Dvoufaktorové ověření: Zapněte si ho všude
Vaše heslo uniklo. Možná ne dnes. Možná před dvěma lety, v jednom z tisíců data breachů, o kterých jste nikdy neslyšeli. Sedí v databázi, kterou si útočníci sdílí na dark webu. A jednoho dne ho někdo zkusí.
Pokud máte zapnuté dvoufaktorové ověření, nic se nestane. Pokud ne — ztratíte účet.
Co je 2FA a proč ho potřebujete
Dvoufaktorové ověření (2FA) znamená, že k přihlášení potřebujete dvě věci: něco, co znáte (heslo) a něco, co máte (telefon, klíč, otisk prstu).
Heslo samotné nestačí. Nikdy nestačilo, ale dřív to tak nevypadalo. Dnes je situace jasná:
- Data breaches — každý rok uniknou miliardy hesel. Stačí jedno napadení služby, kterou používáte, a vaše heslo je venku.
- Credential stuffing — útočníci berou uniklá hesla a zkoušejí je na dalších službách. Protože většina lidí používá stejné heslo na více místech, funguje to překvapivě dobře.
- Phishing — i když máte unikátní heslo, stačí ho zadat na falešné stránce. Víc o tom v našem článku o phishingu.
2FA tohle všechno zastaví. I když útočník zná vaše heslo, bez druhého faktoru se nepřihlásí.
SMS kódy — lepší než nic, ale…
Nejrozšířenější forma 2FA. Přihlásíte se, přijde vám SMS s kódem, zadáte ho. Jednoduché.
Problém je, že SMS není bezpečný kanál.
SIM swapping — útočník zavolá vašemu operátorovi, přesvědčí ho (nebo uplatí zaměstnance), že je to on, kdo potřebuje novou SIM kartu. Vaše číslo se přesune na jeho SIM. Všechny SMS chodí jemu. Včetně ověřovacích kódů.
SS7 útoky — protokol SS7, na kterém stojí mobilní sítě, má bezpečnostní díry staré desítky let. Útočník s přístupem k SS7 infrastruktuře může SMS zprávy odposlouchávat, aniž by potřeboval vaši SIM.
SMS kódy jsou pořád lepší než žádné 2FA. Pokud je to jediná možnost, zapněte je. Ale pokud máte na výběr, jděte dál.
TOTP aplikace — doporučená volba
TOTP (Time-based One-Time Password) je jednoduchý princip: aplikace na vašem telefonu generuje šestimístný kód, který se mění každých 30 sekund. Kód se počítá z tajného klíče (který jste naskenovali při nastavení) a aktuálního času.
Proč je to lepší než SMS
- Offline — kódy se generují na vašem zařízení, nepotřebujete mobilní signál ani internet.
- Nepřenositelné — útočník nemůže „přesměrovat” vaši aplikaci jako SIM kartu.
- Nelze odposlechnout — kód nikdy neopustí vaše zařízení, dokud ho nezadáte.
Které aplikace použít
| Aplikace | Výhody | Nevýhody |
|---|---|---|
| Bitwarden Authenticator | Zdarma, open source, synchronizace | Novější, menší komunita |
| Google Authenticator | Jednoduchý, široce známý | Dlouho neměl zálohy (teď už ano) |
| Authy | Šifrované cloudové zálohy, multi-device | Uzavřený kód |
| 2FAS | Zdarma, open source, přehledný | Méně známý |
Jak to nastavit
- Jděte do nastavení zabezpečení dané služby (Google, Facebook, Instagram…).
- Najděte „Dvoufaktorové ověření” nebo „Two-factor authentication”.
- Vyberte „Authenticator app”.
- Naskenujte QR kód svou TOTP aplikací.
- Zadejte vygenerovaný kód pro potvrzení.
- Uložte si záložní kódy (viz níže).
Bezpečnostní klíče — maximum bezpečnosti
Fyzický USB klíč, který připojíte k počítači nebo přiložíte k telefonu. Nejznámější jsou YubiKey a Google Titan.
Jak fungují
Při přihlášení vás služba vyzve k potvrzení. Připojíte klíč, dotknete se ho — hotovo. Klíč provede kryptografickou operaci, která potvrdí vaši identitu. Žádné kódy, žádné opisování.
Výhody
- Odolné proti phishingu — klíč komunikuje přímo s legitimní službou. Falešná stránka klíč neoklame.
- Fyzická bezpečnost — útočník potřebuje mít klíč fyzicky v ruce.
- Rychlé — stačí dotyk.
Nevýhody
- Cena — YubiKey stojí od 600 Kč výš. Ideálně mít dva (záložní).
- Ztráta — pokud ztratíte oba klíče a nemáte záložní kódy, máte problém.
Bezpečnostní klíče jsou ideální pro lidi s vysokým rizikem — novináře, aktivisty, politiky, kohokoli, kdo pracuje s citlivými informacemi.
Passkeys — budoucnost autentizace
Passkeys jsou nový standard, který chce nahradit hesla úplně. Místo hesla se přihlašujete biometrií — otiskem prstu, obličejem nebo PINem zařízení.
