Как выбрать и настроить двухфакторную аутентификацию (2FA) и что делать, если вы потеряете устройство

Паролей уже недостаточно. Вброс учетных данных, слабые пароли, использование одной и той же учетной записи и пароля для попыток в другом месте после того, как небольшой веб-сайт был перенесен в базу данных — эти вещи случаются так часто, что фраза «мой пароль довольно сложен» вряд ли представляет собой линию защиты. Двухфакторная аутентификация (2FA) решает эту проблему: добавив к паролю еще одну проверку, злоумышленник не сможет войти, даже если он получит только пароль.

Ссылка: Binance Academy (https://academy.binance.com/en/articles/what-is-two-factor-authentication-2fa). Ниже представлена ​​реорганизованная версия в соответствии с моим пониманием, в которой основное внимание уделяется тому, как выбирать, как настраивать и что делать, если что-то пойдет не так.

Что именно проверяет 2FA?

Его логика заключается в том, чтобы требовать два типа учетных данных разного характера, а не запрашивать одно и то же дважды. Три общие категории: то, что вы знаете (пароль, PIN-код), то, что у вас есть (мобильный телефон, аппаратный ключ, устройство, которое может получать или генерировать одноразовый код проверки) и ваши собственные характеристики (отпечаток пальца, лицо).

Большинство людей на самом деле используют комбинацию «пароль + одноразовый код подтверждения». Злоумышленнику гораздо сложнее получить и ваш пароль, и второй фактор, чем украсть всего один пароль.

Здесь есть одно различие, которое легко упустить из виду: двухэтапная проверка и настоящий 2FA не совсем эквивалентны. В первом случае могут использоваться два фактора одного и того же типа, например пароль и секретный вопрос, оба из которых попадают в категорию «то, что вы знаете»; Фактические факторы требований 2FA относятся к разным категориям. Конечно, в реальных продуктах эти два термина часто используются как синонимы. В большинстве сценариев пароль сочетается с одноразовым кодом проверки.

Шесть распространенных форм, каковы их недостатки?

**Код подтверждения по SMS. ** Лучшая совместимость, нет необходимости устанавливать приложение или покупать оборудование. Но боится угона SIM-карты — злоумышленник обманом заставляет оператора перенести ваш номер на подконтрольную ему карту, и код проверки попадает в чужие руки. 2FA лучше, чем ничего, но это один из самых слабых вариантов.

** Приложение для аутентификации. **Такие инструменты, как Google Authenticator и Authy, генерируют одноразовые пароли на основе времени (TOTP), которые обновляются каждые 30 секунд. Его можно использовать без подключения к Интернету, и на него не влияет угон SIM-карты. Цена в том, что она привязана к устройству, на котором установлена. Если телефон утерян и нет резервной копии, учетная запись может быть недоступна.

**Аппаратный токен. ** Физические ключи, такие как YubiKey, работают в автономном режиме, невосприимчивы к большинству удаленных атак и имеют первоклассный уровень безопасности. Недостаток в том, что вам придется потратить деньги, чтобы купить его и носить с собой; если он утерян или сломан, вам необходимо заменить его, и вам необходимо иметь резервный метод восстановления.

**Биометрия. ** Отпечаток пальца и лицо, быстро, не нужно вводить код. Что действительно важно, так это то, как хранить и защищать биометрические данные: если ваш отпечаток пальца станет известен, вы не сможете изменить его, как пароль. Сейчас большинство мобильных телефонов имеют такую ​​возможность.

**Код подтверждения электронной почты. ** Знакомо, дополнительного оборудования не требуется. Проблема в том, что электронная почта становится единой точкой отказа: кто бы ни получил доступ к вашей электронной почте, он может обойти вашу 2FA. Обычно используется только тогда, когда нет лучших вариантов.

**Пароль и FIDO2. ** Это новый стандарт. Он не полагается на «пароль + код подтверждения», а хранит пару ключей на устройстве. Вы используете биометрию или PIN-код для разблокировки устройства и завершения аутентификации, и сервер не может получить ваш закрытый ключ. Поскольку здесь нет паролей или кодов подтверждения, которые можно было бы обмануть, он, естественно, невосприимчив к фишинговым веб-сайтам. Google, Apple, Microsoft и другие платформы будут постепенно поддерживать его с 2023 года.

