Odpověď na názor

Nesmysl je učit uživatele rozpoznávat phishing podle aktivních odkazů v e-mailu. Když budou všichni posílat e-maily s textovými odkazy, které budou uživatelé kopírovat, podvodníci se přizpůsobí a budou phishingové odkazy posílat stejným způsobem. Výsledkem je akorát snížení komfortu pro uživatele.

Aktivní odkaz v notifikačním e-mailu je jen pro pohodlí uživatelů – ale těm, kteří se chovají bezpečně, nijak neuškodí. A uživatelům, kteří se nechovají bezpečně, nepomůže ani kdyby byl neaktivní, ani kdyby tam nebyl vůbec. Pro větší komfort by odkaz ještě mohl vést přímo na konkrétní datovou zprávu – ovšem problém je, že ze zákona se považují přihlášením za doručené všechny, protože se předpokládá, že uživatel po přihlášení viděl seznam nedoručených zpráv.

Bez odkazů v e-mailech se obecně neobejdeme, protože e-maily se považují za hlavní identifikátor osob na internetu. Každý web, který používá e-mail, musí umět ověřit, že dotyčný je opravdu vlastník dané e-mailové schránky. Což jde rozumně udělat akorát odkazem. A nemá smysl to uživatelům komplikovat neaktivním odkazem.

Ale hlavně, co se týká obrany před phishingem – je nesmysl učit uživatele, že mají kontrolovat adresu u zdroje. To nefunguje. Uživatel musí kontrolovat adresu v okamžiku, kdy má zobrazenou cílovou stránku v prohlížeči – tu stránku, která je bezpečnostně citlivá, třeba taková, kde se uživatel přihlašuje. Je to nepohodlné, ale funguje to – na rozdíl od kontroly odkazu u zdroje, která nefunguje.

Dále je obranou proti phishingu používání správce hesel, který vyplní heslo jen do správné cílové stránky. Tj. musí být integrován v prohlížeči, žádné kopírování hesla přes schránku.

A pak samozřejmě pomáhají jiné autentizační mechanismy, než je jen jméno a heslo. Je nepochopitelné, že před lety ISDS zrušil možnost používání druhého faktoru TOTP, když zůstala možnost přihlášení jen jménem a heslem. Navíc TOTP dnes podporuje kdejaký web, někde je to dokonce už vyžadováno (nebo nějaký jiný alespoň stejně bezpečný způsob přihlášení). Pro spoustu uživatelů je pořád TOTP ten nejjednodušší způsob, jak výrazně zvýšit zabezpečení.