Что такое двухфакторная аутентификация и зачем она нужна
Двухфакторная аутентификация - это дополнительная проверка при входе в аккаунт помимо обычного пароля: после ввода пароля сервис просит подтвердить вход ещё одним способом, обычно кодом из приложения, смс или отдельного ключа. Смысл в том, что пароль рано или поздно может узнать посторонний человек - его можно подсмотреть, найти в утечке данных другого сайта или подобрать, а вот доступ ко второму фактору, например к конкретному телефону, получить постороннему намного сложнее.
Включать двухфакторную защиту в первую очередь стоит там, где хранятся деньги и личные данные: в почте, банковских приложениях, мессенджерах и в аккаунте, который используется для входа в другие сервисы. Почта особенно важна, потому что через неё обычно можно сбросить пароль от всех остальных аккаунтов - получив доступ именно к почте, злоумышленник фактически получает ключ от всего остального.
Многие откладывают включение такой защиты, потому что она кажется лишним неудобством: якобы каждый вход теперь требует лишнего действия. На практике большинство сервисов запоминают уже подтверждённое устройство на несколько недель или месяцев, и повторное подтверждение спрашивается только при входе с нового телефона или компьютера, а не при каждом открытии приложения. Разовое неудобство при настройке значительно перевешивается защитой, которую она даёт на годы вперёд, особенно для аккаунтов, которыми пользуются ежедневно.
Какие способы подтверждения существуют
Самый распространённый способ - код из смс, который приходит на привязанный номер телефона при каждой попытке входа. Это удобно и не требует ничего устанавливать, но у способа есть слабое место: смс можно перехватить через мошенническую замену сим-карты или взлом мобильного оператора, поэтому для действительно важных аккаунтов такой способ считается наименее надёжным из всех.
Более защищённый вариант - специальное приложение-генератор кодов, которое создаёт новый шестизначный код каждые тридцать секунд прямо на телефоне, без передачи по сети вообще. Такой код невозможно перехватить удалённо, потому что он никуда не отправляется - генерируется и проверяется по общему секретному ключу, который остаётся между сервисом и телефоном. Ещё более надёжный, но менее распространённый способ - физический ключ безопасности, небольшое устройство, которое подключается к телефону или компьютеру и подтверждает вход одним касанием.
Есть и промежуточный вариант - всплывающее уведомление на уже привязанный телефон: вместо ввода кода вручную на экране просто появляется запрос «это вы входите?» с кнопками подтверждения и отказа. Такой способ удобнее ввода кода и почти так же надёжен, как приложение-генератор, но требует постоянного подключения телефона к интернету в момент входа, тогда как коды из генератора работают даже без сети. Какой из способов выбрать, зависит от того, что предлагает конкретный сервис - для большинства аккаунтов доступен не весь список сразу, а один-два варианта на выбор.
Как включить защиту в аккаунте
Включение почти всегда начинается одинаково: заходим в настройки аккаунта, находим раздел, отвечающий за безопасность или вход, и там ищем пункт «двухфакторная аутентификация» или «подтверждение входа в два шага». После выбора этого пункта сервис предложит выбрать способ подтверждения из тех, что поддерживает - смс, приложение-генератор кодов или физический ключ, а иногда сразу несколько на выбор.
При выборе смс достаточно подтвердить номер телефона кодом из сообщения, и защита включится сразу. При выборе приложения-генератора сервис покажет на экране кью-ар код или длинную строку символов, которую нужно отсканировать или ввести в само приложение-генератор - об этом подробнее в следующем разделе. После завершения настройки почти всегда предлагается сразу же протестировать вход заново, чтобы убедиться, что новый способ подтверждения действительно работает, прежде чем полностью полагаться на него.
Как пользоваться приложением для кодов подтверждения
Приложение-генератор кодов устанавливается один раз из магазина приложений и дальше используется для всех аккаунтов, где включена такая защита - для каждого сервиса внутри одного приложения создаётся своя отдельная запись. Чтобы добавить новый аккаунт, приложение открывает камеру и просит навести её на кью-ар код, который сервис показывает при включении защиты; после сканирования в приложении появляется постоянно обновляющийся шестизначный код именно для этого аккаунта.
