Как настроить двухфакторную аутентификацию

Двухфакторная аутентификация защищает ровно настолько, насколько силён самый слабый из включённых способов входа. Поэтому настройка состоит из двух половин, и вторую обычно пропускают: подключить надёжный фактор и отключить всё, что осталось от старых способов — SMS, резервную почту, привязку к номеру. Порядок методов по надёжности такой: ключ доступа и аппаратный ключ, затем приложение-аутентификатор, затем push, и в самом низу SMS.

Слабое звено решает всё

Начну с главного. Если у аккаунта включены одновременно аппаратный ключ и SMS, защищён он на уровне SMS. Злоумышленнику не нужно ломать сильный метод — достаточно попросить систему предложить слабый.

Это атака на понижение. Исследователи показали её на корпоративной системе входа: браузер подделывает информацию о себе, сервис считает, что аппаратный ключ не поддерживается, и предлагает войти по SMS или коду из приложения. Сам ключ при этом не взломан. Пользователя убедили от него отказаться.

Отсюда правило, с которого начинается вся настройка. Резервные способы входа — это не запасной выход, а вторая входная дверь, и открывается она тем же ключом, что и первая, только заметно более дешёвым.

Иерархия методов

Разница между третьей и первой строкой не в стойкости кода, а в том, кому этот код достаётся. Аутентификатор выдаёт шесть цифр, и эти цифры человек может ввести на поддельной странице — сам механизм не знает, куда именно вы их вводите и кому они достанутся. Ключ доступа привязан к адресу сайта криптографически и на копии сайта не сработает вовсе.

Практический вывод. Там, где площадка поддерживает ключи доступа, включать нужно их, а аутентификатор оставлять запасным вариантом.

Пароль всё ещё имеет значение

Второй фактор не отменяет первый. Слабый пароль в связке с сильным вторым фактором даёт странную конструкцию: злоумышленник знает половину входа и спокойно ждёт удобного случая для второй половины. А случаи бывают разные — от заваливания push-запросами до звонка из «поддержки» с просьбой продиктовать код. Правило одно. Пароль должен быть уникальным для каждого сервиса, и проверить это проще, чем кажется: если вы помните свои пароли наизусть, значит, они повторяются.

Настройка: где ошибаются

Порядок подключения аутентификатора выглядит одинаково почти везде. Сервис показывает QR-код, приложение его сканирует, вы вводите первый сгенерированный код для подтверждения. Тут и происходит первая ошибка.

Рядом с QR-кодом всегда есть текстовая строка — тот самый секрет в читаемом виде. Её нужно сохранить отдельно, потому что она позволяет восстановить генерацию кодов на любом другом устройстве. Без неё аккаунт теряется.

Вторая ошибка — единственное устройство. Аутентификатор ставится на два разных телефона сразу, из одного и того же секрета, и тогда утопленный в море телефон перестаёт быть катастрофой. Настраивается это в момент подключения, а не потом.

Третья ошибка — резервные коды. Сервис показывает их один раз, набором из восьми или десяти строк, и почти все закрывают окно не глядя. Именно эти коды остаются единственным входом, когда телефон утерян, секрет не сохранён, а SMS вы отключили по совету из подобной статьи.

Что отключать после подключения

1. SMS как способ подтверждения — там, где сервис разрешает убрать его полностью.
2. Восстановление доступа по номеру телефона в настройках безопасности.
3. Резервный почтовый ящик, которым вы давно не пользуетесь и пароль от которого не помните.
4. Секретные вопросы, если сервис их ещё предлагает.
5. Доверенные устройства, накопившиеся за годы, — весь список целиком.

Пятый пункт стоит отдельного внимания. Отметка «запомнить это устройство» отключает второй фактор для конкретного браузера на недели вперёд, и за пару лет таких отметок набирается десяток. Разбор активных сессий и устройств — в отдельном материале.

Убирать SMS надо не везде. Если сервис использует номер как единственный канал уведомлений о входе, полное удаление лишает вас сигнала тревоги. Правильная конфигурация выглядит так: номер остаётся для уведомлений, но не принимается как способ подтверждения и не работает для восстановления доступа ни при каких обстоятельствах, даже по звонку в поддержку.

Смена телефона без потери доступа

Переезд на новый аппарат ломает доступ чаще, чем любые атаки. Причина в порядке действий: старый телефон стирают и продают, а потом обнаруживают, что коды генерировались только на нём.

Правильная последовательность занимает полчаса. Сначала на новом телефоне ставится приложение-аутентификатор. Затем в него переносятся все секреты — либо встроенной функцией переноса, либо повторным сканированием QR-кодов после отключения и повторного включения двухфакторной аутентификации на каждом сервисе. Только после того, как на новом устройстве проверен вход во все аккаунты, старый телефон очищается.

Проверять надо все аккаунты, а не два самых важных. Забытый сервис всплывает через полгода — ровно в тот момент, когда доступ к нему понадобился срочно, а телефон со старым секретом давно перепродан вместе со всеми данными.

Отдельная сложность — сервисы, которые не дают переподключить фактор без входа. Замкнутый круг: чтобы отключить аутентификатор, нужен код, а код генерируется на потерянном телефоне. Спасают только резервные коды. Третий раз за материал они оказываются решающими, и это не случайность: резервные коды и есть тот запас прочности, ради которого вся конструкция строится.

Разная защита для разных действий

До этого уровня доходят немногие. Площадки позволяют требовать второй фактор раздельно: отдельно для входа, отдельно для вывода средств, отдельно для смены настроек безопасности.

Цена ошибки разная. Вход в аккаунт для просмотра баланса — обычная операция. Вывод на новый адрес — операция, после которой ничего не вернуть, и здесь уместен самый строгий метод, даже если он неудобен и добавляет к каждой операции пару лишних секунд. Как разводить требования по действиям, разобрано в отдельном материале.

Отдельно про публичные сети. Второй фактор не спасает от сеанса, перехваченного целиком, поэтому вход в кабинет площадки из кафе остаётся плохой идеей независимо от настроек. Подробности — здесь.

Что проверить прямо сейчас

• Какие методы второго фактора включены на каждой площадке с деньгами.
• Остался ли номер телефона способом восстановления доступа.
• Сохранён ли текстовый секрет от аутентификатора вне телефона.
• Где лежат резервные коды и не использована ли часть из них.
• Сколько доверенных устройств накопилось в списке за все годы.
• Поддерживает ли площадка ключи доступа — и включены ли они.

Коротко

Настройка второго фактора — это не одно действие, а два. Включить сильный метод и убрать слабые, иначе первый не имеет значения, потому что злоумышленник всегда выбирает ту дверь, которая открывается легче, а не ту, которую вы считаете главной. Секрет от аутентификатора сохраняется отдельно, приложение ставится на два устройства, резервные коды уезжают на бумагу. Список доверенных устройств чистится целиком, а не выборочно, потому что каждая забытая отметка «запомнить» — это работающий обход всей конструкции. Раз в год — ревизия.