Двофакторна автентифікація: SMS, застосунок-автентифікатор чи ключ доступу (passkey)

Двофакторна автентифікація: що обрати

Двофакторна автентифікація — її ще називають двоетапною перевіркою, багатофакторною автентифікацією, 2FA або MFA — це вхід за двома доказами замість одного. Зазвичай це те, що ви знаєте (пароль), і те, що маєте (телефон, ключ безпеки) або чим є (відбиток пальця, обличчя).

Способи другого кроку не рівноцінні. CISA, американське агентство з кібербезпеки, розставляє їх від найнадійнішого до найслабшого так:

1. Ключ безпеки — фізичний пристрій, який дає найкращий захист від фішингу. За тим самим стандартом FIDO працюють і ключі доступу (passkeys).
2. Застосунок-автентифікатор із підтвердженням числа — на телефон приходить запит, і ви вводите число, показане на екрані входу.
3. Застосунок-автентифікатор з одноразовим кодом, який змінюється кожні 30 секунд.
4. Біометрія — відбиток або обличчя. Зазвичай прив’язана до пристрою і найкраще працює в парі з іншим способом.
5. Код у SMS або на пошту — найзвичніший і найслабший спосіб. Його радять вибирати, лише коли сильніших варіантів для акаунта немає.

SMS і дзвінок: просто, але найслабше

Сервіс надсилає на ваш номер код — у Google, наприклад, шестизначний — текстовим повідомленням або голосовим дзвінком, і ви вводите його на екрані входу. Нічого встановлювати не треба, тому цей спосіб найзвичніший.

Слабке місце — сам номер телефону. Google у довідці прямо пише, що коди, надіслані через SMS або дзвінок, можуть бути вразливими до атак через номери телефонів, а сповіщення на телефон замість коду допомагають захиститися від заміни SIM-картки. Microsoft оголосила, що поступово відмовлятиметься від SMS як способу автентифікації та відновлення для особистих облікових записів.

Друга слабкість спільна для всіх кодів: код можна виманити. Якщо ви ввели його на підробленій сторінці або продиктували «працівникові банку», шахрай скористається ним замість вас. Тому Google і Apple повторюють одне: нікому не повідомляйте коди підтвердження — справжня підтримка їх не питає.

Коли підходить: як перший крок, якщо досі не було нічого, і як запасний спосіб там, де кращих варіантів немає.

Застосунок-автентифікатор: коди без мережі

Застосунок на кшталт Google Authenticator чи Microsoft Authenticator генерує одноразові коди просто на телефоні. Ви один раз скануєте QR-код у налаштуваннях сервісу, а далі під час входу вводите поточний код із застосунку. Коди з’являються навіть без інтернету й мобільного зв’язку, тож спосіб не залежить від оператора та SIM-картки.

Що варто знати до налаштування:

• Резервна копія кодів. Google Authenticator уміє синхронізувати коди з обліковим записом Google: на новому телефоні вони з’являться після входу. Без облікового запису коди зберігаються лише на пристрої, і переносити їх доведеться вручну — через QR-код зі старого телефона.
• Запасний вхід. Для облікового запису Google можна створити набір із 10 резервних кодів: кожен восьмизначний і одноразовий. Довідка радить роздрукувати їх і тримати разом із важливими документами.
• Час на телефоні. Якщо код не приймається, перевірте, чи правильно виставлені час і часовий пояс.
• Втрачений телефон. Якщо коди синхронізовані з обліковим записом Google, пристрій можна вилучити з облікового запису. Якщо ні — доведеться зайти на кожен сайт, де налаштовано автентифікатор, і прив’язати новий пристрій.

Обмеження те саме, що й у SMS: код із застосунку можна ввести на фішинговій сторінці. Від атак через номер телефону автентифікатор захищає, від підробленого сайту — ні.

Покрокове налаштування на прикладі поштового сервісу — в нашій інструкції «Як увімкнути двофакторну автентифікацію у WebMail.Online», а офіційні кроки для Google — у довідці про Google Authenticator.

