Двухфакторная аутентификация (2FA): что это такое и почему одного пароля недостаточно

Пароль — это секрет, который хранится в большем количестве мест, чем многие думают. Его вводят на сайтах, используют повторно для разных аккаунтов, а иногда он попадает в утечку данных у третьих лиц. Поэтому один пароль — ненадёжный способ защитить что-либо ценное.

Двухфакторная аутентификация добавляет ещё одно подтверждение другого типа, поэтому украденного пароля недостаточно для входа. Разберёмся, что это такое, какие бывают вторые факторы, чем они полезны и от чего не защищают.

Что такое двухфакторная аутентификация

Двухфакторная аутентификация, обычно сокращённо 2FA, — это подтверждение личности с помощью двух разных типов доказательств. В рекомендациях NIST по цифровой идентификации описаны три типа факторов аутентификации: то, что вы знаете, например пароль; то, чем вы владеете, например телефон или ключ безопасности; и то, чем вы являетесь, например отпечаток пальца.

Два фактора должны относиться к разным типам. NIST отмечает, что пароль и PIN-код не считаются двумя факторами, поскольку оба относятся к тому, что вы знаете. Вы также можете встретить названия «многофакторная аутентификация», MFA, или «двухэтапная проверка». В повседневном употреблении CISA считает эти названия равнозначными: речь идёт о дополнительном шаге, который подтверждает, что вы действительно тот, за кого себя выдаёте.

Распространённые виды второго фактора

Самый знакомый многим второй фактор — одноразовый код, который отправляют в SMS или генерируют в приложении-аутентификаторе на телефоне. Другой вариант — физический ключ безопасности или ключ доступа (passkey), использующий криптографию, встроенную в устройство. Также можно использовать сканирование отпечатка пальца или лица. NIST указывает, что биометрия считается частью многофакторной аутентификации только в сочетании с физическим устройством.

Эти способы различаются по надёжности. Согласно CISA, аутентификация на основе стандартов FIDO, например с помощью ключей безопасности и ключей доступа, — самая надёжная и устойчивая к фишингу. Коды из приложения-аутентификатора лучше SMS, но их всё ещё можно выманить с помощью фишинга, а SMS — самый слабый из распространённых вариантов. Подробное сравнение этих способов — отдельная тема.

Почему одного пароля недостаточно

CISA объясняет, что пароль — то, что вы знаете, — можно использовать повторно, его легче взломать или украсть. Если один и тот же пароль используется для нескольких аккаунтов, одна утечка может открыть доступ ко всем ним. При наличии второго фактора злоумышленнику, даже если у него есть пароль, понадобится и другой элемент. По словам CISA, это значительно снижает вероятность взлома аккаунта.

CISA рекомендует включить многофакторную аутентификацию везде, где она доступна, и начать с самых важных аккаунтов: сначала электронная почта, затем финансовые сервисы, после — социальные сети и интернет-магазины. Также рекомендуется использовать надёжные уникальные пароли и менеджер паролей: эти меры защиты дополняют друг друга.

От чего не защищает двухфакторная аутентификация

Второй фактор усложняет захват аккаунта, но не делает его неуязвимым. Убедительная поддельная страница входа может перехватить код и сразу же использовать его, а SMS можно перехватить или перенаправить, например с помощью подмены SIM-карты. Поэтому важен выбор способа защиты, а также проверка того, что вы находитесь на настоящем сайте, прежде чем вводить код.

Кроме того, 2FA защищает не от всего. Она защищает аккаунт, в который входят через сервис, но не приватный ключ или сид-фразу криптокошелька, поскольку это не аккаунты. Она также не заменяет надёжный уникальный пароль и безопасный способ восстановить доступ, если вы потеряете телефон.

Напоминание от WEEX: включите защиту и берегите коды

WEEX напоминает пользователям о необходимости включить двухфакторную аутентификацию везде, где она доступна, начав с электронной почты и финансовых аккаунтов. Храните резервные коды или коды восстановления в надёжном месте, не подключённом к интернету, и проверяйте адрес сайта перед вводом кода. Никогда никому не сообщайте одноразовый код или сид-фразу, в том числе людям, которые представляются сотрудниками службы поддержки: настоящему сервису не нужны ни те, ни другие.

Заключение

Двухфакторная аутентификация требует два разных типа подтверждения, поэтому украденного пароля недостаточно для входа. Вторые факторы различаются по надёжности: ключи безопасности и ключи доступа — самые надёжные, а SMS — наименее надёжные. Ни один из этих способов не заменяет надёжные пароли, осторожное поведение и защиту приватных ключей кошелька. Включить двухфакторную аутентификацию — один из самых простых способов усложнить захват аккаунта.

Часто задаваемые вопросы

1. Что такое двухфакторная аутентификация?
Это способ входа, при котором нужны два разных типа подтверждения, например пароль и код с телефона, а не только пароль.

2. 2FA — это то же самое, что MFA и двухэтапная проверка?
В повседневном употреблении эти названия означают примерно одно и то же. Строго говоря, MFA означает наличие более чем одного отдельного типа фактора, а 2FA — ровно двух.

3. Делает ли двухфакторная аутентификация аккаунт неуязвимым для взлома?
Нет. Она усложняет захват аккаунта, но поддельная страница входа может перехватить код, а SMS можно перехватить. Поэтому важны и выбранный способ защиты, и ваши привычки.

4. Считаются ли пароль и PIN-код двухфакторной аутентификацией?
Нет. И пароль, и PIN-код относятся к тому, что вы знаете, поэтому согласно рекомендациям NIST они считаются одним фактором.

5. Для каких аккаунтов нужно в первую очередь включить двухфакторную аутентификацию?
CISA советует начать с электронной почты, затем перейти к финансовым сервисам, социальным сетям и интернет-магазинам. Электронная почта на первом месте, потому что её часто используют для сброса паролей других аккаунтов.