Різні форми двофакторної аутентифікації SMS, програми Autheticator та багато іншого

Багато онлайнових служб пропонують двофакторну аутентифікацію, що підвищує безпеку, вимагаючи більше, ніж просто пароль для входу. Існує багато різних типів додаткових методів аутентифікації, які можна використовувати.

Різні послуги пропонують різні способи двофакторної аутентифікації, а в деяких випадках ви можете вибрати навіть кілька варіантів. Ось як вони працюють і як вони відрізняються.

Перевірка SMS

Багато послуг дозволяють зареєструватися для отримання SMS-повідомлення, коли ви входите до свого облікового запису. Це SMS-повідомлення буде містити короткий одноразовий код, який потрібно ввести. За допомогою цієї системи ваш мобільний телефон використовується як другий метод аутентифікації. Хтось не може просто потрапити до вашого облікового запису, якщо у вас є пароль - їм потрібен ваш пароль і доступ до вашого телефону або його SMS-повідомлень.

Це зручно, оскільки вам не потрібно робити нічого особливого, і більшість людей мають стільникові телефони. Деякі служби навіть набирають номер телефону, а автоматизована система розмовляє кодом, що дозволяє використовувати цей номер із номером стаціонарного телефону, який не може отримувати текстові повідомлення..

Однак, існує велика проблема з перевіркою SMS. Зловмисники можуть використовувати атаки на підключення SIM, щоб отримати доступ до ваших захищених кодів або перехопити їх завдяки недолікам стільникової мережі. Рекомендується не використовувати SMS-повідомлення, якщо це можливо. Однак, SMS-повідомлення все ще набагато безпечніші, ніж взагалі не використовують будь-яку двофакторну аутентифікацію!

Коди, створені за допомогою програм (наприклад, Генератор кодів Google і Authy)

Ви також можете мати коди, створені програмою на вашому телефоні. Найбільш відомою програмою, яка використовує це, є Google Authenticator, який Google пропонує для Android і iPhone. Однак ми віддаємо перевагу Authy, який робить все, що виконує Google Authenticator, і багато іншого. Незважаючи на назву, ці програми використовують відкритий стандарт. Наприклад, до програми Google Authenticator можна додавати облікові записи Microsoft та багато інших типів облікових записів.

Установіть програму, перевірте код під час створення нового облікового запису, і ця програма генеруватиме нові коди приблизно кожні 30 секунд. Під час входу в обліковий запис потрібно ввести поточний код, відображений у програмі, а також пароль.

Це не вимагає сигналу стільникового зв'язку взагалі, і "насіння", яке дозволяє програмі генерувати ці обмежені коди, зберігається тільки на вашому пристрої. Це означає, що він набагато безпечніший, оскільки навіть той, хто отримує доступ до вашого номера телефону або перехоплює текстові повідомлення, не знатиме ваші коди.

Деякі служби - наприклад, Bitelzard's Battle.net Authenticator - також мають свої спеціальні програми для створення кодів.

Фізичні ключі автентифікації

Фізичні ключі автентифікації - це ще один варіант, який починає ставати все більш популярним. Великі компанії з технологічного та фінансового секторів створюють стандарт, відомий як U2F, і вже можна використовувати фізичний маркер U2F для захисту ваших облікових записів Google, Dropbox та GitHub. Це лише невеликий ключ USB, який ви кладете на брелок. Коли ви захочете увійти до свого облікового запису з нового комп'ютера, вам доведеться вставити ключ USB і натиснути на нього кнопку. Ось це - ніяких кодів набору. У майбутньому ці пристрої повинні працювати з NFC і Bluetooth для зв'язку з мобільними пристроями без портів USB.

Це рішення працює краще, ніж перевірка SMS-повідомлень і одноразові коди, оскільки не може бути перехоплено та переплутано. Це також простіше та зручніше у використанні. Наприклад, фішинговий сайт може показати вам підробну сторінку входу до Google і зафіксувати ваш одноразовий код під час спроби входу. Вони згодом можуть скористатися цим кодом для входу в Google. Але за допомогою ключа фізичної автентифікації, який працює спільно з вашим веб-переглядачем, веб-переглядач може переконатися, що він спілкується з реальним веб-сайтом, а код не може бути захоплений зловмисником.

Очікуйте набагато більше таких у майбутньому.

Аутентифікація на основі програми

Деякі мобільні програми можуть надавати двофакторну автентифікацію за допомогою самої програми. Наприклад, Google надає двофакторну автентифікацію без коду, якщо на вашому телефоні встановлено програму Google. Кожного разу, коли ви намагаєтесь увійти до Google з іншого комп'ютера або пристрою, вам просто потрібно натиснути кнопку на телефоні, не потрібно коду. Google перевіряє, чи маєте Ви доступ до Вашого телефону, перш ніж спробувати увійти.

Двоступенева перевірка Apple працює аналогічно, хоча вона не використовує програму, вона використовує саму операційну систему iOS. Під час спроби входу з нового пристрою можна отримати одноразовий код, надісланий на зареєстрований пристрій, наприклад, iPhone або iPad. Мобільний додаток Twitter також має подібну функцію, яка називається перевіркою входу. Google і Microsoft додали цю функцію до додатків смартфонів Google і Microsoft Authenticator.

Системи електронної пошти

Інші послуги покладаються на ваш обліковий запис електронної пошти для автентифікації. Наприклад, якщо ввімкнути Steam Guard, Steam запропонує вам ввести код одноразового використання, надісланий на вашу електронну пошту кожного разу, коли ви входите з нового комп'ютера. Це, принаймні, гарантує, що зловмиснику потрібен пароль пароля Steam та доступ до облікового запису електронної пошти, щоб отримати доступ до цього облікового запису.

Це не так безпечно, як інші способи двоетапної перевірки, оскільки комусь легко отримати доступ до облікового запису електронної пошти, особливо якщо ви не використовуєте двоетапну перевірку на ньому! Уникайте перевірки електронною поштою, якщо ви можете використовувати щось сильніше. (На щастя, Steam надає автентифікацію на основі додатків у своєму мобільному додатку.)

Останній курорт: коди відновлення

Коди відновлення забезпечують захисну мережу, якщо ви втратите метод двофакторної аутентифікації. Коли ви встановлюєте двофакторну аутентифікацію, зазвичай вам будуть надані коди відновлення, які слід записати та зберегти в безпечному місці. Вони знадобляться, якщо ви коли-небудь втратите свій метод двоетапної перевірки.

Переконайтеся, що у вас є копія кодів відновлення, якщо ви використовуєте двоетапну аутентифікацію.

Ви не знайдете багато варіантів для кожного облікового запису. Однак багато служб пропонують кілька методів двоетапної перевірки, з яких можна вибрати.

Також існує можливість використання декількох методів двофакторної автентифікації. Наприклад, якщо ви налаштували як додаток, що генерує код, так і фізичний ключ безпеки, ви могли б отримати доступ до свого облікового запису за допомогою програми, якщо ви втратите фізичний ключ.