Варианты 2FA
Рассмотрим несколько самых популярных и широко используемых методов 2FA.
Хорошая опция: код через СМС
Когда вы устанавливаете 2FA многие сервисы позволяют вам использовать ваш номер телефона, как способ получения дополнительноог кода. Когда вы входите в свой аккаунт, вам приходит смс с кодом.
СМС самый простой способ 2FA, но очень зависящий от сотовой связи и номера телефона. Если у вас не будет связи или вы будете в другой стране и у вас не будет возможности получить СМС, в аккаунт зайти не будет возможности.
Также стоит упомянуть, что злоумышленники могут просто перевыпустить или клонировать вашу сим-карту и начать получать на неё все ваши коды. В любом случае, лучше использовать хоть какой-то способ 2FA, чем не использовать его совсем.
Вывод: обязательно включаем, если нет других способов.
Вариант получше: приложение аутентификации
Некоторые сервисы позволяют вам настроить вам получение временных кодов через мобильное (или десктопное) приложение. Есть большой выбор приложений, но мы рекомендуем использовать Aegis на андроид и RaivoOTP на ios. Впрочем, вам решать чем пользоваться.
Это вам знать не обязательно, но интересно.
Такие приложения используют алгоритм TOTP (Time-based One-Time Password, можно перевести как одноразовые пароли основанные на ВРЕМЕНИ). Время здесь особенно важно, потому что оно является параметром создания одноразовых кодов. Обычно пароли меняются каждые 30 секунд.
При регистрации этого способа аутентификации на каком либо сервисе, вам нужно с помощью приложения аутентификации сканировать QR-код. Приложение считает все параметры и создаст генератор временных паролей. Идентичный генератор будет работать независимо на сервере. При попытке войти в аккаунт, сервис запрашивает у вас ваш временный пароль и сравнивает его со значением своего собственного генератора. Если они совпадают, вы можете зайти на сервис.
Как вы уже поняли, время здесь играет важную роль и теоретически у нас появляется проблема: при рассинхронизации времени в вашем телефоне и времени на сервере более чем на 30 секунд, вы не сможете зайти в ваш аккаунт. Практически же, если телефон автоматически синхронизирует время и часовой пояс, никаких проблем никогда не возникает.
В отличии от СМС, приложениям аутентификации не требуется доступ к мобильной сети или интернету. Также, если вы не синхронизируете данные таких приложений через облако, у мошенников почти нет возможностей получить эти коды (Разве что вы попадетесь на фальшивый сайт и сами введете этот код).
Лучший вариант: ключ безопастности
Сейчас ключи безопастности — это самый безопастный и эффективный способ использования 2FA. Ключ безопастности — это физическое USB устройство (размером маленькую флэшку), с помощью которого вы можете войти в свой аккаунт.
В отличии от предыдущих двух вариантов, этот не является бесплатным. Ключ безопастности придется купить. Самый популярный вариант — ключи от Yubikey стоят от 25 до 100 евро.
Ключи безопастности не так широко распространены, как приложения аутентификации. Однако их тоже поддерживает большое количество крупных сайтов.
Всю информацию из этой статьи можно представить в виде одной картинки:
Выводы
Использовать вторую ступень авторизации необходимо всегда. Если сервис поддерживает СМС — ставим СМС. Если сервис поддерживает приложения аутентификации, ставим приложение. Если вы способны потратить пару тысяч рублей на ключ безопастности, покупаем ключ. Для большинства же хватит бесплатного приложения.
Вот тут скоро будет небольшая инструкция по выбору приложения аутентификации, его настройке и бэкапу данных.
Что такое 2FA и Google Authenticator
2FA — это метод определения подлинности пользователя, который требует прохождения двух степеней защиты (а не одной, как раньше) перед получением доступа к аккаунту. Вот эти степени защиты:
- пароль от аккаунта;
- уникальный цифровой код, который генерируется специальным приложением, установленным на мобильном устройстве.
Google Authenticator — приложение для 2FA с помощью которого происходит генерация уникального одноразового 6-значного кода каждые 30 секунд.
