Двухфакторка: от SMS до passkey
Урок 5 из 16 курса «Кибербезопасность с нуля: курс с нуля». Бесплатно, с анимациями и тестом.
Второй замок на двери
Двухфакторная аутентификация (2FA) — это когда кроме пароля нужно ещё что-то: код, подтверждение на телефоне или ключ. Утёк пароль — дверь всё равно закрыта. В исследовании Google 2019 года даже код из SMS отбивал все атаки ботов и 96% массового фишинга. Но против целевых атак разница огромная: SMS — 76%, подтверждение на телефоне — 90%, аппаратный ключ — 100%.
Слабое место SMS
В январе 2024 года угнали аккаунт американского финансового регулятора SEC в X. Мошенники уговорили мобильного оператора перенести номер SEC на свою SIM-карту. Это SIM-своп. Двухфакторка на аккаунте была выключена, пароль сбросили через номер и опубликовали фейковый пост об одобрении биткоин-ETF. Даже с SMS-кодами это бы не помогло: коды пришли бы мошенникам. Защищает приложение-аутентификатор или ключ.
Лестница: от худшего к лучшему
Нет 2FA — хватит одного пароля. SMS — лучше, чем ничего, но код можно перехватить SIM-свопом или выманить фишингом. Приложение-аутентификатор (Google Authenticator, Microsoft Authenticator и подобные) генерирует код на телефоне каждые 30 секунд, его не перехватить через оператора. Но и его можно ввести на фальшивом сайте. С push-подтверждениями будь осторожен: в 2022 году взломщик Uber закидал сотрудника запросами, пока тот не нажал «Да».
Passkey: пароль, который нельзя выманить
Passkey — это ключ доступа вместо пароля. Телефон или ноутбук хранит секретную часть ключа и подтверждает вход отпечатком или лицом. Ключ привязан к точному адресу сайта, поэтому на binance-verify.com он не сработает, даже если ты сам поверил дизайну. Аппаратный ключ, маленькая флешка вроде YubiKey, работает так же. Passkey поддерживают Google, Apple, Microsoft и многие биржи, включая Binance. Где можно, выбирай его.
Что включает Дэн сегодня
Почта: passkey, а запасным способом — приложение-аутентификатор. Биржа: passkey вместо SMS. Менеджер паролей: аутентификатор. Номер телефона Дэн убирает из способов входа там, где есть варианты получше. И сразу сохраняет резервные коды на бумаге дома: если телефон утонет, без них можно потерять доступ навсегда. В тренажёре разложи способы 2FA по надёжности.
Проверь себя
- Почему код из SMS — самый слабый вид двухфакторки?
Правильный ответ: Номер можно увести SIM-свопом, и коды придут мошеннику. Код привязан к номеру, а номер — к оператору, которого можно обмануть. Так угнали аккаунт SEC в 2024 году. - Ночью Дэну приходит десятый запрос «Это вы входите?», а он спит. Что делать?
Правильный ответ: Нажать «Нет» и сразу сменить пароль: кто-то его знает. Запросы значат, что пароль уже у кого-то. Второй фактор держит дверь, но держать её вечно не стоит: меняй пароль. - Почему passkey защищает даже от идеальной копии сайта?
Правильный ответ: Ключ привязан к точному адресу сайта и на другом адресе не сработает. Ты можешь поверить фальшивке, а ключ — нет: он проверяет адрес сам, а не смотрит на дизайн.
← Менеджер паролей: помнить один Почта и номер: главные ключи →