Двофакторна автентифікація: захист, що працює, навіть якщо хтось викраде Ваш пароль

Двофакторна автентифікація — це додатковий крок після пароля, найчастіше код із застосунку або SMS. Завдяки їй ніхто не зможе увійти до Вашого облікового запису, навіть якщо знає пароль. Це один із найефективніших і водночас найпростіших захистів, які можна налаштувати, а увімкнути його можна за кілька хвилин. У цій статті покажемо, як це зробити без хвилювань, зокрема що робити, якщо Ви загубите телефон.

Чому одного пароля замало

Навіть найкращий пароль має одну слабку сторону: достатньо, щоб він потрапив не в ті руки, і він марний. Це може статися двома шляхами, які не залежать від Вас. Або Ви випадково введете його на шахрайському сайті, схожому на справжній, або він витече з якогось зламаного сервісу, де Ви його використовували.

Надійний і унікальний пароль і далі є основою — як його створити, ми пояснюємо в статті про безпечні паролі. Але навіть ідеальний пароль вирішує лише половину проблеми. Другу половину вирішує двофакторна автентифікація. Вона не замінює хороший пароль — це другий шар захисту, який спрацьовує саме тоді, коли перший підводить.

Суть проста: пароль — це те, що Ви знаєте, а другий крок — це те, що Ви маєте: телефон або ключ. Зловмисник на іншому кінці світу може знати Ваш пароль, але телефону у Вашій кишені в нього немає. А без нього він увійти не може.

Що буде, якщо пароль таки витече

Уявімо найгірший випадок: Ваш пароль потрапив у чужі руки. Без другого кроку зловмисник виграв би — увійшов би й опинився всередині. З двофакторною автентифікацією, однак, він упирається в стіну вже на першому кроці після введення пароля:

Саме так це відбувається на практиці. Якщо Ви раптом отримали код підтвердження, хоча самі не входите, це зазвичай означає, що хтось пробує Ваш пароль, а другий крок його зупинив. Нікуди не вводьте такий код і за першої нагоди змініть пароль.

Три способи зробити другий крок

Другий крок можна зробити трьома способами. Вони відрізняються рівнем безпеки та зручністю, але всі три значно кращі, ніж нічого. Нехай Вас не відштовхує те, що один із них не «ідеальний».

SMS-код

Найпоширеніший спосіб: після введення пароля Ви отримуєте SMS із кодом, який вводите. Його найлегше зрозуміти, але він і найслабший: у виняткових випадках його можна обійти, якщо хтось домогтеться від оператора перенесення Вашого номера на іншу SIM-картку (це називається підміною SIM-картки). І все ж SMS зараховується: той, хто нічого не вмикає, бо «SMS слабкий», у гіршому становищі, ніж той, хто має хоча б SMS.

Застосунок-автентифікатор у телефоні

Застосунок у Вашому телефоні створює короткий код, який змінюється кожні кілька секунд. Код нікуди не надсилається, він виникає прямо на пристрої, тому його не можна перехопити дорогою, і він працює навіть без сигналу. Це розумний баланс безпеки та зручності, тому ми рекомендуємо його як варіант за замовчуванням. Існує кілька застосунків-автентифікаторів, і вони працюють з різними сервісами, тож один застосунок можна використовувати одночасно для пошти, банку та соціальних мереж.

Фізичний ключ або вхід за відбитком пальця чи обличчям

Найбезпечніший варіант. Фізичний ключ — це невеликий пристрій, який підключають до комп’ютера або підносять до телефону; вхід за відбитком пальця чи обличчям працює подібно. Цим способом практично неможливо зловжити дистанційно. Він підходить тим, хто хоче максимального захисту, як правило, для пошти та банківських рахунків.

Де вмикати насамперед

Не обов’язково вмикати його всюди одразу. Орієнтуйтеся на важливість, а не на алфавіт, і почніть зі своєї електронної пошти. Чому саме з пошти? Тому що паролі до всього іншого скидаються через пошту. Хто заволодіє Вашою поштою, той поступово зможе потрапити і до всього іншого.

Після пошти настає черга банку та платежів, потім соціальних мереж (де йдеться про Вашу особистість) і нарешті інтернет-магазинів зі збереженою карткою. За кілька вечорів Ви зробите найважливіше. Поспішати не треба — головне почати з пошти та банку, а решту можна додавати поступово, коли дійдуть руки до кожного сервісу.

Як увімкнути двофакторну автентифікацію

Точна процедура в кожного сервісу трохи відрізняється, а меню час від часу змінюються, тож ми не даватимемо тут покрокову інструкцію з кліками, яка за рік застаріє. Загалом, однак, скрізь усе працює однаково, і досить знати, що шукати:

• У своєму обліковому записі знайдіть розділ Безпека, Вхід або Конфіденційність.
• Знайдіть пункт на кшталт двофакторна автентифікація, двоетапна перевірка або просто двофакторна / 2FA.
• Оберіть спосіб (застосунок чи SMS) і дотримуйтеся підказок: у випадку застосунку зазвичай потрібно відсканувати квадратний QR-код.
• Наприкінці збережіть резервні коди, які пропонує сервіс. Не пропускайте цей крок.

Якщо Ви не впевнені щодо конкретного сервісу, пошукайте в його довідці «двофакторна автентифікація» — офіційна інструкція завжди найнадійніша.

Що робити, якщо я загублю телефон

Це найпоширеніша причина, чому люди не вмикають двофакторну автентифікацію: вони бояться заблокувати собі доступ. Цього не станеться, якщо заздалегідь підготувати запасний варіант. Повернутися можна трьома шляхами:

Найпоширеніші заперечення (і чому вони не витримують критики)

«Це мене сповільнює.»

Насправді майже ні. Сервіси запам’ятовують пристрій, якому Ви довіряєте, і просять другий крок здебільшого тоді, коли Ви входите з нового місця. Кілька секунд раз на якийсь час в обмін на спокій — вигідна угода.

«Мене ніхто не помітить.»

Атаки на паролі не націлені на конкретних людей, вони масові та автоматизовані. Витеклі паролі пробують одразу на тисячах облікових записів. Справа не в тому, цікаві Ви чи ні, а в тому, чи є у Вас слабке місце.

«У мене немає смартфона.»

Не проблема. Використовуйте SMS-код на звичайному телефоні або фізичний ключ для найважливіших облікових записів. Двофакторна автентифікація не лише для власників найновішого мобільного.

Що почитати далі

• Як створити безпечний пароль — основа, на якій тримається двофакторна автентифікація.
• Як розпізнати шахрайське повідомлення — найпоширеніший шлях, яким пароль потрапляє не в ті руки.
• Десять правил безпеки в інтернеті — короткий підсумок основних принципів.
• Що загрожує Вам в інтернеті — огляд загроз.

Поширені запитання