Двухфакторная аутентификация: как она спасает аккаунты

Злоумышленнику, укравшему ваш пароль, двухфакторная аутентификация оставляет обидный финал: украденный пароль подходит, а войти всё равно нельзя, потому что сервис просит подтверждение с устройства, которого у вора нет и не будет. Эта простая идея закрывает самый массовый сценарий взлома: автоматический вход по утёкшей с чужого сервиса паре логин-пароль. Осталось выбрать правильный второй фактор под свои задачи, включить его без ошибок и не потерять вместе с телефоном: разберём всё по порядку.

Что такое фактор

Факторы это независимые доказательства, что вы это вы: то, что вы знаете, обычно пароль; то, что у вас есть, телефон или ключ; то, чем вы являетесь, биометрия. Двухфакторность начинается, когда проверяются два разных типа. Пароль плюс секретный вопрос это всё ещё один тип, два знания, и утечка накрывает оба. Пароль плюс код с телефона уже честные два типа: знание и владение, и взломщику нужно добыть оба одновременно.

Сравнение вторых факторов

Приложение-генератор это тот самый TOTP: одноразовые коды, живущие полминуты и создаваемые на устройстве без всякой связи. СМС уязвимее: код можно выманить, а номер увести перевыпуском карты, поэтому банковской и почтовой защите лучше жить на генераторе или ключе. Пуши удобны, но породили собственную атаку: жертву бомбят запросами, пока та не нажмёт «подтвердить» от усталости; лечится это цифровым сопоставлением, когда в пуш нужно ввести число с экрана входа.

Общее слабое место всех кодов: их можно выманить фишингом в реальном времени, поддельная страница пересылает код настоящему сайту за секунды. Полностью эту ветку закрывают только аппаратные ключи и пасскеи: ключ отвечает на запрос конкретного домена, и поддельному сайту отвечать просто нечем. Как устроены сами пасскеи, мы разбирали в статье о паролях.

Почему «у меня нечего красть» не работает

Второй фактор отключают с аргументом «мой аккаунт никому не нужен». Нужен, просто не так, как кажется: почта обычного человека это ключ восстановления от его банка и магазинов, соцсеть это доверие друзей для просьб о деньгах, а игровой аккаунт это годами купленный инвентарь. Воры работают не точечно, а конвейером по миллионам утёкших паролей, и в этот конвейер попадают все подряд. Цена защиты при этом смешная: пять лишних секунд на вход с нового устройства, потому что проверенные устройства сервисы запоминают и повторно код не спрашивают.

Рабочих аккаунтов это касается вдвойне: доступ сотрудника это дверь в компанию, и корпоративные сервисы всё чаще не спрашивают, включать ли второй фактор, а просто требуют его. Домашняя привычка здесь экономит нервы на работе.

Включаем без потери доступа

1. Начните с почты: она восстанавливает все остальные аккаунты, и её защита главнее банковской.
2. В настройках безопасности выберите приложение-генератор: любое зрелое, хоть встроенное в менеджер паролей. СМС оставьте запасным способом, если сервис позволяет.
3. Сразу сохраните резервные коды: распечатка дома или запись в менеджере паролей. Это ваш вход на случай потери телефона.
4. Повторите для банка, основных соцсетей и рабочих сервисов. На важных включите пасскей, где он есть.
5. Потратьте минуту на ревизию: в тех же настройках видно, какие устройства и способы входа уже привязаны. Лишние удалите.

Небольшая деталь, экономящая время: при переносе кода из приложения многие сервисы показывают QR-код секрета один раз. Если фотографируете его «на память», храните снимок в зашифрованном месте, а не в общей галерее с облачной синхронизацией: этот QR эквивалентен самому фактору.

Потерял телефон: что дальше

Штатный сценарий, если готовились: ставите генератор на новый телефон и входите по резервным кодам, после чего перепривязываете фактор. Многие генераторы умеют шифрованные резервные копии, тогда коды переезжают сами. Если не готовились, остаётся восстановление через поддержку сервиса с проверкой личности: процедура долгая намеренно, именно ей пользуются и угонщики. Отсюда главное правило всей статьи: резервные коды сохраняются в момент включения защиты, а не «потом».

Куда это движется

Индустрия постепенно убирает и пароль, и отдельный второй шаг: пасскей совмещает оба фактора в одном действии, владение устройством подтверждается биометрией. Пока переход идёт, разумный набор выглядит так: менеджер паролей, генератор кодов для всего важного, пасскеи там, где предлагают, и резервные коды в надёжном месте. А если аккаунт уже повёл себя странно, не ждите: пошаговый план в статье о взломе аккаунта, и чем раньше включён второй фактор, тем короче этот план окажется.