Кстати, Passkey призван заменить старую модель «пароль + код подтверждения», а не использоваться в качестве второго фактора, поэтому это не та же концепция, что и 2FA.

Процесс установки и шаг, который легче всего пропустить

Каждый интерфейс различен, но последовательность в основном одинакова: сначала решите, какой метод использовать (для большинства людей приложение-аутентификатор — это сбалансированный выбор между безопасностью и удобством, и нет необходимости покупать дополнительное оборудование); затем зайдите в настройки безопасности или учетной записи, найдите вход в двойную верификацию/двухэтапную верификацию и следуйте подсказкам, чтобы открыть его; затем завершите привязку. Приложение-аутентификатор обычно сканирует код, SMS — для подтверждения номера мобильного телефона, а аппаратный токен — для регистрации устройства.

Последний шаг проще всего пропустить: **Сохраните резервный код. ** При включении 2FA поставщик услуг обычно предоставляет вам набор кодов восстановления, которые можно использовать для спасения в случае сбоя основного метода проверки. Распечатайте его и заприте в ящике или поместите в менеджер паролей. Не просто сделайте снимок экрана и сохраните его на том же телефоне. Без резервного кода восстановление учетной записи может занять много времени.

Несколько вещей, на которые следует обратить внимание после использования

Одноразовый код подтверждения не будет передан никому, даже если другая сторона утверждает, что является службой поддержки клиентов или официальной платформой. Фишинговая страница заставит вас ввести код подтверждения в режиме реального времени, поэтому сначала подтвердите доменное имя, когда увидите страницу входа. Старайтесь не выполнять операции проверки на общедоступном Wi-Fi, так как трафик может быть перехвачен. Откройте все учетные записи, поддерживающие 2FA, а не только те, которые вы используете каждый день. Если вы поменяли телефон или потеряли устройство, немедленно зайдите во все связанные аккаунты, чтобы обновить настройки. Также хорошей привычкой будет время от времени проверять, какие устройства и приложения все еще имеют разрешения.

Учетная запись Exchange: что еще нужно проверить, кроме 2FA

После кражи учетной записи криптоактива последствия гораздо серьезнее, чем у учетной записи в социальной сети, поэтому здесь стоит подумать немного больше. С точки зрения безопасности отдавайте приоритет использованию приложений для аутентификации или аппаратных токенов вместо текстовых сообщений; Также проверяются такие переключатели, как белый список адресов вывода валюты и электронные письма с подтверждением вывода валюты.

Что касается затрат, с точки зрения обработки комиссий и скидок, есть несколько моментов, которые стоит проверить в своем аккаунте, а не слушать других: каковы ставки мейкера и тейкера для спота и контракта соответственно, на какой уровень разделен VIP-уровень (например, объем торгов или позиция), действительно ли вычет BNB действительно эффективен на вашем уровне, какая сумма фактически вычитается после вычета, и если вы используете канал скидок, на какой базе и в течение какого периода рассчитываются скидки? Эти цифры различны для каждой компании, каждой категории и каждого вида деятельности и также будут корректироваться. Я не буду приводить здесь конкретные значения — важно то, что вы видите на странице тарифов и выставляете себе счет.

Часто задаваемые вопросы

**Достаточно ли SMS 2FA? ** Надежнее, чем просто использование пароля, но его проще всего взломать несколькими способами. Для учетных записей, содержащих большие суммы, безопаснее переключиться на приложение-валидатор или аппаратный токен.

**Что делать, если устройство потеряно? ** Используйте резервный код, сохраненный при открытии, или следуйте процедуре восстановления учетной записи поставщика услуг. Вот почему резервные коды следует сохранять в день установки.

**Может ли 2FA гарантировать абсолютную безопасность учетной записи? ** не может. Это только повышает порог атак, и такие пути, как фишинг, социальная инженерия и проникновение на само устройство, все еще существуют.

##Наконец-то

2FA — экономически эффективный шаг, но не талисман. Какой метод вы выберете, зависит от ваших привычек использования и поддержки платформы. Ключевой момент – не бегать голым – особенно по счетам, связанным с деньгами.

Эта статья представляет собой лишь подборку общей информации, не представляет собой инвестиционный совет и не отражает официальную позицию какой-либо платформы.