Двухфакторная аутентификация

Что такое двухфакторная аутентификация

Двухфакторная аутентификация, часто сокращаемая до 2FA, — это способ входа, при котором запрашиваются два разных вида подтверждения того, что вы именно тот, за кого себя выдаёте. Первое обычно — то, что вы знаете, например пароль. Второе — то, что у вас есть, например телефон с приложением-аутентификатором, аппаратный ключ безопасности или код в текстовом сообщении, либо то, чем вы являетесь, например отпечаток пальца или скан лица.

Идея проста. Украденного или подобранного пароля самого по себе недостаточно, потому что злоумышленнику нужен ещё и второй элемент. Пароли утекают при взломах баз данных, используются повторно на разных сайтах и могут быть перехвачены поддельными страницами входа. Второй фактор создаёт барьер, который эти рутинные атаки обойти не могут.

Для всех, у кого есть брокерский, торговый или платёжный счёт, 2FA — одна из самых эффективных и наименее затратных мер защиты. На счетах хранятся деньги и персональные документы, с них можно совершать сделки или запрашивать вывод средств, поэтому они — естественная цель для преступников. Многие регулируемые компании требуют или настоятельно рекомендуют 2FA, а в некоторых регионах правила строгой аутентификации клиентов при платежах означают, что она применяется к определённым действиям независимо от вашего выбора.

Как это работает

Процесс добавляет один шаг после ввода пароля.

1. Вы вводите имя пользователя и пароль как обычно.
2. Сервис запрашивает второй фактор. Это может быть шестизначный код, который меняется каждые 30 секунд, push-уведомление, которое вы подтверждаете, касание физического ключа или биометрическая проверка.
3. Сервис сверяет второй фактор с ожидаемым значением. Если оба фактора верны, сеанс начинается.

Основные типы различаются по надёжности.

• SMS или голосовые коды. Код отправляется на ваш номер телефона. Легко настроить, но это более слабый вариант: номера телефонов можно перехватить через подмену SIM-карты (SIM swapping), а сообщения — перехватить.
• Приложения-аутентификаторы. Приложение и сервис при настройке обмениваются общим секретом. Затем приложение локально генерирует временные одноразовые коды, сеть для этого не нужна. Это обычный стандартный выбор.
• Push-подтверждения. Сервис отправляет запрос в зарегистрированное приложение, и вы подтверждаете или отклоняете его. Удобно, но этим можно злоупотребить, если нажимать «подтвердить» по привычке.
• Аппаратные ключи безопасности. Небольшое устройство, которое криптографически подтверждает вашу личность и привязано к настоящему адресу сайта, поэтому устойчиво к поддельным страницам входа. Как правило, самый надёжный вариант для обычных пользователей.
• Биометрия. Распознавание отпечатка пальца или лица на устройстве; обычно она разблокирует сохранённые учётные данные, а не передаётся самому сервису.

Сервисы также выдают резервные коды при настройке. Они позволяют войти, если вы потеряли устройство, и их следует хранить офлайн.

Пример

Это иллюстративный сценарий. Трейдер использует один и тот же пароль на форуме и на брокерском счёте. Форум взломан, и пароль оказывается в списке, продаваемом в интернете.

Без 2FA

1. Злоумышленник пробует утёкшие адрес электронной почты и пароль на странице входа брокера.
2. Вход удаётся. Злоумышленник заходит в аккаунт, меняет контактные данные и пытается подать запрос на вывод средств.

С 2FA через приложение-аутентификатор

1. Злоумышленник пробует те же адрес электронной почты и пароль.
2. Брокер запрашивает шестизначный код. У злоумышленника нет телефона трейдера, и он не может его получить.
3. Вход не удаётся. Трейдер может получить уведомление о неудачной попытке и сменить пароль.

Утёкший пароль в обоих случаях один и тот же. Разница — во втором барьере. Если бы злоумышленник вместо этого обманом заставил трейдера ввести код на поддельной странице входа в реальном времени, код из приложения всё же мог бы быть передан дальше, поэтому высоко ценятся аппаратные ключи и методы, устойчивые к фишингу.

