Различные формы двухфакторной аутентификации SMS, приложения для аутентификации и многое другое
Многие онлайн-сервисы предлагают двухфакторную аутентификацию, которая повышает безопасность, требуя для входа не только пароль. Существует много различных типов дополнительных методов аутентификации, которые вы можете использовать..
Различные сервисы предлагают разные методы двухфакторной аутентификации, а в некоторых случаях вы даже можете выбрать один из нескольких вариантов. Вот как они работают и чем они отличаются.
СМС подтверждение
Многие сервисы позволяют вам подписаться на получение SMS-сообщения, когда вы входите в свою учетную запись. Это SMS-сообщение будет содержать короткий одноразовый код, который вам нужно будет ввести. С этой системой ваш мобильный телефон используется в качестве второго метода аутентификации. Кто-то не может просто войти в вашу учетную запись, если у вас есть пароль - им нужен ваш пароль и доступ к вашему телефону или его SMS-сообщениям..
Это удобно, так как вам не нужно делать ничего особенного, и у большинства людей есть мобильные телефоны. Некоторые службы даже набирают номер телефона, и автоматизированная система произносит код, что позволяет использовать его со стационарным номером телефона, который не может принимать текстовые сообщения..
Тем не менее, есть большие проблемы с проверкой SMS. Злоумышленники могут использовать атаки подкачки SIM-карты, чтобы получить доступ к вашим безопасным кодам или перехватить их благодаря недостаткам в сотовой сети. Мы рекомендуем не использовать SMS-сообщения, если это возможно. Тем не менее, SMS-сообщения по-прежнему гораздо более безопасны, чем вообще без использования двухфакторной аутентификации.!
Сгенерированные приложением коды (например, Google Authenticator и Authy)
Вы также можете иметь свои коды, сгенерированные приложением на вашем телефоне. Самым широко известным приложением, которое делает это, является Google Authenticator, который Google предлагает для Android и iPhone. Однако мы предпочитаем Authy, который делает все, что делает Google Authenticator, и даже больше. Несмотря на название, эти приложения используют открытый стандарт. Например, можно добавить учетные записи Microsoft и многие другие типы учетных записей в приложение Google Authenticator..
Установите приложение, отсканируйте код при настройке новой учетной записи, и это приложение будет генерировать новые коды примерно каждые 30 секунд. Вам нужно будет ввести текущий код, отображаемый в приложении на вашем телефоне, а также пароль при входе в учетную запись..
Для этого вообще не требуется сотовый сигнал, а «семя», которое позволяет приложению генерировать эти ограниченные по времени коды, хранится только на вашем устройстве. Это означает, что это намного более безопасно, так как даже тот, кто получает доступ к вашему номеру телефона или перехватывает ваши текстовые сообщения, не будет знать ваши коды.
Некоторые сервисы, например, Blizzard Battle.net Authenticator, также имеют свои собственные специализированные приложения для генерации кода..
Ключи физической аутентификации
Физические ключи аутентификации являются еще одним вариантом, который начинает становиться все более популярным. Крупные компании из технологического и финансового секторов создают стандарт, известный как U2F, и уже можно использовать физический токен U2F для защиты ваших учетных записей Google, Dropbox и GitHub. Это всего лишь маленький USB-ключ, который вы надеваете на брелок. Всякий раз, когда вы хотите войти в свою учетную запись с нового компьютера, вам нужно будет вставить USB-ключ и нажать на нем кнопку. Вот и все - никаких печатных кодов. В будущем эти устройства должны работать с NFC и Bluetooth для связи с мобильными устройствами без USB-портов..
Это решение работает лучше, чем СМС-проверка и одноразовые коды, потому что его нельзя перехватить и испортить. Это также проще и удобнее в использовании. Например, фишинговый сайт может показывать вам поддельную страницу входа в Google и захватывать ваш одноразовый код при попытке войти в систему. Затем они могут использовать этот код для входа в Google. Но с помощью физического ключа аутентификации, который работает совместно с вашим браузером, браузер может гарантировать, что он взаимодействует с реальным веб-сайтом, и злоумышленник не может перехватить код.
Ожидайте увидеть намного больше из них в будущем.
Аутентификация на основе приложений
Некоторые мобильные приложения могут обеспечивать двухфакторную аутентификацию с использованием самого приложения. Например, Google теперь предлагает двухфакторную аутентификацию без кода, если на вашем телефоне установлено приложение Google. Всякий раз, когда вы пытаетесь войти в Google с другого компьютера или устройства, вам просто нужно нажать кнопку на вашем телефоне, код не требуется. Google проверяет, есть ли у вас доступ к вашему телефону, прежде чем вы попытаетесь войти.
Двухэтапная проверка Apple работает аналогично, хотя она не использует приложение - она использует саму операционную систему iOS. Всякий раз, когда вы пытаетесь войти в систему с нового устройства, вы можете получить одноразовый код, отправленный на зарегистрированное устройство, например, на ваш iPhone или iPad. Мобильное приложение Twitter также имеет аналогичную функцию, называемую проверкой входа в систему. Кроме того, Google и Microsoft добавили эту функцию в приложения для смартфонов Google и Microsoft Authenticator..
Системы на основе электронной почты
Другие сервисы используют вашу учетную запись электронной почты для аутентификации. Например, если вы включите Steam Guard, Steam предложит вам ввести одноразовый код, отправляемый на вашу электронную почту при каждом входе в систему с нового компьютера. Это, по крайней мере, гарантирует, что злоумышленнику потребуется как пароль вашей учетной записи Steam, так и доступ к вашей учетной записи электронной почты, чтобы получить доступ к этой учетной записи.
Это не так безопасно, как другие двухэтапные методы проверки, поскольку для кого-то может быть легко получить доступ к вашей учетной записи электронной почты, особенно если вы не используете двухэтапную проверку! Избегайте проверки по электронной почте, если вы можете использовать что-то более сильное. (К счастью, Steam предлагает аутентификацию на основе приложений в своем мобильном приложении.)
Последний курорт: коды восстановления
Коды восстановления обеспечивают защитную сеть на случай, если вы потеряете метод двухфакторной аутентификации. Когда вы устанавливаете двухфакторную аутентификацию, вам обычно предоставляются коды восстановления, которые вы должны записать и хранить в надежном месте. Они понадобятся вам, если вы когда-нибудь потеряете свой двухэтапный метод проверки..
Убедитесь, что у вас есть копия кода восстановления, если вы используете двухэтапную аутентификацию.
Вы не найдете столько вариантов для каждой из ваших учетных записей. Однако многие службы предлагают несколько двухэтапных методов проверки, которые вы можете выбрать.
Существует также возможность использования нескольких методов двухфакторной аутентификации. Например, если вы настроили и приложение для генерации кода, и физический ключ безопасности, вы можете получить доступ к своей учетной записи через приложение, если потеряете физический ключ..
