Двухфакторная аутентификация (2FA) защищает аккаунт, запрашивая при входе две разные вещи: то, что вы знаете, например пароль, и то, что у вас есть, например шестизначный код из приложения-аутентификатора на телефоне. Даже если пароль украдут, без второго фактора войти не получится.
Это одна из самых эффективных мер безопасности, доступных обычному человеку, и настройка обычно занимает всего несколько минут. В этой статье объясним, как работает 2FA, какой способ выбрать и как не лишить доступа самого себя.
Почему одного пароля недостаточно
Пароли утекают множеством способов. Люди используют один и тот же пароль на нескольких сайтах, сайты взламывают, а фишинговые страницы заставляют вводить логин и пароль в поддельную форму. Как только пароль известен, любой может попробовать его на вашей почте, в соцсетях или интернет-магазине.
2FA добавляет второй замок. Одного украденного пароля уже недостаточно: злоумышленнику нужен ещё и код с вашего устройства. Это сильно затрудняет многие распространённые способы захвата аккаунтов, особенно те, что основаны на повторно используемых или утёкших паролях.
Основные виды второго фактора
Не все вторые факторы одинаково надёжны. Самые распространённые варианты:
- Приложения-аутентификаторы. Такие приложения, как Google Authenticator, Microsoft Authenticator и другие совместимые, каждые 30 секунд генерируют новый шестизначный код. Коды создаются на вашем телефоне и не передаются через мобильную сеть.
- Коды в SMS. Код приходит текстовым сообщением. Это гораздо лучше, чем отсутствие 2FA, но SMS можно перехватить или перенаправить — например, с помощью мошенничества с подменой SIM-карты, когда преступник убеждает оператора перевыпустить ваш номер на свою SIM-карту.
- Push-уведомления. Некоторые сервисы присылают в приложение на телефоне запрос «Это вы?». Удобно, но никогда не подтверждайте запрос, которого не ожидали.
- Ключи безопасности и ключи доступа (passkeys). Физические ключи или passkeys, хранящиеся на устройстве, — одни из самых надёжных вариантов, потому что они специально устойчивы к фишингу. Поддержка зависит от сервиса.
Для большинства людей приложение-аутентификатор — надёжный и практичный выбор. Если сервис предлагает только SMS, всё равно включите его. Это всё ещё большой шаг вперёд по сравнению с одним паролем.
Как работают приложения-аутентификаторы
Когда вы включаете 2FA через приложение-аутентификатор, сайт показывает QR-код. В нём содержится секретный ключ. Вы один раз сканируете его приложением, и с этого момента и приложение, и сайт по общему секрету и текущему времени вычисляют одинаковый шестизначный код.
Код меняется каждые 30 секунд, поэтому подсмотренный через плечо код вскоре становится бесполезным. А поскольку коды вычисляются на телефоне, приложение работает даже без интернета.
Важный момент: QR-код для настройки — конфиденциальная информация. Любой, кто его отсканирует, сможет генерировать ваши коды. Не делайте скриншот, не пересылайте его и не оставляйте на экране, где его могут увидеть другие.
Как настроить 2FA: пошаговая инструкция
Меню в разных сервисах отличаются, но порядок обычно одинаковый:
- Установите приложение-аутентификатор на телефон.
- Войдите в аккаунт, который хотите защитить, и откройте настройки безопасности.
- Найдите пункт «Двухфакторная аутентификация», «Двухэтапная проверка» или «Двухэтапный вход» и выберите вариант с приложением-аутентификатором.
- Отсканируйте показанный на экране QR-код приложением-аутентификатором.
- Введите шестизначный код из приложения, чтобы подтвердить, что всё работает.
- Сохраните резервные коды, которые выдаст сервис (о них — в следующем разделе).
- Выйдите из аккаунта и войдите снова, чтобы убедиться, что всё работает.
Начните с самых важных аккаунтов: основной почты (через неё можно сбросить другие пароли), банка, соцсетей, облачного хранилища и любого аккаунта с платёжными данными. В QR-TH двухэтапный вход через приложение-аутентификатор включается в настройках аккаунта — это защищает ваши QR-коды и короткие ссылки от изменения посторонними.
Резервные коды: ваш путь обратно
Самая частая проблема с 2FA — не взлом, а потеря телефона. Если телефон потерян, украден, сломан или заменён, нужен другой способ войти.
Для этого и существуют резервные коды. Большинство сервисов при включении 2FA выдают список одноразовых кодов. Каждый из них можно использовать один раз вместо кода из приложения.
Храните их надёжно:
- Распечатайте и держите листок в надёжном месте дома, или
- Сохраните их в проверенном менеджере паролей, и
- Не храните их только на том же телефоне, где установлен аутентификатор.
Каждый резервный код действует один раз. Использовав код, вычеркните его. Если коды заканчиваются, большинство сервисов позволяют сгенерировать новый набор, а старый при этом аннулируется.
Как сменить телефон и не потерять доступ
Прежде чем сбросить, продать или сдать старый телефон, перенесите коды аутентификатора на новый. Некоторые приложения-аутентификаторы умеют переносить данные или делать облачную резервную копию; в других придётся заново настроить 2FA для каждого аккаунта.
Безопасный порядок:
- Не трогайте старый телефон, пока каждый аккаунт не подтверждён на новом.
- Для аккаунтов, которые нельзя перенести, войдите, отключите 2FA, снова включите её и отсканируйте новый QR-код новым телефоном.
- Проверьте каждый аккаунт, прежде чем стирать данные со старого устройства.
Частые ошибки с 2FA
- Передача кодов. Ни настоящий банк, ни магазин, ни служба поддержки не попросят вас продиктовать код 2FA. Тот, кто просит, почти наверняка мошенник.
- Подтверждение неожиданных запросов. Если пришёл запрос на вход, который вы не начинали, отклоните его и смените пароль.
- Ввод кодов на страницах, открытых по ссылке из сообщения. Фишинговые сайты тоже могут запрашивать код. Заходите на сайт напрямую.
- Пропуск резервных кодов. Сохранить их — минута, а восстановление аккаунта без них может занять дни.
Больше советов на каждый день — в статье о безопасности смартфона, а о том, как распознать мошенничество с QR-кодами, которое охотится за логинами, читайте отдельно.
FAQ
Действительно ли нужна двухфакторная аутентификация?
Для важных аккаунтов — почты, банка, соцсетей — да. Она блокирует множество атак, основанных на украденных или повторно используемых паролях.
Приложение-аутентификатор безопаснее SMS?
Как правило, да. Коды аутентификатора генерируются на телефоне, а SMS-коды можно перехватить или перенаправить через подмену SIM-карты. Но SMS всё равно лучше, чем отсутствие 2FA.
Что делать, если я потеряю телефон?
Войдите с помощью одного из сохранённых резервных кодов, а затем заново настройте 2FA на новом телефоне. Без резервных кодов придётся проходить процедуру восстановления аккаунта в сервисе.
Могут ли взломать аккаунт, если у них есть мой код 2FA?
Код действует недолго, но мошенник, выманивший его у вас в реальном времени, может им воспользоваться. Никогда никому не сообщайте свои коды.
Двухфакторная аутентификация занимает несколько минут и делает ваши аккаунты гораздо труднее для взлома. Включите её сегодня для почты и банка, а затем защитите свой аккаунт QR-TH двухэтапным входом. Подробнее — в разделе Частые вопросы.