Двухфакторная аутентификация, биржа Binance
Итак, биржа Binance настоятельно будет Вам напоминать о подключении 2FA (двухфакторной аутентификации), пока Вы это не сделаете. Поэтому при входе в свой аккаунт, Вы всегда будете видеть вот такое вот всплывающее окно:
Можете прямо тут нажать на первую кнопку “Google Auth”, либо, если Вы уже находитесь внутри аккаунта, то просто выберите соответствующий пункт и нажмите кнопку “Enable”:
Включение двухфакторной аутентификации на Binance
Вы должны увидеть вот такое окно с тремя последовательными шагами:
- В левой части будут представлены ссылки на магазины с приложением. Если приложение у Вас еще не установлено, то переходите по ссылке и устанавливайте.
- Когда на своем смартфоне Вы откроете данное приложение, то увидите экран, через который можно добавлять аккаунты разных сервисов, которым требуется 2FA. Добавление происходит одним из двух способов — можно либо сканировать QR-код, либо ввести вручную 16-значный ключ:
- Удобнее и быстрее конечно же использовать сканер, поэтому выбираем пункт “Сканировать штрихкод”.
- В центральной части окна биржи находится наш QR-код (он замазан), на который мы и наводим камеру так, чтобы он оказался внутри красной рамки. Камера сработает автоматически, ничего нажимать не надо. Ниже QR-кода находится 16-значный ключ (он перечеркнут), который можно ввести вручную, если предварительно выбрать пункт “Ввести ключ”. Аккаунт для биржи автоматом будет добавлен в приложение и отобразится в списке, где:
- 1 — имя аккаунта (его можно менять);
- 2 — тот самый 6-значный код;
- 3 — оставшееся время до генерации нового кода.
- В правой части окна биржи находится кнопка “I’ve backed it up, Continue.”, на которую нужно нажать, чтобы включить 2FA.
Но, прежде чем это сделать, внимательно прочитайте предупреждение, а затем сделайте скриншот этого экрана (чтобы там были QR-код и 16-значный ключ) и сохраните его в надежном месте. В будущем, если вдруг что-то случится со смартфоном (украдут, сломается, будет сброшен к заводским настройкам, будет удалено приложение Google Authenticator и т.д.), этот скриншот позволит Вам заново создать аккаунт для 2FA для этой биржи, просто повторно отсканировав код или введя ключ. Таким образом Вы не потеряете доступ к своим деньгам.
- Нажав на кнопку, Вы увидите следующее окно:
- В первой строке Вы должны ввести 16-значный ключ, поэтому его лучше скопировать заранее. Во второй строке указываете Ваш пароль для биржи. А в третью строку вводите 2FA код, который каждые 30 секунд генерируется у Вас на смартфоне. Заполнив все поля, нажимайте кнопку “Enable 2FA” и все, можете наслаждаться двойной защитой.
- При следующем входе в аккаунт, помимо почты, пароля и разгадывания капчи, Вам понадобится ввести еще и 2FA код, который Вы уже будете искать у себя в смартфоне в приложении Google Authenticator. Без этого кода, вход в аккаунт будет невозможен.
Двухфакторная аутентификация, биржа Poloniex
Следующая биржа Poloniex — она хоть и начала сдавать позиции, но тем не менее, все еще входит в список ТОПовых.
Для включения двухфакторной аутентификации необходимо в верхнем меню нажать на кнопку с гаечным ключом и выбрать первый пункт:
Вы попадете в следующее окно:
Включение двухфакторной аутентификации на Poloniex
Тут действуем по схожей схеме:
- Вводим свой пароль от аккаунта в первое пустое поле “Password”;
- Сканируем QR-код или вручную вводим 16-значный ключ;
- Как только аккаунт Poloniex будет добавлен в Google Authenticator, мы сразу же получим наш первый 6-значный код, который необходимо будет ввести во второе пустое поле “Code”;
- Ставим галочку, соглашаясь с тем, что мы сохранили ключ;
- Нажимаем кнопку “Enable 2FA”.
Теперь, при следующем входе в аккаунт, нас любезно попросят помимо стандартных данных ввести еще и 6-значный 2FA код из приложения.
Двухфакторная аутентификация, биржа Kraken
Ну и для последнего примера возьмем еще одну известную биржу — Kraken.
