Двофакторна автентифікація: навіщо вона кожному акаунту

Пароль сам по собі — єдина точка відмови. Якщо його вгадали, повторно використали на сайті, який потім зламали, або ввели на переконливій підробній сторінці входу, будь-хто з цим паролем може увійти від вашого імені. Двофакторна автентифікація, скорочено 2FA, додає другу перевірку, що не залежить від того, що ви знаєте: щось, що ви маєте, наприклад телефон чи фізичний ключ, або щось, чим ви є, наприклад відбиток пальця.

У результаті викрадений пароль перестає бути достатнім. Зловмисникові, який знає ваш пароль, усе одно потрібен код із вашого застосунку-автентифікатора, дотик до ключа безпеки чи підтвердження на довіреному пристрої. Багато атак на звичайні акаунти автоматизовані й випадкові, тож цей додатковий крок виводить вас із групи легких цілей і значно ускладнює перехоплення акаунта.

2FA не замінює хороший пароль. Найкраще вона працює поверх унікального довгого пароля, що зберігається в менеджері паролів. Разом вони покривають слабкі місця одне одного: унікальний пароль обмежує шкоду від витоків деінде, а другий фактор захищає вас, коли пароль усе-таки витік.

Застосунки-автентифікатори генерують новий короткий код, зазвичай із шести цифр і зазвичай кожні 30 секунд, із секретного ключа, яким сервіс ділиться із застосунком, коли ви скануєте QR-код. Вони працюють офлайн, зазвичай безкоштовні й підтримуються більшістю великих платформ, тож для більшості людей це розумний вибір за замовчуванням.

Апаратні ключі безпеки — це невеликі USB-, NFC- чи Bluetooth-пристрої, до яких ви торкаєтеся або які вставляєте під час входу. Ключі доступу (passkey) працюють за схожим принципом, але зберігаються на вашому телефоні чи комп’ютері й розблоковуються відбитком пальця, обличчям або PIN-кодом пристрою. Обидва варіанти прив’язані до справжньої адреси сайту, тож не реагують на підробну фішингову сторінку. Це найнадійніші варіанти, доступні звичайним користувачам.

Push-запити просять вас підтвердити вхід на пристрої, де вже виконано вхід. SMS і голосові коди надсилають одноразовий код на ваш номер телефону. Резервні коди — це список одноразових кодів на крайній випадок, коли звичний метод недоступний. Більшість сервісів дозволяють ввімкнути більш ніж один метод, і так варто робити: один основний метод і принаймні один запасний.

Коди в текстових повідомленнях набагато кращі, ніж відсутність другого фактора, але вони залежать від вашого номера телефону, а номер телефону не повністю у вашій владі. Під час SIM-свопу зловмисник переконує чи підкуповує працівника мобільного оператора перенести ваш номер на SIM-картку, яка є в нього. Відтоді всі коди, призначені вам, приходять на його телефон.

SMS-коди можна також виманити фішингом, як і паролі: підробна сторінка входу просить код, а зловмисник за кілька секунд передає його на справжній сайт. Доступ можна втратити й із прозаїчніших причин, наприклад, коли ви подорожуєте без роумінгу, змінюєте оператора або даєте закінчитися передоплаченому номеру, який згодом передають комусь іншому.

Якщо сервіс пропонує застосунок-автентифікатор, ключ безпеки чи ключ доступу, перейдіть на один із них, а SMS залиште лише запасним варіантом або взагалі приберіть, якщо сервіс це дозволяє. Коли SMS — єдиний варіант, захистіть сам номер: багато операторів дозволяють задати PIN-код облікового запису або блокування перенесення, що ускладнює несанкціоновану передачу номера.

Починайте з акаунтів, що відкривають доступ до всього іншого. Спершу основна електронна адреса, бо на неї приходять посилання для скидання пароля, далі акаунт Apple, Google чи Microsoft, менеджер паролів і будь-який акаунт із грошима чи цінними даними. Захистивши їх, переходьте до соцмереж, месенджерів, як-от Telegram і Discord, та решти.

