Двухфакторная аутентификация: SMS, приложение, passkey или ключ?

Для важных аккаунтов выбирайте passkey или аппаратный ключ, если сервис их поддерживает: такие способы входа лучше защищают от поддельных сайтов. Если доступны только коды, приложение-аутентификатор обычно удобнее SMS, но код всё равно можно выманить. Какой бы метод вы ни выбрали, заранее настройте резервный вход на случай потери телефона или ключа.

Быстрый выбор для почты, банка и рабочих аккаунтов

Для основной почты проверьте, доступны ли passkey и ключ безопасности. Для банка используйте только подтверждения, предложенные самим банком. На работе следуйте политике организации. Во всех случаях сначала подготовьте запасной способ входа — иначе потеря устройства может заблокировать аккаунт.

Что такое 2FA, MFA, TOTP, passkey и FIDO2

2FA — вход с двумя разными факторами, например паролем и подтверждением с телефона. MFA — общее название для входа с несколькими факторами. TOTP — одноразовый код из приложения, который меняется со временем. Passkey — криптографический ключ для конкретного сайта; он может работать и без пароля. FIDO2 — стандарты, на которых построены многие passkey и аппаратные ключи.

SMS-коды: плюсы и ограничения

Плюс SMS — не нужно отдельное приложение. Минусы — проблемы с доставкой, захватом номера и поддельными страницами, куда можно ввести код. Это не значит, что SMS бесполезны: если другого второго фактора нет, SMS обычно лучше, чем вход только по паролю.

Приложение аутентификации: TOTP и типичные ошибки

Приложение-аутентификатор создаёт код на устройстве и обычно работает даже без мобильной сети. Но мошенник может выманить код на фишинговой странице. Подключайте приложение только через настройки настоящего сервиса. QR-код настройки хранит секрет: не отправляйте его другим людям и не публикуйте на скриншотах.

Passkey: вход с привязкой к сайту

Passkey позволяет входить с помощью криптографического ключа, который связан с настоящим сайтом. Поэтому обычной поддельной странице сложнее его похитить. Но важно защитить само устройство и доступ к хранилищу ключей. Уточните, можно ли восстановить passkey после потери телефона и синхронизируется ли он между вашими устройствами.

Аппаратные ключи FIDO2: когда нужны

Аппаратный ключ полезен для почты, рабочих систем и администраторских аккаунтов. Лучше зарегистрировать два ключа: один основной, другой запасной. Храните их отдельно и время от времени проверяйте резервный. Если сайт не поддерживает FIDO2, используйте предложенный им способ защиты.

Сравнение способов аутентификации

Практическая настройка в аккаунте

• Откройте настройки безопасности настоящего сайта или приложения.
• Посмотрите, какие способы входа доступны именно для этого аккаунта.
• Подключите подходящий способ и проверьте его на доверенном устройстве.
• Сохраните резервные коды или зарегистрируйте дополнительный ключ отдельно от основного пароля.
• Проверьте почту, телефон и устройства, через которые можно восстановить доступ.

Если потерян телефон или резервный ключ

Попробуйте запасной способ входа: второй passkey, резервный ключ или заранее сохранённые коды. Если не получается — используйте только официальное восстановление сервиса. После возврата доступа удалите потерянное устройство из способов входа и завершите подозрительные сеансы.

Кому какой метод подойдёт

Личная почта: passkey или ключ при наличии, плюс резервный метод. Банк: только варианты, поддерживаемые банком. Рабочий или учебный аккаунт: утверждённый способ организации. Администратор сайта: по возможности два независимых фишинг-устойчивых ключа.

Итог

Выбирайте не самый модный вариант, а тот, который ваш сервис поддерживает и который вы сможете восстановить. Для важных аккаунтов отсутствие запасного доступа — отдельный риск.

FAQ

Что лучше — SMS или приложение кодов? Приложение меньше зависит от оператора связи, но код из него также можно выманить.

Passkey — это всегда второй фактор? Нет. Он может быть самостоятельным способом входа без пароля.

Можно оставить только один телефон? Иногда да, но лучше заранее иметь независимый резервный способ.

Работает ли TOTP без интернета? Код обычно создаётся офлайн. Интернет всё равно нужен для входа на сайт.

Аппаратный ключ защищает от всех атак? Нет. Он помогает против фишинга при входе, но не заменяет защиту устройства.

Менять ли пароль после утечки, если включена 2FA? Да. Украденный пароль нужно заменить и проверить активные сеансы.

Читайте также: кто видит вашу активность в интернете. Полный разбор — в гиде по приватности.