Розділ «Урок 2. Багатофакторний захист і ключі доступу»

Мета

Увімкнути другий фактор у критичних сервісах і розуміти, чим ключі доступу відрізняються від паролів.

Пояснення

Багатофакторна автентифікація (2FA/MFA) — це не «другий пароль», а доказ іншого типу: те, що ви знаєте (пароль), доповнюється тим, що маєте (код із застосунку, фізичний ключ) або тим, що вам притаманне (відбиток, розпізнавання обличчя). Кіберполіція та CERT-UA радять обов'язково налаштовувати двофакторну автентифікацію всюди, де це технічно можливо: знання логіна й пароля саме по собі зазвичай недостатнє для входу з увімкненою 2FA. Водночас фішинг кодів, викрадення сесій і злам пристрою залишаються можливими.

Види другого фактору: SMS-код (просто, але номер можна перехопити або перевипустити SIM — див. урок 4), код із застосунку-автентифікатора (надійніше, генерується на вашому пристрої), апаратний ключ (найнадійніше), біометрія разом із паролем на самому пристрої. Кіберполіція в матеріалах про захист акаунтів називає серед варіантів і код, і FaceID, і додатковий пароль, і SMS-повідомлення — вибір залежить від сервісу.

Ключі доступу (passkeys) — новіший спосіб входу без пароля: сервер зберігає лише відкритий ключ, а секретний ключ лежить у захищеному сховищі вашого пристрою й, залежно від екосистеми, може синхронізуватися між довіреними пристроями; входження підтверджується розблокуванням пристрою (пін, відбиток, обличчя). Ключ доступу прив'язаний до справжнього домену сервісу: на сайті-клоні він просто не спрацює. Це усуває типову ваду паролів: паролі на серверах зазвичай зберігають у вигляді гешів, але витоки пар «логін/пароль» трапляються, і такий пароль можна повторно використати де завгодно — passkey до чужого домену не прив'яжеш. Назви елементів і порядок налаштування у кожного сервісу свої — дивіться офіційну довідку (для акаунтів Google — support.google.com).

Резервні коди: увімкнувши 2FA, майже всі сервіси пропонують одноразові резервні коди на випадок втрати телефону. Збережіть їх офлайн (паперовий запис у сейфі) — не в нотатках телефона і не в хмарі, до якої веде той самий запис. Втрата пристрою з єдиним фактором — найпоширеніший спосіб назавжди втратити акаунт.

Життєві ситуації

Ситуація 1. Ви втратили телефон із застосунком-автентифікатором.

Якщо резервні коди збережені офлайн — входите ними і прив'язуєте новий пристрій. Якщо кодів немає — лишається лише процедура відновлення самого сервісу (часто довга, з перевіркою особи). Висновок: коди зберігати заздалегідь і офлайн.

Ситуація 2. «Служба безпеки банку» телефонує і просить продиктувати код, який щойно прийшов SMS.

Це шахрайство (урок 4). Код — це другий фактор, і жоден легітимний співробітник його не запитує. Телефонуйте до банку самостійно за номером на звороті картки.

Практична вправа (без введення кодів).

1. Складіть список своїх критичних сервісів (пошта, банк, месенджер, соцмережа, менеджер паролів).

2. Для кожного позначте: який другий фактор ввімкнено зараз; чи є резервні коди; де вони збережені.

3. Заплануйте перехід з SMS на застосунок-автентифікатор там, де це підтримується. Самі коди вводити не потрібно — це аудит на папері.

Чекліст

1. 2FA ввімкнено в пошті, банку, месенджерах і менеджері паролів.

2. Замість SMS використано застосунок-автентифікатор або апаратний ключ, де сервіс це підтримує.