Ця опція зазвичай розташована в налаштуваннях безпеки акаунта під назвою на кшталт «двоетапна перевірка», «двофакторна автентифікація» чи «підтвердження входу». Оберіть варіант із застосунком-автентифікатором або ключем безпеки, відскануйте QR-код застосунком і введіть код, який він показує, щоб підтвердити, що все працює. Якщо сервіс підтримує ключі доступу, додайте такий на телефоні й комп’ютері: це спосіб входу, який водночас зручний і стійкий до фішингу.

Перш ніж закрити сторінку налаштувань, збережіть резервні коди, додайте другий метод, якщо це можливо, і перевірте, що резервна електронна адреса та номер телефону актуальні й належать вам. Потім вийдіть і зайдіть знову, щоб побачити, як виглядає запит, ще до того, як ви від нього залежатимете.

Резервні коди — це ваш шлях назад, коли телефон загублено, зламано чи скинуто. Кожен код працює лише один раз, а в багатьох сервісах генерація нового набору скасовує старий. Ставтеся до них як до запасного ключа від дому: незамінний, коли потрібен, марний, якщо ви не можете його знайти, і небезпечний, якщо його знайде сторонній.

Хороші місця для зберігання — надрукована копія поряд із важливими документами або зашифрована нотатка в менеджері паролів, яку можна відкрити без телефона з вашим автентифікатором. Погані місця — ваша поштова скринька, незахищений застосунок нотаток, скріншот у галереї чи файл на тому самому пристрої, що генерує коди, бо втрата цього єдиного пристрою повністю закриє вам доступ.

Викреслюйте кожен код після використання і генеруйте новий набір, коли кодів залишається мало. Якщо підозрюєте, що хтось бачив ваші коди, одразу згенеруйте їх заново, щоб старий список перестав діяти.

Якщо ви отримали акаунт від когось іншого — чи то колега передає робочий акаунт проєкту, чи то покупка на маркетплейсі цифрових товарів, — виходьте з того, що попередній власник може досі мати доступ. Мета — зробити так, щоб увійти могли тільки ви. Завжди користуйтеся акаунтом відповідно до умов використання бренду.

Дійте в такому порядку: змініть пароль на новий унікальний, оновіть резервну пошту й телефон на ті, які ви контролюєте, видаліть будь-який автентифікатор, ключ безпеки чи довірений пристрій, яких ви не додавали, потім увімкніть 2FA зі своїм застосунком і згенеруйте свіжі резервні коди. Насамкінець перегляньте активні сеанси й вийдіть з усіх пристроїв, крім власного.

На rStock доставлений вміст з’являється на сторінці вашого замовлення як запис про доставку, пов’язаний із замовленням, тож дані можна скопіювати звідти просто в менеджер паролів. Ваші кошти утримуються, а не передаються магазину одразу, і якщо доставлений акаунт не працює так, як описано, ви можете відкрити спір протягом обмеженого часу після доставки. Спочатку відповідає магазин, а якщо домовитися не вдається, можна залучити модератора. Якщо захистити й перевірити акаунт без зволікань, легше помітити будь-яку проблему, поки цей час ще не минув. rStock не пов’язаний із жодним брендом, названим у цій статті.

Підтвердження push-запиту, який ви не ініціювали, — добре відомий спосіб, як 2FA зазнає невдачі. Якщо запит з’являється, коли ви не входите, відхиліть його й змініть пароль, бо хтось його вже має. Те саме стосується людини, яка телефонує чи пише й просить продиктувати код: законним сервісам не потрібно, щоб ви ділилися одноразовим кодом із кимось.

Інша помилка — захистити акаунт за допомогою 2FA, але залишити відкритим старий слабкий шлях відновлення, наприклад покинуту електронну адресу чи номер телефону, яким ви більше не користуєтеся. Зловмисники обходять найміцніші двері, якщо слабші відімкнені, тож переглядайте варіанти відновлення щоразу, коли змінюєте телефон чи поштового провайдера.

Нарешті, не чекайте, доки прибуде новий телефон, щоб планувати перенесення. Перш ніж замінити чи скинути пристрій, перенесіть коди автентифікатора, переконайтеся, що вони працюють на новому пристрої, і лише потім стирайте старий. Кілька хвилин підготовки можуть заощадити години відновлення акаунта.