Двухфакторка без боли: СМС, приложение, ключ и резервные коды
Второй фактор спасает, даже когда пароль уже утёк. Чем СМС хуже приложения, зачем ключи и почему главное в двухфакторке — резервные коды, которые все забывают сохранить.
Пароли утекают. Не потому что ты плохой человек, а потому что их хранят сервисы, и сервисы иногда взламывают. Двухфакторная защита — это второй замок: даже с твоим паролем на руках злоумышленник не войдёт без второй части.
Звучит скучно, настраивается за пять минут, а спасает от самого частого сценария — входа по украденному паролю. Разберёмся, какой второй фактор выбрать и как не запереть в аккаунте самого себя.
Что такое «второй фактор»
Факторы — это разные виды доказательств:
- что ты знаешь — пароль, ПИН;
- что у тебя есть — телефон, ключ, карта;
- кто ты есть — отпечаток, лицо.
Два пароля подряд — это не двухфакторка: оба из одной корзины «знаю». Смысл в том, чтобы для входа понадобились вещи из разных корзин — украсть их сразу сложнее.
Варианты — от слабого к сильному
Код в СМС
Лучше, чем ничего, — и это главное, что про него стоит сказать.
Слабые места: номер можно перевыпустить на чужую СИМ-карту по поддельной доверенности или через сговор в салоне связи; код можно выманить звонком («это служба безопасности, продиктуйте код»); СМС видно на заблокированном экране. Ещё он не работает, когда нет связи — в самолёте или за границей без роуминга.
Код из приложения
Приложение-аутентификатор показывает шестизначный код, который меняется каждые 30 секунд. Работает без связи и без номера: при настройке сервис и приложение один раз обмениваются секретом (тем самым QR-кодом), дальше оба считают коды сами по времени.
Это заметно надёжнее СМС: перевыпуск СИМ-карты не поможет, перехватывать нечего. Слабое место одно — код всё ещё можно ввести на поддельном сайте, если тебя туда заманили. Поэтому приметы фишинга никуда не деваются.
Важно при настройке: многие приложения умеют делать резервную копию секретов. Если телефон потеряется, а копии нет — коды пропадут вместе с ним. Подойдёт любой аутентификатор, который поддерживает стандарт TOTP — их много, выбирай тот, у которого есть резервное копирование или перенос на новый телефон.
Подтверждение в приложении сервиса
«Это вы входите? Да / Нет» — прямо в приложении банка или почты. Удобно, но есть ловушка: если злоумышленник знает пароль, он может долбить запросами в надежде, что ты нажмёшь «Да» не глядя. Правило простое: не ждал входа — жми «Нет» и меняй пароль.
Ключ и ключи доступа
Аппаратный ключ — маленькое устройство в USB или по NFC. Ключи доступа (passkeys) — то же самое, только внутри телефона или компьютера, защищённое отпечатком или ПИН-кодом.
Их главный плюс — их нельзя ввести на поддельном сайте. Ключ проверяет адрес сайта сам и на подделку просто не ответит. Против фишинга это сильнее всего остального в списке.
Минус — поддерживают их пока не все сервисы. Где поддерживают — включай.
ИнКа: Если коротко: СМС — лучше, чем ничего. Приложение — хорошо. Ключ — отлично. А вот «ничего» — это когда твой пароль от почты кто-то уже продаёт.
Главное, что все забывают: резервные коды
При включении двухфакторки многие сервисы показывают десяток резервных кодов — одноразовых, на случай, если телефон потерялся. Их пролистывают, не читая. А через год телефон тонет в озере.
Что с ними делать:
- сохранить сразу, в момент включения — потом их обычно не показывают, только выпускают заново;
- хранить не в том же телефоне: распечатать и убрать к документам, или положить в зашифрованное хранилище вроде нашего Сейфа на флешке;
- использованный код вычеркнуть — каждый срабатывает один раз.
Если коды не сохранил, а телефона уже нет — восстановление доступа обычно идёт через поддержку, с проверкой личности, и занимает дни. Иногда — не получается вовсе.
С чего начать
Не нужно включать всё и везде за вечер. Порядок по важности:
- Почта. Через неё восстанавливаются почти все остальные пароли. Кто захватил почту — захватил всё.
- Госуслуги и банк. Деньги и документы.
- Мессенджеры. В большинстве есть «облачный пароль» или ПИН для входа на новом устройстве — включи: это защищает от угона через перехваченный код.
- Рабочие аккаунты — если ИТ ещё не включило за тебя.
- Остальное — по мере сил.
И на каждом шаге — сохранить резервные коды.
Частые вопросы
А если сервис предлагает только СМС? Включай СМС. Это всё равно сильно лучше, чем один пароль. Плюс можно попросить у оператора связи запрет на перевыпуск СИМ-карты без личного визита — у многих такая услуга есть.
Двухфакторка — значит, пароль можно попроще? Нет. Второй фактор — страховка, а не замена. Простой пароль подбирают, а дальше тебя атакуют уже кодами. Длинную и при этом запоминаемую фразу поможет придумать наш генератор фраз-паролей.
Не надоест каждый раз вводить код? Большинство сервисов спрашивают его только на новом устройстве или раз в несколько недель. На своём телефоне ты его почти не заметишь.
ИнКа: Самый надёжный второй фактор — тот, который ты реально включил. Идеальный, но «потом» — не считается.