При входе в защищённый сервис после ввода пароля нужно открыть приложение-генератор, найти нужную запись и ввести показанный там код, пока он не сменился новым - обычно на это даётся тридцать секунд с небольшим запасом. Важная особенность: время на телефоне должно быть выставлено верно и синхронизировано автоматически, иначе сгенерированные коды могут не совпадать с тем, что ожидает сервис, даже если всё остальное настроено правильно.
Как сохранить резервные коды и не потерять доступ
При включении двухфакторной защиты почти каждый сервис одновременно выдаёт набор из нескольких резервных кодов - это одноразовые запасные пароли на случай, если основной способ подтверждения окажется недоступен, например телефон потеряется или сломается. Эти коды нужно сохранить сразу, в момент их показа на экране, потому что повторно посмотреть их обычно уже нельзя - только сгенерировать новый набор, аннулировав старый.
Хранить резервные коды правильно отдельно от самого телефона: например, распечатать на бумаге и убрать в надёжное место дома, или сохранить в защищённом паролем файле на компьютере. Хранить их в заметках телефона рядом с паролями от тех же аккаунтов - плохая идея: если телефон окажется в чужих руках, посторонний получит сразу и пароль, и запасной способ его обойти, то есть именно то, от чего двухфакторная защита должна была предохранить.
Каждый резервный код одноразовый: после использования для входа он становится недействительным, даже если введён правильно. Стоит вести хотя бы приблизительный учёт того, сколько кодов из выданного набора уже использовано, и заранее сгенерировать новый набор, когда остаётся один-два кода в запасе, а не дожидаться момента, когда все они окажутся израсходованы одновременно с потерей основного способа входа.
Что делать при смене телефона
Смена телефона - самый частый повод потерять доступ к двухфакторной защите по неосторожности, поэтому здесь особенно важен порядок действий: сначала перенести коды и приложение-генератор на новый телефон, и только потом сбрасывать или продавать старый. У части приложений-генераторов есть встроенная функция переноса записей через облако или экспорт в зашифрованный файл - её стоит использовать заранее, а не рассчитывать на восстановление задним числом.
Если функции переноса нет, надёжнее всего заново пройти включение двухфакторной защиты в каждом важном аккаунте уже на новом телефоне, отсканировав новый кью-ар код, а старую запись удалить из старого телефона перед его сбросом или передачей другому человеку. Сбрасывать старый телефон до заводских настроек, не убедившись, что доступ к защищённым аккаунтам перенесён, - частая и обидная ошибка, которая оставляет владельца без доступа к собственной почте или банку.
Что делать, если доступ ко второму фактору потерян
Если телефон с приложением-генератором или привязанным номером потерян, а резервные коды не сохранены, доступ к аккаунту всё ещё можно вернуть, но процесс займёт больше времени и потребует подтверждения личности другим способом - через привязанную почту, ответ на контрольные вопросы или, для банковских сервисов, личное обращение в отделение с паспортом. Каждый сервис описывает этот процесс в разделе восстановления доступа, и начинать стоит именно с официальной формы восстановления на сайте сервиса, а не с поиска сторонних способов обойти защиту.
Именно поэтому резервные коды и перенос доступа при смене телефона - не формальность, а способ избежать долгого и нервного восстановления, которое иногда растягивается на несколько дней при работе с крупными сервисами.
Частые ошибки при настройке
Самая частая ошибка - включить защиту только по смс и не добавить резервный способ вовсе, полагаясь на то, что номер телефона никогда не изменится. Номер меняется чаще, чем кажется: старая сим-карта блокируется оператором за неактивность, теряется при переезде в другой город с другим оператором, а восстановить привязку к аккаунту без доступа к самому номеру бывает не проще, чем восстановить доступ без резервных кодов. Вторая по частоте - сфотографировать кью-ар код при включении приложения-генератора вместо того, чтобы сразу отсканировать его в само приложение: фотография код не защищает, а лишь откладывает настройку, и её легко забыть довести до конца. Третья ошибка - включить двухфакторную защиту на телефоне, у которого сам экран блокировки не защищён паролем или отпечатком: тогда любой, кто получит физический доступ к разблокированному телефону, получает и доступ ко второму фактору для всех аккаунтов сразу. Поэтому надёжная блокировка самого телефона - это не отдельная задача, а необходимое условие, без которого вся описанная выше настройка теряет большую часть смысла.