Samotné heslá nie sú dobrým mechanizmom autentifikácie. S heslami sa môže pokaziť príliš veľa vecí, aby im predajcovia elektronického obchodu mohli úplne dôverovať. Používatelia si často vyberajú slabé heslá alebo nechtiac dovolia, aby sa dostali do rúk zlomyseľných jednotlivcov. Najmä vo svete elektronického obchodu, kde ide o citlivé údaje, peniaze a povesť firmy, je potrebné niečo viac ako len skromné heslo.
Dvojfaktorová autentifikácia je najlepší spôsob, ako doplniť prihlasovacie heslá, aby boli bezpečné. Čím viac faktorov identifikácie môže používateľ predložiť autentifikačnému systému, tým väčšia je šanca, že je tým, za koho sa vydáva. Keď požiadate o bankový účet, banka vás požiada o niekoľko foriem identifikácie: možno váš pas, vodičský preukaz a účet za energie s vašou adresou. Pre tretiu stranu by bolo celkom ľahké získať niektorú z nich, ale je nepravdepodobné, že sa im podarí získať všetky tri.
Na podobnom princípe funguje dvojfaktorová autentifikácia. Heslo je jedným z faktorov autentifikácie. Je to niečo, čo používateľ pozná. Ak je to dlhé a náhodné heslo, ktoré pozná iba používateľ, potom je pravdepodobne dostatočné na bezpečnú autentifikáciu.
Heslá sa však často dostanú do nesprávnych rúk alebo sa vyberú zle a ľahko uhádnuteľné. TFA pridáva ďalší faktor autentifikácie. Môže to byť niečo, čo je trvalo súčasťou používateľa, ako napríklad systém odtlačkov prstov v najnovších telefónoch iPhone. Alebo to môže byť niečo vo vlastníctve používateľa, napríklad jeho telefón alebo malé zariadenie vytvorené na tento účel.
Najbežnejšia forma – a tá, ktorú používa Dvojfaktorové overenie Sentry Magento plugin – spolieha sa na mobilné zariadenie vo vlastníctve používateľa s nainštalovanou aplikáciou. Aplikácia vygeneruje číslo, ktoré sa zadá do prihlasovacieho rozhrania obchodu. Číslo dokazuje, že používateľ má prístup k overenému zariadeniu. Každé číslo funguje len krátko, takže eCommerce obchod si môže byť istý, že používateľ má zariadenie vo svojom vlastníctve hneď pri prihlasovaní.
V závislosti od používaného systému môže používateľ zadať číslo do prihlasovacieho rozhrania Magento alebo ho môže poslať priamo do obchodu zo zariadenia — v oboch prípadoch je princíp rovnaký; používateľ musí preukázať, že pozná svoje heslo a vlastní zariadenie TFA. Hacker môže ukradnúť heslo a oni môžu ukradnúť telefón, ale dostať obe dohromady je oveľa nepravdepodobnejšie. A ak je telefón ukradnutý alebo stratený, môže byť jednoducho odstránený zo systému TFA, čím sa stane pre hackera zbytočným.
Dvojfaktorová autentifikácia využíva službu tretej strany, ktorá vytvára aplikáciu TFA a riadi rôzne časti procesu. Ak používate služby Google, pravdepodobne už poznáte aplikáciu Google Authenticator. TFA pre Magento môže používať Google Authenticator a ďalšie služby, ako napríklad Duo Mobile.
Mechanizmus tejto formy TFA je pomerne zložitý, ale v skratke, aplikácia v telefóne a služba TFA majú spoločné tajomstvo: dlhé komplexné číslo, ktoré je úplne nemožné uhádnuť. Zariadenie a služba robia niekoľko šikovných matematických operácií, ktoré zahŕňajú toto číslo a aktuálny čas na vytvorenie kódu, ktorý používateľ odošle na overenie. Pretože nikto iný nepozná tajomstvo, je pre nich nemožné poznať číslo a ak ho zistia, bude už neskoro, pretože funguje len 30 sekúnd.
Dvojfaktorová autentifikácia môže výrazne zvýšiť bezpečnosť obchodov Magento a s rozšírením Sentry Magento TFA je inštalácia a konfigurácia jednoduchá.
