Автентифікатори та паролі застосунків: як вони працюють

Застосунок-автентифікатор створює одноразові паролі на основі часу — метод, який зазвичай називають TOTP. Коли ви вмикаєте двофакторну автентифікацію через застосунок, сервіс показує QR-код. Він містить секретний ключ, і його сканування зберігає копію ключа всередині застосунку. Відтоді сервіс і ваш телефон мають той самий секрет, і його більше не потрібно передавати мережею.

Щоб створити код, застосунок поєднує секрет із поточним часом, округленим до короткого інтервалу, зазвичай 30 секунд, і пропускає результат через стандартну криптографічну функцію. Потім скорочує результат до короткого числа, зазвичай із шести цифр. Сервер виконує таке саме обчислення у себе й порівнює два результати. Оскільки обом сторонам потрібні лише секрет і годинник, застосунок працює без мобільного інтернету чи Wi-Fi.

Ця будова пояснює найпоширенішу проблему: коди відхиляються, хоча ви ввели їх правильно. Якщо годинник вашого телефона збивається, він обчислює коди для неправильного часового вікна. Зазвичай допомагає ввімкнути автоматичне оновлення дати й часу, а деякі застосунки мають і параметр корекції часу.

Будь-який застосунок, що підтримує стандартний метод TOTP, працює з більшістю сервісів, тож реальний вибір зводиться до того, як застосунок поводиться з вашими секретами. Великі платформи пропонують власні застосунки, зокрема Google Authenticator і Microsoft Authenticator, а багато менеджерів паролів також уміють зберігати коди TOTP.

Шукайте спосіб зробити резервну копію чи експорт кодів, бо застосунок, що тримає їх лише на одному телефоні, перетворює втрату телефона на блокування доступу. Якщо застосунок синхронізується з хмарним акаунтом, подбайте, щоб і той акаунт був добре захищений, і віддавайте перевагу застосункам, що шифрують резервну копію. Блокування застосунку відбитком пальця, обличчям чи PIN-кодом додає захисту, якщо хтось візьме ваш розблокований телефон.

Деякі автентифікатори також пропонують push-підтвердження для акаунтів своєї компанії, коли ви торкаєтеся, щоб підтвердити вхід, замість того щоб вводити код. Це зручно, але працює лише з цим провайдером. Для будь-яких інших сервісів застосунок поводиться як стандартний генератор кодів.

У налаштуваннях безпеки акаунта оберіть параметр налаштування застосунку-автентифікатора. Відскануйте QR-код застосунком або введіть ключ налаштування вручну, якщо сканувати не можете. Тоді сервіс попросить поточний код, щоб підтвердити, що налаштування спрацювало. Не пропускайте цей крок і не закривайте сторінку, доки код не буде прийнято.

Дайте кожному запису зрозумілу назву, якщо застосунок це дозволяє, особливо коли ви керуєте кількома акаунтами на одному сервісі. Запис, який показує лише назву бренду, легко сплутати з іншим, а видалення не того запису може позбавити вас доступу.

Одночасно збережіть резервні коди чи коди відновлення, які пропонує сервіс. Це найпростіший шлях назад, якщо телефон із автентифікатором буде втрачено, поки ви ще не зробили резервну копію кодів.

Найбезпечніше правило просте: налаштуйте новий телефон, поки старий ще працює. Не стирайте, не продавайте й не здавайте старий пристрій, доки всі коди не буде перенесено й перевірено.

Багато застосунків-автентифікаторів мають функцію перенесення чи експорту, яка показує на старому телефоні один або кілька QR-кодів, щоб новий телефон їх відсканував. Інші відновлюють ваші записи із зашифрованої хмарної копії, коли ви входите на новому пристрої. Після перенесення увійдіть у кілька акаунтів за допомогою нових кодів, щоб переконатися, що вони збігаються.

