Факторы обычно делятся на три группы: то, что человек знает, чем владеет и чем является. Это может быть пароль, устройство с ключом и биометрическая проверка. Два пароля не превращаются в два разных фактора.
Какие способы бывают
Способ | Особенность |
|---|---|
Код по SMS | Зависит от безопасности номера телефона и мобильной связи |
Код из приложения | Не требует получения SMS, но код можно выманить на поддельном сайте |
Подтверждение уведомления | Важно не одобрять запросы, которые вы не инициировали |
FIDO/WebAuthn | Обеспечивает устойчивость к фишингу благодаря привязке к сервису |
Способы неравноценны. CISA рекомендует переходить на устойчивую к фишингу аутентификацию. Если она недоступна, дополнительная проверка всё равно обычно лучше одного пароля.
Почему код из приложения тоже могут украсть
Поддельная страница может запросить сначала пароль, затем одноразовый код и немедленно передать их настоящему сервису. Короткий срок действия кода не исключает такую атаку.
Поэтому наличие 2FA не означает, что можно вводить данные на любой странице из сообщения или рекламы.
Как не потерять доступ самому
При подключении защиты заранее настройте доступные способы восстановления. Это могут быть резервные коды, дополнительный ключ безопасности или другое подтверждённое устройство.
Сохраните резервные коды так, чтобы получить их даже после потери телефона. Например, единственная копия на потерянном устройстве не поможет восстановлению.
Перед заменой телефона убедитесь, что на новом устройстве работает вход. Возможности переноса и восстановления зависят от приложения и сервиса.
Главное правило: защищайте не только обычный вход, но и способы восстановления аккаунта. Иначе именно восстановление может оказаться самым слабым местом.
Источники: рекомендации CISA по MFA, устойчивая к фишингу аутентификация, восстановление доступа на примере Google.
Комментарии