Двофакторна автентифікація: як вона справді рятує акаунти

Зловмиснику, який украв ваш пароль, двофакторна автентифікація лишає прикрий фінал: украдений пароль підходить, а ввійти все одно не можна, бо сервіс просить підтвердження з пристрою, якого в злодія немає і не буде. Ця проста ідея закриває наймасовіший сценарій зламу: автоматичний вхід за витеклою із чужого сервісу парою логін-пароль. Лишилося вибрати правильний другий фактор під свої задачі, увімкнути його без помилок і не втратити разом із телефоном: розберімо все по порядку.

Що таке фактор

Фактори це незалежні докази, що ви це ви: те, що ви знаєте, зазвичай пароль; те, що у вас є, телефон або ключ; те, чим ви є, біометрія. Двофакторність починається, коли перевіряються два різні типи. Пароль плюс секретне запитання це все ще один тип, два знання, і витік накриває обидва. Пароль плюс код із телефона вже чесні два типи: знання й володіння, і зламнику треба здобути обидва одночасно.

Порівняння других факторів

Застосунок-генератор це той самий TOTP: одноразові коди, що живуть пів хвилини й створюються на пристрої без жодного звʼязку. СМС вразливіші: код можна виманити, а номер увести перевипуском картки, тому банківському й поштовому захисту краще жити на генераторі або ключі. Пуші зручні, але породили власну атаку: жертву бомблять запитами, поки та не натисне «підтвердити» від утоми; лікується це цифровим зіставленням, коли в пуш треба ввести число з екрана входу.

Спільне слабке місце всіх кодів: їх можна виманити фішингом у реальному часі, підроблена сторінка пересилає код справжньому сайту за секунди. Повністю цю гілку закривають лише апаратні ключі та паскі: ключ відповідає на запит конкретного домену, і підробленому сайту відповідати просто нічим. Як улаштовані самі паскі, ми розбирали у статті про паролі.

Чому «у мене нічого красти» не працює

Другий фактор вимикають з аргументом «мій акаунт нікому не потрібен». Потрібен, просто не так, як здається: пошта звичайної людини це ключ відновлення від її банку й магазинів, соцмережа це довіра друзів для прохань про гроші, а ігровий акаунт це роками куплений інвентар. Злодії працюють не точково, а конвеєром по мільйонах витеклих паролів, і в цей конвеєр потрапляють усі підряд. Ціна захисту при цьому смішна: пʼять зайвих секунд на вхід із нового пристрою, бо перевірені пристрої сервіси запамʼятовують і повторно код не питають.

Робочих акаунтів це стосується вдвічі: доступ співробітника це двері в компанію, і корпоративні сервіси дедалі частіше не питають, чи вмикати другий фактор, а просто вимагають його. Домашня звичка тут заощаджує нерви на роботі.

Вмикаємо без втрати доступу

1. Почніть із пошти: вона відновлює всі інші акаунти, і її захист головніший за банківський.
2. У налаштуваннях безпеки виберіть застосунок-генератор: будь-який зрілий, хоч вбудований у менеджер паролів. СМС залиште запасним способом, якщо сервіс дозволяє.
3. Одразу збережіть резервні коди: роздруківка вдома або запис у менеджері паролів. Це ваш вхід на випадок утрати телефона.
4. Повторіть для банку, основних соцмереж і робочих сервісів. На важливих увімкніть паскі, де він є.
5. Витратьте хвилину на ревізію: у тих самих налаштуваннях видно, які пристрої та способи входу вже привʼязані. Зайві видаліть.

Невелика деталь, що заощаджує час: під час перенесення коду із застосунку багато сервісів показують QR-код секрету один раз. Якщо фотографуєте його «на памʼять», зберігайте знімок у зашифрованому місці, а не в спільній галереї із хмарною синхронізацією: цей QR еквівалентний самому фактору.

Загубив телефон: що далі

Штатний сценарій, якщо готувалися: ставите генератор на новий телефон і входите за резервними кодами, після чого перепривʼязуєте фактор. Багато генераторів уміють шифровані резервні копії, тоді коди переїжджають самі. Якщо не готувалися, лишається відновлення через підтримку сервісу з перевіркою особи: процедура довга навмисно, саме нею користуються й викрадачі. Звідси головне правило всієї статті: резервні коди зберігаються в момент увімкнення захисту, а не «потім».

Куди це рухається

Індустрія поступово прибирає і пароль, і окремий другий крок: паскі поєднує обидва фактори в одній дії, володіння пристроєм підтверджується біометрією. Поки перехід триває, розумний набір виглядає так: менеджер паролів, генератор кодів для всього важливого, паскі там, де пропонують, і резервні коди в надійному місці. А якщо акаунт уже повівся дивно, не чекайте: покроковий план у статті про злам акаунта, і що раніше ввімкнено другий фактор, то коротшим виявиться цей план.