Якщо застосунок не має функції перенесення, переносьте акаунти по одному. Увійдіть у кожен сервіс, відкрийте його налаштування двофакторної автентифікації, оберіть додавання чи зміну автентифікатора, відскануйте новий QR-код новим телефоном і підтвердьте код. У багатьох сервісах старий запис перестає працювати, щойно секрет замінено, тож видаліть його потім, щоб не плутатися. Тримайте резервні коди напоготові під час перенесення на випадок, якщо щось піде не так посередині.

Пароль застосунку — це довгий випадково згенерований пароль, що дозволяє одному конкретному застосунку чи пристрою входити до вашого акаунта без проходження двофакторної автентифікації. Він існує для старішого програмного забезпечення, яке розуміє лише ім’я користувача й пароль і не вміє показати запит коду чи відкрити сторінку входу.

Акаунти Google, Microsoft і Yahoo, серед інших, дозволяють створювати паролі застосунків у налаштуваннях безпеки акаунта, здебільшого лише після ввімкнення двоетапної перевірки. Деякі типи акаунтів, як-от певні робочі чи навчальні акаунти або акаунти в найсуворіших програмах безпеки, можуть їх узагалі не пропонувати. Кожен пароль застосунку зазвичай показують лише один раз, під час створення, тож вставте його в застосунок одразу.

Оскільки пароль застосунку оминає другий фактор, ставтеся до нього як до повного пароля від скриньки, яку він захищає. Створюйте окремий для кожного застосунку чи пристрою, давайте йому описову назву там, де сервіс це дозволяє, і не використовуйте його більше ніде.

Сучасні поштові застосунки входять у сервіси великих провайдерів через вікно входу, схоже на браузерне, яке саме обробляє двофакторну автентифікацію, тож пароль застосунку їм не потрібен. Він зазвичай потрібен лише тоді, коли програма чи пристрій підключається за простими налаштуваннями IMAP, POP або SMTP із полем для звичайного пароля: старіші настільні поштові клієнти, деякі мобільні поштові застосунки, сканери й принтери, що надсилають пошту, засоби резервного копіювання, скрипти та старіші розумні пристрої.

Простий спосіб перевірити — спершу спробувати звичайний вхід. Якщо застосунок відкриває власну сторінку входу провайдера, користуйтеся нею. Якщо він пропонує лише налаштування сервера й далі відхиляє ваш правильний пароль після ввімкнення двоетапної перевірки, це знак створити пароль застосунку, ввести його замість звичайного пароля й не чіпати решту налаштувань.

Провайдери поступово відводять людей від входу за простим паролем для сторонніх застосунків, тож пароль застосунку, що працює сьогодні, згодом може перестати підтримуватися. Коли програма, на яку ви покладаєтеся, перестає підключатися, перевірте, чи новіша версія підтримує сучасний метод входу, перш ніж створювати ще один пароль застосунку.

Час від часу переглядайте паролі застосунків у налаштуваннях безпеки акаунта й відкликайте ті, якими більше не користуєтеся, особливо для пристроїв, які ви продали, чи програм, які видалили. Одні провайдери показують кожен пароль застосунку окремо, інші дозволяють лише прибрати їх усі разом. У деяких сервісах зміна основного пароля також скасовує наявні паролі застосунків, тож будьте готові згодом створити нові.

Якщо ви отримали електронну скриньку від когось іншого, наприклад через маркетплейс цифрових товарів, як-от rStock, видаліть усі паролі застосунків і записи автентифікатора, яких не створювали ви, а потім налаштуйте власний автентифікатор і згенеруйте нові резервні коди. На rStock доставлений вміст з’являється на сторінці вашого замовлення як запис про доставку, пов’язаний із замовленням, тож скопіюйте дані в менеджер паролів, перш ніж їх змінювати. Користуйтеся будь-яким отриманим акаунтом відповідно до умов використання провайдера й пам’ятайте, що rStock не пов’язаний із Google, Microsoft, Yahoo чи будь-яким іншим провайдером, названим у цій статті.

Нарешті, за можливості тримайте застосунок-автентифікатор, резервні коди й паролі застосунків окремо одне від одного. Одного викраденого телефона чи витеклої нотатки ніколи не має бути достатньо, щоб віддати комусь усі ключі від вашої пошти.