Почему это важно

Захват аккаунта — одна из главных причин мошенничества в розничной торговле: последствия могут включать несанкционированные сделки, попытки мошеннического вывода средств, кражу личности и неправомерное использование документов, загруженных для верификации. Восстановление может быть медленным, и не каждый убыток возмещается, поскольку условия зависят от компании и от того, были ли вы небрежны с учётными данными.

Функции безопасности у брокеров также различаются. Одни требуют 2FA при каждом входе и при выводе средств, другие предлагают её как необязательную, а третьи поддерживают только SMS. Защита вывода средств, например дополнительное подтверждение при добавлении нового банковского счёта, может быть так же важна, как и сам вход. Подход брокера к аутентификации — один из сигналов того, насколько серьёзно он относится к безопасности клиентов, наряду с раздельными клиентскими счетами и другими мерами контроля.

Как использовать на практике

1. Включите 2FA для вашего брокера, электронной почты, банка и всех платёжных или криптовалютных аккаунтов. Электронная почта критически важна, потому что через неё можно сбросить все остальные пароли.
2. Предпочитайте приложение-аутентификатор или аппаратный ключ вместо SMS, если сервис это предлагает.
3. Сохраните резервные коды офлайн, например распечатав и надёжно убрав, а не в том же почтовом аккаунте.
4. Используйте уникальный пароль для каждого сервиса, в идеале сгенерированный и хранящийся в менеджере паролей.
5. Проверьте, предлагает ли ваш брокер дополнительное подтверждение при выводе средств и изменении банковских реквизитов, и включите его.
6. Поддерживайте актуальность номера телефона и адреса электронной почты, чтобы можно было восстановить доступ.
7. Никому не сообщайте код, в том числе тому, кто называет себя службой поддержки. Настоящие сотрудники его не запрашивают.
8. Регулярно просматривайте уведомления брокера о входах и устройствах.

Типичные ошибки и заблуждения

• Считать, что SMS-коды так же надёжны, как коды из приложения. Они лучше, чем ничего, но уязвимы для подмены SIM-карты.
• Подтверждать push-запросы, которые вы не инициировали. Неожиданные запросы нужно отклонять и менять пароль.
• Потерять единственное устройство, не имея резервной копии. Без резервных кодов восстановление может потребовать длительных проверок личности.
• Верить, что 2FA делает фишинг безвредным. Атаки с ретрансляцией в реальном времени могут перехватить одноразовые коды. Проверяйте веб-адрес, прежде чем вводить их.
• Использовать 2FA у брокера, но не на почтовом аккаунте. Злоумышленник с доступом к почте часто может сбросить пароль брокера, а иногда и второй фактор.
• Сообщить код по телефону, потому что собеседник сказал, что это проверка безопасности.

Риски и ограничения

Двухфакторная аутентификация снижает риск, но не устраняет его. Вредоносное ПО на вашем устройстве, фишинговая ретрансляция, социальная инженерия в отношении сотрудников поддержки и слабые процедуры восстановления по-прежнему могут привести к компрометации. Надёжные методы также могут заблокировать вам доступ, если вы потеряете устройство и не имеете резервной копии. Правила и доступные методы различаются в зависимости от страны и компании, а 2FA защищает доступ к счёту, но не стоимость находящихся в нём инвестиций, поэтому она не защищает от рыночных убытков.

Как Brokeli смотрит на этот вопрос

Собирая исследовательские данные о брокере, мы отмечаем, какие варианты аутентификации предлагаются, является ли 2FA обязательной или необязательной и применяются ли дополнительные проверки при выводе средств. Это один из нескольких пунктов безопасности счёта, которые мы фиксируем наряду с регулированием, раздельным хранением денег клиентов и процессом верификации. Мы описываем то, что публикует брокер, и не тестируем и не сертифицируем его систему безопасности.