Двухэтапная проверка: сравнение SMS, приложения и passkey
Содержание
Двухэтапная проверка означает, что для входа в аккаунт нужно второе подтверждение помимо пароля. Но «двухэтапная проверка» — это не один способ: SMS-коды, приложения-аутентификаторы и ключи безопасности или passkey предлагают заметно разный уровень защиты и удобства. В этой статье мы сравниваем способы двухэтапной проверки и объясняем, какой из них подходит для каких аккаунтов.
Зачем нужна двухэтапная проверка?
Пароли могут попасть в руки злоумышленников через утечки данных, фишинговые страницы или повторное использование на разных сайтах. Второй шаг затрудняет вход в ваш аккаунт только по украденному паролю. Поэтому любая двухэтапная проверка лучше, чем её отсутствие. Настоящий вопрос не в том, «включать ли её», а в том, «какой способ выбрать».
Оценивая способ, смотрите на три вещи: насколько он устойчив к подмене и фишингу, насколько удобен в повседневной работе и как вы сможете вернуть доступ к аккаунту, если потеряете телефон.
Способ 1: SMS-коды
Шестизначный код приходит на ваш номер телефона, и вы вводите его вручную. Это самый простой способ в настройке: не нужно никаких дополнительных приложений, и всем понятно, как он работает.
Плюсы: очень простая настройка, доступен почти для любого сервиса, не требует технических знаний.
Минусы: безопасность зависит от того, кто контролирует ваш номер. Основные риски — перенос номера к другой SIM-карте у оператора (SIM-своп), сообщения, которые выманивают коды, и ситуации, когда вас уговорили продиктовать код кому-то другому. За границей или там, где нет сети, коды могут не приходить.
SMS лучше, чем ничего, и иногда это единственный вариант. Но для важных аккаунтов его не стоит выбирать первым.
Способ 2: приложения-аутентификаторы (TOTP)
Приложение на телефоне генерирует короткоживущие коды, которые меняются каждые 30 секунд. Коды создаются прямо на вашем устройстве, поэтому SMS и сетевое соединение не нужны.
Плюсы: даже если номер телефона перехвачен, коды не попадают к злоумышленнику. Работает без интернета. Многие сервисы его поддерживают.
Минусы: если телефон потерян или сброшен, доступ к кодам пропадает вместе с ним, поэтому резервные коды или функция резервного копирования приложения обязательны. Если вы сами вводите код на поддельной странице входа, риск остаётся, так что полной защиты от фишинга здесь нет.
Для большинства людей это лучший баланс безопасности и удобства.
Способ 3: ключи безопасности и passkey
Ключ безопасности (физическое устройство, работающее через USB или NFC) и passkey (учётные данные, которые хранятся на телефоне, компьютере или в менеджере паролей и открываются отпечатком пальца или лицом) относятся к одному семейству. Код вводить не нужно: устройство взаимодействует с настоящим адресом, на который вы входите.
Плюсы: самый устойчивый к фишингу способ, потому что он не работает на поддельном сайте. Без необходимости вводить код вход быстрый и удобный.
Минусы: поддерживают не все сервисы. Если вы потеряете физический ключ или доступ к аккаунту, где хранится ваш passkey, понадобится план восстановления. Физический ключ стоит денег, и рекомендуется заранее купить запасной.
Таблица сравнения
| Способ | Устойчивость к фишингу | Риск SIM-свопа | Удобство | Если вы потеряли устройство |
|---|---|---|---|---|
| SMS-код | Низкая | Да | Очень высокое | Восстанавливается при возврате номера |
| Приложение-аутентификатор | Средняя | Нет | Высокое | Нужны резервные коды или резервная копия приложения |
| Ключ безопасности | Очень высокая | Нет | Средне-высокое | Запасной ключ обязателен |
| Passkey | Очень высокая | Нет | Очень высокое | Зависит от аккаунта, с которым он синхронизирован |
Оценки показывают общие тенденции; детали реализации могут отличаться у разных сервисов.
Какой способ для какого аккаунта?
- Почта, банк, криптовалюта, менеджер паролей: passkey или ключ безопасности, если возможно; иначе приложение-аутентификатор. Почта — ключ для восстановления всего остального, поэтому она должна быть лучше всего защищена.
- Соцсети и мессенджеры: приложение-аутентификатор или passkey. SMS — только если больше ничего не предлагается.
- Покупки, подписки, игры: приложения-аутентификатора достаточно; используйте passkey, если он доступен.
- Одноразовые аккаунты: SMS допустим, при условии что вы не используете тот же пароль в других местах.
Если аккаунт позволяет подключить несколько способов, сделайте один основным, а другой — резервным.
Виртуальные номера и двухэтапная проверка
Одноразовые виртуальные номера, которые используются для получения кодов подтверждения, не дают постоянного владения. Поэтому номер не подходит как основа SMS-проверки для вашего аккаунта: вы не сможете использовать его снова. Если вы открыли аккаунт с виртуальным номером, сразу после регистрации добавьте приложение-аутентификатор или passkey и укажите адрес электронной почты для восстановления.
Некоторые платформы могут не принимать виртуальные номера, и тогда нужно соблюдать условия сервиса. Если код не приходит, прочитайте статью почему SMS-код не приходит. Актуальные сервисы и страны смотрите на странице цен.
Короткий чек-лист настройки
- Сначала включите самый надёжный способ на почте.
- Затем включите его в банке, соцсетях и менеджере паролей.
- Для каждого аккаунта зарегистрируйте хотя бы один резервный способ.
- Храните резервные коды офлайн, в надёжном месте; не оставляйте скриншот с ними в облаке.
- При смене телефона не удаляйте старый, пока не убедитесь, что приложение-аутентификатор перенесено на новое устройство.
- Время от времени проверяйте списки «доверенных устройств» и «активных сеансов» в настройках аккаунта.
Типичные ошибки
Даже хороший способ можно ослабить привычками:
- Отсутствие резервного плана: самая частая проблема — навсегда потерянный доступ к аккаунту после потери телефона.
- Резервные коды в виде скриншота в облаке: если аккаунт взломают, коды попадут к злоумышленнику вместе с ним.
- Сообщение кода другому человеку: какой бы ни был способ, передача кода снимает защиту.
- Один и тот же пароль везде: второй шаг помогает, но не заменяет хорошие привычки с паролями.
- Привычка подтверждать запросы не глядя: никогда не принимайте уведомление о подтверждении, если вы сами не входили в аккаунт.
Часто задаваемые вопросы
Нужно ли вообще отказаться от SMS-двухэтапной проверки?
Нет. SMS намного безопаснее, чем отсутствие второго шага. Включайте его, если это единственный вариант, а при появлении более надёжного способа переходите на него.
Заменяет ли passkey пароль?
На многих сервисах passkey позволяет входить вместо пароля и одновременно работает как второй шаг. В зависимости от сервиса пароль может остаться рядом с ним, поэтому проверьте настройки.
Как вернуть доступ к аккаунту, если я потерял телефон?
С помощью резервных кодов, которые вы сохранили заранее, второго зарегистрированного устройства или запасного ключа безопасности. Подготовить их при настройке — самый важный шаг.
Могут ли приложение-аутентификатор и SMS быть включены одновременно?
На большинстве сервисов — да. Но пока SMS остаётся активным, злоумышленники могут пытаться использовать этот путь, поэтому, если есть возможность, оставьте SMS только как крайний вариант.