Ключ доступу (passkey): вхід без пароля й без коду

Ключ доступу — це заміна пароля, а не ще один код. Під час створення пристрій генерує пару криптографічних ключів: відкритий зберігається на сервері сайту, приватний лишається у вас. Щоб увійти, ви розблоковуєте пристрій — відбитком, обличчям або PIN-кодом. Вводити нічого не потрібно, а отже, нічого й не можна виманити.

• Стійкість до фішингу. Google пояснює: ключ доступу не можна записати чи випадково передати зловмисникові. CISA називає автентифікацію FIDO/WebAuthn єдиною широко доступною, що стійка до фішингу: якщо людину заманили на фальшивий сайт, протокол заблокує спробу входу.
• Біометрія не залишає пристрою. Дані відбитка чи обличчя не передаються ні Google, ні сайту: сервер отримує лише підтвердження, що перевірка пройшла.
• Де зберігається. Синхронізовані ключі живуть у менеджері паролів — В’язці iCloud, Менеджері паролів Google, Диспетчері паролів Microsoft — і доступні на всіх ваших пристроях. Ключі, прив’язані до пристрою, його не залишають: так працюють апаратні ключі безпеки.
• Що потрібно. Для облікового запису Google — телефон з Android 9 чи iOS 16 або комп’ютер із Windows 10, macOS Ventura чи ChromeOS 109 (або новіші версії) і сучасний браузер. На телефоні має бути ввімкнене блокування екрана.
• Назви. Google і Microsoft перекладають passkey як «ключ доступу», Apple — як «ключ допуску». Це одне й те саме.

Обережність потрібна в одному: створюйте ключі доступу лише на власних пристроях. Google попереджає, що в обліковий запис зможе ввійти будь-хто, хто здатен розблокувати пристрій із таким ключем.

Апаратний ключ безпеки — невеликий пристрій, схожий на флешку, який підключають до комп’ютера або підносять до телефона. Google називає його одним із найнадійніших других етапів, Apple — додатковим захистом від цільових атак. Умова Apple показова: потрібно щонайменше два ключі, а якщо втратити всі довірені пристрої та ключі безпеки, доступ до облікового запису може бути заблоковано назавжди. Це інструмент для тих, хто готовий подбати про запасний.

Порівняння способів в одній таблиці

Таблиця показує напрям руху, а не «єдино правильний» вибір. На практиці способи поєднують: ключ доступу як основний вхід, автентифікатор для сервісів, що ключів не підтримують, і резервні коди на папері на випадок втрати телефона.

План дій: що ввімкнути сьогодні

1. Почніть із пошти. Через неї зазвичай скидаються паролі до решти сервісів. Далі — банк і фінансові сервіси, соцмережі, інтернет-магазини.
2. Увімкніть другий крок. Google: обліковий запис → «Безпека й вхід» → «Увімкнути двохетапну перевірку». Apple: «Параметри» → ваше ім’я → «Вхід і безпека» → двофакторна автентифікація. Microsoft: account.microsoft.com/security → «Керування способами входу» → «Двоетапна перевірка» → «Увімкнути».
3. Де можна — створіть ключ доступу. У Google після цього другий етап під час входу з ключем можна пропускати: ключ сам підтверджує, що пристрій у вас.
4. Додайте запасний спосіб. Резервні коди на папері, другий номер або другий пристрій. Microsoft радить мати три різні способи підтвердження і попереджає: якщо ввімкнути двоетапну перевірку й втратити спосіб зв’язку, відновлення доступу може тривати 30 днів.
5. Прийміть правило кодів. Код вводять лише на сторінці, яку ви відкрили самі. Телефоном, у чаті чи «для перевірки» кодів не диктують нікому.

Офіційні інструкції: Google, Apple, Microsoft. Резервні коди Google описано тут, ключі безпеки Apple — тут.

У компанії цей самий план має бути політикою, а не особистою ініціативою: з чого почати, ми писали в матеріалі «Кіберзахист співробітників: політики, паролі, MFA та культура безпеки». А як не віддати пароль і код на підробленій сторінці — в інструкції «Як перевірити посилання на фішинг».

Часті питання