Приложения-аутентификаторы и пароли приложений: как они работают

Приложение-аутентификатор создаёт одноразовые пароли на основе времени — этот метод обычно называют TOTP. Когда вы включаете двухфакторную аутентификацию через приложение, сервис показывает QR-код. В нём содержится секретный ключ, и при сканировании копия этого ключа сохраняется в приложении. С этого момента у сервиса и у вашего телефона общий секрет, и передавать его по сети больше не нужно.

Чтобы создать код, приложение объединяет секрет с текущим временем, округлённым до короткого интервала, обычно 30 секунд, и пропускает результат через стандартную криптографическую функцию. Полученное значение сокращается до короткого числа, как правило из шести цифр. Сервер выполняет такой же расчёт на своей стороне и сравнивает два результата. Поскольку обеим сторонам нужны только секрет и часы, приложение работает без мобильного интернета и Wi-Fi.

Из этого принципа вытекает и самая частая проблема: коды отклоняются, хотя вы ввели их правильно. Если часы телефона сбились, он рассчитывает коды для неправильного временного окна. Обычно помогает включить автоматическую установку даты и времени, а в некоторых приложениях есть и отдельная функция коррекции времени.

Любое приложение с поддержкой стандартного метода TOTP подходит для большинства сервисов, поэтому на деле выбор сводится к тому, как приложение обращается с вашими секретами. У крупных платформ есть собственные приложения, среди них Google Authenticator и Microsoft Authenticator, а многие менеджеры паролей тоже умеют хранить TOTP-коды.

Ищите возможность резервного копирования или экспорта кодов: если приложение хранит их только на одном телефоне, потеря телефона превращается в потерю доступа. Если приложение синхронизируется с облачным аккаунтом, убедитесь, что этот аккаунт сам надёжно защищён, и отдавайте предпочтение приложениям, которые шифруют резервную копию. Блокировка приложения отпечатком, лицом или PIN-кодом защитит коды, если кто-то возьмёт в руки ваш разблокированный телефон.

Некоторые аутентификаторы также умеют подтверждать вход push-уведомлением для аккаунтов своей компании: вместо ввода кода вы просто нажимаете кнопку подтверждения. Это удобно, но работает только с этим провайдером. Для всех остальных сервисов приложение ведёт себя как обычный генератор кодов.

В настройках безопасности аккаунта выберите вариант с приложением-аутентификатором. Отсканируйте QR-код приложением или введите ключ настройки вручную, если сканировать не получается. Затем сервис попросит ввести текущий код, чтобы убедиться, что настройка прошла успешно. Не пропускайте этот шаг и не закрывайте страницу, пока код не будет принят.

Если приложение позволяет, давайте каждой записи понятное название, особенно когда у вас несколько аккаунтов в одном сервисе. Запись, в которой указано только название бренда, легко спутать с другой, а удаление не той записи может лишить вас доступа.

Заодно сохраните резервные коды или коды восстановления, которые предлагает сервис. Это самый простой способ вернуться в аккаунт, если телефон с аутентификатором потеряется раньше, чем вы успеете сделать резервную копию кодов.

Самое надёжное правило простое: настраивайте новый телефон, пока старый ещё работает. Не стирайте, не продавайте и не сдавайте старое устройство по программе обмена, пока все коды не перенесены и не проверены.

Во многих аутентификаторах есть функция переноса или экспорта: старый телефон показывает один или несколько QR-кодов, а новый их сканирует. Другие приложения восстанавливают записи из зашифрованной облачной копии, когда вы входите в свой аккаунт на новом устройстве. После переноса войдите в несколько аккаунтов с новыми кодами и убедитесь, что они подходят.

Если в приложении нет функции переноса, переносите аккаунты по одному. Войдите в каждый сервис, откройте настройки двухфакторной аутентификации, выберите добавление или смену аутентификатора, отсканируйте новый QR-код новым телефоном и подтвердите код. Во многих сервисах старая запись перестаёт работать после замены секрета, поэтому потом удалите её, чтобы не путаться. На время переноса держите резервные коды под рукой на случай, если что-то пойдёт не так на полпути.

Пароль приложения — это длинный случайно сгенерированный пароль, который позволяет одному конкретному приложению или устройству входить в ваш аккаунт без двухфакторной аутентификации. Он нужен для старых программ, которые понимают только логин и пароль и не умеют показывать запрос кода или открывать страницу входа.

Аккаунты Google, Microsoft и Yahoo, а также ряда других сервисов позволяют создавать пароли приложений в настройках безопасности, в большинстве случаев только после включения двухфакторной аутентификации. Некоторые типы аккаунтов, например отдельные рабочие или учебные аккаунты либо аккаунты в программах усиленной защиты, могут вообще не поддерживать эту функцию. Обычно пароль приложения показывают только один раз, при создании, поэтому сразу вставьте его в нужное приложение.

Поскольку пароль приложения обходит второй фактор, относитесь к нему как к полноценному паролю от почтового ящика, который он открывает. Создавайте отдельный пароль для каждого приложения или устройства, давайте ему понятное название, если сервис это позволяет, и нигде больше его не используйте.

Современные почтовые приложения входят в аккаунты крупных провайдеров через окно входа, похожее на браузерное, которое само обрабатывает двухфакторную аутентификацию, поэтому пароль приложения им не нужен. Обычно он требуется, только когда программа или устройство подключается по простым настройкам IMAP, POP или SMTP с обычным полем для пароля. Это старые настольные почтовые клиенты, некоторые мобильные почтовые приложения, сканеры и принтеры, отправляющие письма, программы резервного копирования, скрипты и устаревшие умные устройства.

Хорошая проверка — сначала попробовать обычный вход. Если приложение открывает страницу входа самого провайдера, пользуйтесь ею. Если оно предлагает только настройки сервера и после включения двухфакторной аутентификации упорно отклоняет правильный пароль, это сигнал создать пароль приложения, ввести его вместо обычного пароля и оставить остальные настройки без изменений.

Провайдеры постепенно отказываются от входа по простому паролю в сторонних приложениях, так что пароль приложения, который работает сегодня, со временем может перестать поддерживаться. Если нужная вам программа перестала подключаться, прежде чем создавать очередной пароль приложения, проверьте, не поддерживает ли её новая версия современный способ входа.

Время от времени просматривайте пароли приложений в настройках безопасности аккаунта и отзывайте те, которыми больше не пользуетесь, особенно для проданных устройств и удалённых программ. Одни провайдеры показывают каждый пароль приложения отдельно, другие позволяют удалить их только все сразу. В некоторых сервисах смена основного пароля тоже отзывает существующие пароли приложений, так что будьте готовы создать новые.

Если почтовый аккаунт достался вам от кого-то другого, например через маркетплейс цифровых товаров вроде rStock, удалите пароли приложений, которые создавали не вы, и отвяжите чужие аутентификаторы, затем настройте свой аутентификатор и создайте новые резервные коды. На rStock полученные данные появляются на странице заказа в виде записи о доставке, привязанной к заказу, поэтому скопируйте их в менеджер паролей, прежде чем что-то менять. Используйте любой полученный аккаунт в соответствии с условиями использования провайдера.

И наконец, по возможности храните приложение-аутентификатор, резервные коды и пароли приложений отдельно друг от друга. Одного украденного телефона или одной утёкшей заметки не должно хватать, чтобы кто-то получил все ключи от вашей почты.