На ней можно настраивать 2FA не только на вход, но и на различные действия, например, на вывод, что мы и сделаем. Для доступа к настройкам двухфакторной аутентификации перейдите в раздел “Security”, затем на вкладку “Two-Factor Authentication”:
Напротив раздела “Funding” нажмите кнопку “Setup” для доступа к настройкам:
Сперва выбираем метод 2FA — я выбрал “TOTP режим с помощью Google Authenticator”. В этом режиме каждые 30 секунд генерируется новый уникальный код, да и он нам уже знаком по двум первым примерам. Затем я снял галочку с пополнения баланса, но оставил на выводе — если кто-то взломает мой аккаунт и внесет депозит, то я ему только спасибо скажу, а вот для вывода будет нужен уже код 2FA. Алгоритм для кода я оставил по умолчанию SHA1, хотя можно выбрать более сложные. Длину кода оставил 6-значной, хотя доступны и 7, и 8 знаков. Заполнив форму, нажимаем “Continue”:
В верхнем поле (1) проверяем еще раз выбранные нами ранее опции. В центре (2) находится 16-значный ключ и QR-код — используем что больше нравится. И в строке “One-time Password” (3) вводим первый сгенерированный код, после того как аккаунт биржи будет подключен к приложению. Теперь не забываем сделать скриншот экрана, чтобы сохранить ключ и код. И лишь после этого нажимаем кнопку “Confirm”.
Вот так на примере трех бирж мы рассмотрели как с помощью приложения Google Authenticator можно подключить 2FA.
Для криптовалютных кошельков, которые поддерживают 2FA, все будет происходить подобным образом, но возможны минимальные отличия. Поэтому сделав такую привязку один раз на одном любом аккаунте, с другими аккаунтами проблем не должно быть.
Если же Вы вдруг захотите отключить 2FA, то проделайте все эти действия повторно. Только пройдя весь этот путь заново, сервисы позволят Вам отказаться от второго уровня защиты.
Возможные проблемы
Иногда Вы можете сталкиваться с такой проблемой, когда Ваш код не будет срабатывать — и вроде бы Вы делаете все правильно, но в то же время при очередном входе в аккаунт видите надпись — Неверный код. Такое может случаться из-за того, что сбивается время. Чтобы исправить это, зайдите в приложение Google Authenticator и нажмите на кнопку “…” в правом верхнем углу, для вызова меню, в котором выберите “Настройки” (1), затем “Коррекция времени для кодов” (2), после чего нажмите кнопку “Синхронизировать” (3):
В большинстве случаев это помогает. Если же это не сработало, то единственный вариант, это писать в поддержку, чтобы они деактивировали 2FA для Вашего аккаунта и Вы смогли бы войти, используя только пароль. Но будьте готовы к тому, что взамен у Вас могут попросить разные сведения об аккаунте — какой баланс, какие монеты там есть, какие операции в последнее время проводили, что покупали, что продавали и т.д.
Следующая проблема, с которой может столкнуться каждый, это когда что-то случается с Вашим мобильным устройством. Его могут украсть, оно может сломаться, Вы можете случайно удалить как само приложение Google Authenticator, так и какой-нибудь аккаунт в нем.
Разберемся для начала с последним пунктом. У Вас может быть как один аккаунт в приложении, так и сотня разных. И чтобы по ошибке (а случайно и не получится) не удалить нужный, рекомендую не оставлять названия по умолчанию, а переименовывать аккаунты (просто пишите название сервиса, как на скриншоте выше). Тогда всегда будет понятно, что это за аккаунт и риск случайного удаления будет сведен на нет.
В случае кражи или поломки устройства, чтобы не остаться у разбитого корыта, всегда сохраняйте QR-коды как картинку, а 16-значные ключи в текстовой форме или переписывайте на бумагу. Об этом я говорил в примере с биржей Binance. Если код и ключ у Вас сохранены в надежном месте, то Вы всегда сможете получить доступ к аккаунту, установив приложение Google Authenticator на новое устройство.
Если Вы опять делаете все правильно, но коды не срабатывают, то обращайтесь в поддержку.
Безопасность в квадрате
Двухэтапная аутентификация усиливает защиту аккаунта, так как при входе нужно подтверждать личность. Google предлагает несколько способов подтверждения.
- Link copied to the clipboard Press Ctrl+C or ⌘+C to copy
Взлом аккаунта может привести к весьма неприятным последствиям. Бывало, что хакеры занимались троллингом в социальных сетях или рассылали мошеннические письма от лица ничего не подозревающих пользователей и даже снимали деньги с их банковских счетов. Часто владельцы аккаунтов слишком поздно замечают признаки взлома.
