sesjami i urządzeniami
Po zalogowaniu przeglądarka otrzymuje dane pozwalające utrzymać sesję. Kolejne działania nie muszą wymagać ponownego podawania hasła. Z tego powodu przejęcie aktywnej sesji może umożliwić dostęp bez znajomości hasła i bez ponownego przechodzenia dodatkowego uwierzytelniania.
Panel aktywności, jeśli jest dostępny, może pokazywać czas logowania, adres IP lub opis urządzenia. Dane te pomagają w ocenie sytuacji, lecz nie są nieomylnym zapisem tożsamości korzystającej osoby. Lokalizacja IP bywa przybliżona, a sieć komórkowa lub VPN mogą zmieniać widoczny adres.
