Двофакторна автентифікація (2FA): що це таке і чому одного пароля недостатньо

Пароль — це секрет, який зберігається в більшій кількості місць, ніж більшість людей усвідомлює. Його вводять на вебсайтах, повторно використовують для різних облікових записів, а іноді він потрапляє у витік даних іншої компанії. Саме тому пароль сам по собі — ненадійний спосіб захистити щось цінне.

Двофакторна автентифікація додає другий, інший тип підтвердження, тож викраденого пароля недостатньо. Розповідаємо, що це таке, які бувають поширені типи другого фактора, чим він допомагає та в чому його обмеження.

Що таке двофакторна автентифікація

Двофакторна автентифікація, яку зазвичай скорочено називають 2FA, означає підтвердження особи за допомогою двох різних типів доказів. У рекомендаціях NIST щодо цифрової ідентифікації описано три типи факторів автентифікації: те, що ви знаєте, наприклад пароль; те, що маєте, наприклад телефон або ключ безпеки; і те, ким ви є, наприклад відбиток пальця.

Два фактори мають бути різних типів. NIST зазначає, що пароль і PIN-код не вважаються двома факторами, адже обидва належать до того, що ви знаєте. Також можна зустріти назви багатофакторна автентифікація, MFA, або двоетапна перевірка. У повсякденному вжитку CISA вважає ці терміни взаємозамінними: усі вони означають додатковий крок для підтвердження того, що ви справді є тією людиною, за яку себе видаєте.

Поширені типи другого фактора

Найвідоміший другий фактор — одноразовий код, який надсилають у текстовому повідомленні або генерують у застосунку-автентифікаторі на телефоні. Інший варіант — фізичний ключ безпеки або ключ доступу (passkey), що використовує криптографію, вбудовану в пристрій. Також можуть використовуватися відбиток пальця або сканування обличчя. За словами NIST, біометричні дані вважаються фактором лише як частина багатофакторної автентифікації разом із фізичним пристроєм.

Ці методи не однаково надійні. За даними CISA, автентифікація на основі стандартів FIDO, наприклад за допомогою ключів безпеки та ключів доступу, є найнадійнішою і стійкою до фішингу. Коди із застосунку-автентифікатора кращі за текстові повідомлення, але їх також можна виманити фішингом, а текстові повідомлення — найслабший із поширених варіантів. Детальне порівняння цих типів — окрема тема.

Чому одного пароля недостатньо

CISA пояснює, що пароль — те, що ви знаєте, — можна повторно використовувати, його легше зламати або викрасти. Якщо той самий пароль використовується для кількох облікових записів, один витік може відкрити доступ до всіх них. З другим фактором зловмиснику, який має пароль, усе одно потрібен інший елемент. За словами CISA, це значно знижує ймовірність злому вашого облікового запису.

CISA радить увімкнути багатофакторну автентифікацію всюди, де вона доступна, і почати з найважливіших облікових записів: спершу електронна пошта, потім фінансові сервіси, а далі соціальні мережі та інтернет-магазини. Крім того, CISA рекомендує використовувати надійні унікальні паролі та менеджер паролів, адже ці два засоби захисту доповнюють один одного.

Від чого двофакторна автентифікація не захищає

Другий фактор ускладнює захоплення облікового запису, але не робить його невразливим. Переконлива підроблена сторінка входу може перехопити код і відразу його використати, а текстове повідомлення можуть перехопити або перенаправити, наприклад за допомогою підміни SIM-картки. Саме тому важливо обирати правильний метод, а перевірка справжності сайту перед введенням будь-якого коду є частиною захисту.

Вона також не захищає від усього. 2FA захищає обліковий запис, у який ви входите через певний сервіс, але не може захистити приватний ключ або сід-фразу криптогаманця, адже це взагалі не облікові записи. Вона також не замінює надійний унікальний пароль або безпечний спосіб відновити доступ, якщо ви втратите телефон.

Нагадування від WEEX: увімкніть 2FA та зберігайте коди в безпеці

WEEX нагадує користувачам увімкнути двофакторну автентифікацію всюди, де вона доступна, починаючи з електронної пошти та фінансових облікових записів. Зберігайте резервні коди або коди відновлення в безпечному місці офлайн і перевіряйте адресу сайту перед введенням коду. Нікому не повідомляйте одноразовий код або сід-фразу, зокрема людям, які називаються представниками служби підтримки: справжньому сервісу не потрібне ні те, ні інше.

Висновок

Двофакторна автентифікація вимагає два різні типи підтвердження, тому викраденого пароля недостатньо для входу. Різні типи другого фактора мають різний рівень надійності: ключі безпеки та ключі доступу — найнадійніші, а текстові повідомлення — найменш надійні. Водночас жоден із цих методів не замінює надійні паролі, обережну поведінку чи захист приватних ключів криптогаманця. Увімкнути 2FA — один із найпростіших способів ускладнити захоплення облікового запису.

Поширені запитання

1. Що таке двофакторна автентифікація?
Це спосіб входу, для якого потрібні два різні типи підтвердження, наприклад пароль і код із телефона, а не лише пароль.

2. Чи означає 2FA те саме, що MFA і двоетапна перевірка?
У повсякденному вжитку ці назви означають приблизно одне й те саме. Якщо точніше, MFA передбачає більше ніж один окремий тип фактора, а 2FA — рівно два.

3. Чи робить двофакторна автентифікація обліковий запис невразливим для злому?
Ні. Вона ускладнює захоплення облікового запису, але підроблена сторінка входу може перехопити код, а текстові повідомлення можуть перехопити. Тому важливі і метод автентифікації, і ваша поведінка.

4. Чи вважаються пароль і PIN-код двофакторною автентифікацією?
Ні. І пароль, і PIN-код належать до того, що ви знаєте, тому згідно з рекомендаціями NIST вони вважаються одним фактором.

5. Для яких облікових записів насамперед варто ввімкнути двофакторну автентифікацію?
CISA радить почати з електронної пошти, потім перейти до фінансових сервісів, а далі — до соціальних мереж та інтернет-магазинів. Електронна пошта на першому місці, адже її часто використовують для скидання паролів до інших облікових записів.