Большинство людей уверено, что для защиты достаточно пароля. Это одна из причин, почему многие становятся жертвами хакеров. Ведь в интернете есть целые списки с украденными учетными данными. Они содержат миллионы паролей, полученных в результате успешных попыток взлома. Люди нередко используют везде один и тот же пароль. Так что информация для входа в их аккаунты Google тоже может оказаться в этих списках, даже если сами аккаунты взломаны не были. Ещё один метод, с помощью которого злоумышленники крадут пароли и другие личные данные, – фишинг. Для него мошенники рассылают письма от имени известных компаний или создают поддельные сайты.
Именно поэтому Google в числе других компаний рекомендует настроить двухэтапную аутентификацию. Когда она включена, для входа в аккаунт требуется два разных фактора, например созданный пользователем пароль и код, отправленный в SMS. Двухэтапная аутентификация получила широкое распространение, в частности среди банков и платежных систем.
Эксперты по безопасности выделяют три основных фактора, которые применяются для двухэтапной аутентификации. Первый – это информация, которую вы знаете (например, код из SMS или ответ на секретный вопрос). Второй фактор – предмет, который у вас есть и который можно использовать для аутентификации (например, банковская карта). Третий – ваши биометрические данные (например, отпечаток пальца). Двухэтапная аутентификация предусматривает использование двух из трех этих факторов.
Google предлагает несколько вариантов второго этапа аутентификации. Например, вместе с паролем можно ввести одноразовый защитный код, полученный с помощью SMS или голосового вызова или созданный в приложении Google Authenticator (оно доступно для Android и iOS). Кроме того, в аккаунте Google есть возможность указать надежные устройства. При попытке выполнить вход с устройства, которого нет среди надежных, пользователь получит предупреждение системы безопасности.
Три года назад компания Google добавила ещё один способ подтверждения личности – с помощью электронного ключа. Пользователь должен подключить его через USB, NFC или Bluetooth к тому устройству, на котором входит в аккаунт. В основе этого способа подтверждения лежит открытый стандарт U2F, разработанный ассоциацией FIDO. Google состоит в ней вместе с такими компаниями, как Microsoft, Mastercard и PayPal. Электронные U2F-ключи выпускаются различными производителями и стоят недорого. При этом они обеспечивают высокий уровень защиты и значительно снижают риск кражи данных. Теоретически хакеры могут взломать аккаунт из любой точки мира, но без электронного ключа им не удастся выполнить вход, даже если они узнают учетные данные. Кроме Google, аутентификацию с помощью электронных ключей поддерживают и некоторые другие компании.
Конечно, у двухэтапной аутентификации есть определенные минусы. Так, если в качестве второго этапа выбрано использование кода из SMS, то для входа в аккаунт с нового устройства нужно иметь при себе телефон. Электронный ключ может потеряться. Однако его преимущества намного важнее этой проблемы, тем более что она решаема. Утерянный электронный ключ можно удалить из аккаунта и добавить новый. Ещё одно решение – заранее зарегистрировать второй ключ и хранить его в безопасном месте.
9 ноября Google вводит обязательную двухэтапную аутентификацию: что это значит?
Еще в мае компания Google обещала сделать двухэтапную аутентификацию обязательной для пользователей своих сервисов. И вот это время пришло.
Что это значит
Изменения вступят в силу на следующей неделе, 9 ноября, и компания уже начала отправлять пользователям соответствующие уведомления. Двухэтапная аутентификация означает, что для входа в свой аккаунт понадобится не только пароль, придуманный вами, но и одноразовый пароль, который вы получите в или электронном письме.
« После ввода пароля вам понадобится предпринять еще одно действие с помощью смартфона. Держите телефон под рукой при входе в систему. Двухэтапная аутентификация будет автоматически активирована 9 ноября. Если хотите, вы можете активировать эту функцию заранее: ваш аккаунт готов » , — говорится в уведомлении Google.
Кража паролей — самый распространенный способ взлома учетных записей, особенно с учетом того, что далеко не все стараются придумать сложный пароль. А двухфакторная аутентификация Google призвана бороться с этим и повысить безопасность.