Двофакторна автентифікація: як увімкнути і що надійніше за SMS
Пароль самотужки вже не захист. Другий крок входу блокує більшість атак, а застосунок-автентифікатор надійніший за SMS-код.
Двофакторна автентифікація (2FA) означає, що для входу потрібен не лише пароль, а й другий доказ: код, підтвердження на телефоні чи фізичний ключ. Якщо пароль витік або його підібрали, зловмисник усе одно застряє на другому кроці. Вмикати її варто насамперед там, де лежать гроші й листування: у пошті, банку, маркетплейсах, Apple ID або Google-акаунті. Найкращий варіант серед масових: ключ доступу (passkey) або застосунок-автентифікатор. SMS краще, ніж нічого, але це найслабший із способів.
Чому SMS слабше за застосунок
Код у SMS приходить на номер телефону, а номер можна відібрати від людини. Шахраї телефонують «від оператора» чи банку й просять назвати код, або домагаються перевипуску SIM-картки (так звана SIM-заміна). Далі всі коди йдуть уже їм. Інший сценарій: фальшива сторінка входу, куди людина сама вводить і пароль, і код із повідомлення.
Американський стандарт NIST щодо цифрової ідентифікації відносить підтвердження через SMS і голосові дзвінки до «обмежених» (restricted) способів. Сервіси мають пропонувати принаймні одну альтернативу і перевіряти ризики на кшталт заміни SIM чи перенесення номера. Google у своїй довідці прямо називає код у SMS чи дзвінку найменш захищеним варіантом через атаки на номер телефону.
Код із застосунку (Google Authenticator, Microsoft Authenticator та подібні) генерується на самому телефоні й не йде через оператора. Він працює без мережі, а перехопити його у мобільного оператора неможливо. Слабке місце інше: підроблений сайт усе ще може виманити такий код, якщо людина введе його туди. Від цього захищають лише ключі доступу та фізичні ключі безпеки: вони перевіряють, на якому саме сайті ви входите, і на фальшивому просто не спрацюють.
| Спосіб | Захищеність | Коментар |
|---|---|---|
| SMS або дзвінок | найнижча | залежить від номера, вразливий до SIM-заміни |
| Код із застосунку | середня й вища | працює офлайн, але код можна ввести на фальшивому сайті |
| Підтвердження на телефоні (push) | середня | зручно, але не тисніть «Так», якщо вхід почали не ви |
| Ключ доступу або фізичний ключ | найвища | стійкі до фішингу |
Як увімкнути
Google. Відкрийте myaccount.google.com, розділ «Безпека», і ввімкніть двоетапну перевірку. Додайте бажаний спосіб: ключ доступу, підтвердження на телефоні або код із застосунку. SMS залиште лише запасним.
Apple. На iPhone: «Налаштування», ваше ім’я, «Вхід і безпека», двофакторна автентифікація. Для більшості акаунтів вона вже ввімкнена. Якщо акаунт створено одразу з нею, вимкнути її не можна, а якщо вмикали нещодавно, відкотити можна протягом двох тижнів. Код приходить на довірені пристрої або довірений номер.
Інші сервіси. У налаштуваннях безпеки шукайте «двоетапна перевірка», «2FA» або «автентифікатор». Сервіс покаже QR-код: скануєте його в застосунку-автентифікаторі, а той далі видає шестицифровий код, який оновлюється кожні кілька десятків секунд.
Як не заблокувати самого себе
- Збережіть резервні коди, які видає сервіс (у Google це список восьмицифрових кодів). Роздрукуйте або покладіть у менеджер паролів, але не тримайте на тому ж телефоні, що й автентифікатор.
- Перш ніж міняти чи скидати телефон, перенесіть акаунти в автентифікаторі на новий. Одні застосунки роблять резервну копію, інші потребують окремого експорту.
- Залиште запасний спосіб входу: другий ключ, довірений номер або резервні коди.
- Пошту захищайте першою: через неї скидають паролі від усього решти.
Правила, які не залежать від способу
Код підтвердження нікому не диктують: ні «службі безпеки банку», ні «оператору», ні кур’єру. Google прямо попереджає, що ніколи не телефонує по код. Якщо код прийшов, а вхід починали не ви, це сигнал, що пароль уже відомий: негайно змініть його. Схеми, за якими шахраї виманюють коди й дані карток, докладніше розібрано в матеріалі про телефонних шахраїв.
Із банківськими застосунками ситуація своя: частина банків підтверджує вхід і платежі через застосунок із біометрією чи пін-кодом, частина досі надсилає SMS. Який саме спосіб діє у вашому банку і чи можна його змінити, дивіться в налаштуваннях безпеки застосунку або в умовах обслуговування.