Jak to funguje
Při registraci se na vašem zařízení vytvoří kryptografický pár klíčů. Soukromý klíč zůstává na zařízení, veřejný klíč jde na server. Při přihlášení zařízení podepíše výzvu soukromým klíčem — a vy jen přiložíte prst nebo se podíváte do kamery.
Výhody
- Žádné heslo — nic, co by šlo ukrást v data breachi.
- Odolné proti phishingu — passkey je vázaný na konkrétní doménu.
- Pohodlné — přihlášení je rychlejší než s heslem.
Stav v roce 2026
Google, Apple, Microsoft, PayPal a řada dalších služeb passkeys podporují. Není to zatím všude, ale směr je jasný. Kde to jde, zapněte passkeys jako primární metodu a TOTP jako zálohu.
Správce hesel — nutný doplněk k 2FA
2FA chrání přihlášení. Ale pokud používáte heslo „Heslo123” na dvaceti službách, 2FA řeší jen symptom. Potřebujete správce hesel.
Proč
- Unikátní heslo pro každý účet — správce generuje náhodná hesla, nemusíte si je pamatovat.
- Silná hesla — 20+ znaků, náhodná, neprolomitelná hrubou silou.
- Automatické vyplňování — správce pozná falešnou doménu a heslo na phishingové stránce nevyplní.
Které použít
Bitwarden — zdarma pro jednotlivce, open source, auditovaný. Nejlepší volba pro většinu lidí.
1Password — placený (cca 3 USD/měsíc), ale výborný pro rodiny a firmy. Uživatelsky přívětivý.
Jedno pravidlo
Zapamatujte si jedno silné master heslo. Dlouhé, unikátní, nikde jinde nepoužité. Na správce hesel zapněte 2FA (TOTP nebo bezpečnostní klíč). Tím chráníte všechno ostatní.
Co NIKDY nedělat
- Neukládejte hesla v prohlížeči. Chrome, Firefox, Safari — jejich správci hesel nemají dostatečné zabezpečení a synchronizují se způsobem, který není pod vaší kontrolou.
- Neukládejte hesla v poznámkách, Excelu nebo na papírcích. Správce hesel existuje přesně proto, abyste tohle nemuseli dělat.
Kde zapnout 2FA — praktický přehled
Zapněte 2FA na všech účtech, kde je to možné. Prioritou jsou:
| Služba | Kde nastavit | Doporučená metoda |
|---|---|---|
| myaccount.google.com > Zabezpečení | Passkey nebo TOTP | |
| Nastavení > Zabezpečení a přihlášení | TOTP | |
| Nastavení > Zabezpečení > 2FA | TOTP | |
| E-mail (obecně) | Nastavení účtu > Zabezpečení | TOTP nebo bezpečnostní klíč |
| Bankovnictví | Nastavení v mobilní aplikaci | Biometrie + SMS (banka určuje) |
| Správce hesel | Nastavení účtu | Bezpečnostní klíč nebo TOTP |
Pravidlo: Pokud vám hacknou e-mail, mohou resetovat hesla ke všem ostatním účtům. E-mail zabezpečte jako první.
Co dělat, když ztratíte telefon s 2FA
Tohle je noční můra, které se každý bojí. Ale má jednoduché řešení: záložní kódy.
Záložní kódy
Při nastavení 2FA vám každá služba nabídne sadu jednorázových záložních kódů. Většinou 8-10 kódů.
Uložte je offline. Vytiskněte na papír a uložte na bezpečné místo. Nebo je uložte do šifrovaného souboru na jiném zařízení. Nikdy je nemějte jen v telefonu — ten je právě to, co jste ztratili.
Další záchranné možnosti
- Druhé zařízení — pokud máte TOTP aplikaci synchronizovanou na tablet nebo starý telefon, použijte ten.
- Záložní bezpečnostní klíč — proto se doporučuje mít dva.
- Kontakt na podporu — u většiny služeb existuje proces ověření identity bez 2FA. Je pomalý a otravný, ale funguje.
Prevence
- Při nastavení 2FA vždy stáhněte záložní kódy.
- Uložte je na dvě fyzicky oddělená místa (doma + sejf / u rodiny).
- Pravidelně ověřte, že záložní kódy stále fungují.
Shrnutí
| Metoda | Bezpečnost | Pohodlí | Cena |
|---|---|---|---|
| SMS kódy | Nízká | Vysoké | Zdarma |
| TOTP aplikace | Vysoká | Vysoké | Zdarma |
| Bezpečnostní klíč | Nejvyšší | Střední | Od 600 Kč |
| Passkeys | Nejvyšší | Nejvyšší | Zdarma |
Minimální zabezpečení: Správce hesel + TOTP aplikace na všech důležitých účtech. To zvládne každý, je to zdarma a zabere to odpoledne.
Ideální zabezpečení: Správce hesel s bezpečnostním klíčem + passkeys kde je to možné + TOTP jako záloha.
Víc o zabezpečení vašeho telefonu najdete v článku Bezpečnost mobilu. A pokud vás zajímá, jak 2FA chrání i proti phishingu — krátká odpověď: chrání, protože i kdyby útočník získal vaše heslo, bez druhého faktoru se nikam nedostane.
Naše práce stojí čas, peníze a nervy. Pomoz nám pokračovat.
