Що таке 2FA і як захистити обліковий запис?
Автор: Редакція Domeny.ForSale Опубліковано
Коротко: 2FA — це двофакторна автентифікація, тобто підтвердження особи під час входу за допомогою двох різних типів захисту, наприклад пароля й коду із застосунку на телефоні. Завдяки цьому самого викраденого пароля зазвичай недостатньо, щоб увійти в обліковий запис. Якщо сервіс дає вибір, віддавайте перевагу ключу безпеки або застосунку для автентифікації замість SMS і відразу подбайте про спосіб відновлення доступу.
Як працює 2FA і що означають два фактори?
Автентифікація — це перевірка того, чи є людина, яка намагається ввійти, тією, за кого себе видає. Пароль підтверджує знання секрету, але його можна виманити, вгадати або отримати внаслідок витоку даних. 2FA додає другий, незалежний тип підтвердження.
Фактори автентифікації належать до трьох основних груп:
- Щось, що ви знаєте — наприклад, пароль або PIN.
- Щось, що ви маєте — наприклад, ключ безпеки або телефон із застосунком, який генерує коди.
- Щось, що є вашою фізичною ознакою — наприклад, біометрична характеристика, яку перевіряє сканер відбитка пальця.
Пароль і відповідь на запитання про дівоче прізвище матері не є справжньою 2FA: обидва способи захисту спираються на знання. Саме виконання двох кроків під час входу також не означає використання двох різних факторів. Термін MFA означає багатофакторну автентифікацію; 2FA — її різновид, що використовує рівно два фактори.
Приклад: ви входите в пошту за допомогою пароля, а потім вводите код із застосунку для автентифікації. Людина, яка дізналася пароль із витоку даних іншого сервісу, не зможе ввійти лише з ним — їй потрібен ще другий фактор або спосіб обійти захист.
SMS, застосунок чи ключ безпеки?
Методи 2FA відрізняються зручністю та стійкістю до атак. Доступні варіанти залежать від сервісу, тому перед налаштуванням перевірте його актуальну документацію з безпеки.
| Метод | Як працює | Основне обмеження |
|---|---|---|
| SMS | Сервіс надсилає код на номер телефону. | Перехоплення номера, наприклад через несанкціонований випуск нової картки SIM, може дати змогу отримувати коди. |
| Застосунок із кодами | Застосунок генерує коди з коротким строком дії, зазвичай за стандартом TOTP. | Код можна виманити на підробленій сторінці входу. |
| Сповіщення в застосунку | Ви підтверджуєте запит на вхід на телефоні. | Випадкове підтвердження чужої спроби входу може надати зловмиснику доступ. |
| Ключ безпеки FIDO2/WebAuthn | Ви підтверджуєте вхід фізичним пристроєм, наприклад через USB або NFC. | Потрібно подбати про запасний спосіб входу на випадок втрати ключа. |
TOTP — це одноразовий код, який обчислюється на основі часу та секрету, збереженого під час налаштування. Після додавання облікового запису застосунок може генерувати такі коди без інтернету й покриття мобільної мережі. Однак для цього на пристрої має бути правильно встановлений час.
Ключі, що працюють за стандартом FIDO2/WebAuthn, прив’язують автентифікацію до справжнього домену сервісу. Це суттєва перевага перед кодами: типова підроблена сторінка не може використати таке підтвердження для входу в справжній обліковий запис. Для корпоративної пошти, панелі реєстратора доменів або облікових записів адміністраторів це особливо вдалий вибір.
Якщо сервіс пропонує лише SMS, зазвичай краще ввімкнути цей метод, ніж залишити тільки пароль. Проте не вважайте всі методи однаково безпечними.
Від чого захищає 2FA, а чого не зупинить?
2FA знижує ризик захоплення облікового запису після розкриття пароля. Вона також допомагає, коли злочинець автоматично перевіряє на різних сервісах паролі з витоків даних. Однак вона не замінює унікальний пароль для кожного облікового запису.
Фішинг, тобто видавання себе за надійний сервіс із метою виманити дані, може бути спрямований і на коди 2FA. Підроблена сторінка може попросити пароль і поточний код, а потім передати їх справжньому сервісу. Тому не повідомляйте коди консультантові, не надсилайте їх у повідомленнях і не вводьте на сторінці, відкритій за підозрілим посиланням.
2FA також не захищає від усіх наслідків зараження пристрою. Викрадення активного сеансу — даних, завдяки яким сервіс пам’ятає користувача, що вже ввійшов, — може дати змогу обійти повторний вхід. Тож і надалі потрібно оновлювати систему, обережно встановлювати розширення та перевіряти активні сеанси облікового запису.
Не підтверджуйте сповіщення про вхід, якщо ви його не розпочинали. Неочікуваний запит може означати, що хтось знає ваш пароль; самостійно відкрийте налаштування облікового запису та перевірте активність у ньому.
Як увімкнути 2FA й не втратити доступ?
Почніть з основної поштової скриньки, оскільки вона часто використовується для скидання паролів в інших сервісах. Потім захистіть менеджер паролів, облікові записи у фінансових сервісах і панелі керування компанією, доменом або хостингом.
- Відкрийте налаштування безпеки облікового запису. Шукайте пункт «двофакторна автентифікація», «двоетапна перевірка» або «MFA».
- Додайте вибраний метод. Для застосунку зазвичай потрібно відсканувати код QR і ввести згенерований код підтвердження. Не передавайте іншим код QR — він містить секрет, який дає змогу генерувати наступні коди.
- Збережіть коди відновлення. Це резервні коди, які замінюють другий фактор і зазвичай є одноразовими. Зберігайте їх у безпечному місці, до якого матимете доступ і після втрати телефона, наприклад у роздрукованому вигляді в замкненій шухляді.
- Додайте запасний метод, якщо сервіс це дозволяє. Ним може бути другий ключ безпеки. Пам’ятайте, що слабший резервний метод може послабити захист усього облікового запису.
- Перевірте вхід, перш ніж завершити налаштування. Залиште поточний сеанс відкритим і спробуйте ввійти в окремому приватному вікні браузера.
Перед зміною телефона перегляньте офіційну інструкцію з перенесення облікових записів у своєму застосунку. Не припускайте, що коди перенесуться разом із карткою SIM. Видаляйте налаштування зі старого пристрою лише після того, як переконаєтеся, що на новому можете ввійти в усі важливі сервіси.
Читайте також
