Двухфакторная аутентификация: приложение вроде Google Authenticator или SMS?

Двухфакторная аутентификация (2FA) — это дополнительный уровень защиты, который встаёт между вашим аккаунтом и любым, кто попытается войти в него, зная лишь пароль. Идея простая: недостаточно знать пароль — нужно ещё доказать, что у вас есть нечто физическое, обычно это ваш телефон. Но не все способы двухфакторной аутентификации одинаково надёжны. Самый частый вопрос: использовать приложение-аутентификатор, например Google Authenticator, или полагаться на код, приходящий по SMS?

В этой статье мы чётко объясним разницу и расскажем, почему настоятельно рекомендуем использовать приложение-аутентификатор для защиты вашего аккаунта на Paperino и на любой другой платформе, где задействованы ваши деньги.

Как работает каждый способ?

SMS: при входе в аккаунт платформа отправляет цифровой код на ваш номер телефона через сеть мобильного оператора. Вы копируете код, вводите его — и личность подтверждена. Чтобы код дошёл до вас, он зависит от сети оператора связи.

Приложение-аутентификатор (TOTP): такое приложение, как Google Authenticator, Authy или Microsoft Authenticator, генерирует новый код каждые 30 секунд прямо на вашем телефоне. Этот код никогда не проходит через какую-либо сеть и никем вам не отправляется — он вычисляется локально на вашем устройстве на основе «секретного ключа», которым с вами делятся всего один раз при настройке (через сканирование QR-кода). Именно эта фундаментальная разница делает приложение более безопасным.

Главная проблема SMS: подмена SIM-карты (SIM-swap)

Самая опасная уязвимость SMS-аутентификации — атака подмены SIM-карты. Коротко говоря, злоумышленник убеждает оператора связи перевести ваш номер на новую SIM-карту, которая находится у него — иногда выдавая себя за вас, иногда манипулируя сотрудником службы поддержки, а иногда используя утёкшие данные. Как только это удаётся, все ваши SMS, включая коды аутентификации, начинают приходить злоумышленнику, и ваш номер оказывается в его руках, а не в ваших.

Риски SMS на этом не заканчиваются:

• Перенаправление сообщений и их перехват через уязвимости в устаревших сетях связи.
• Фишинг: поддельная страница просит у вас код, и вы сами, не подозревая об этом, вводите его.
• Зависимость от покрытия сети: код не придёт, если вы вне зоны покрытия или путешествуете с другой SIM-картой.
• Вредоносное ПО на телефоне, которое считывает содержимое сообщений.

Почему приложение-аутентификатор надёжнее?

Поскольку код генерируется внутри вашего устройства, без подключения к интернету или сотовой сети, злоумышленник, укравший номер вашего телефона, не получает ничего — коды вообще не привязаны к номеру, а привязаны к секретному ключу, хранящемуся на вашем устройстве. Даже в режиме полёта приложение продолжит генерировать корректные коды. Здесь нет сети связи, которую можно перехватить, и нет сообщения, которое можно перенаправить.

Это делает приложение-аутентификатор значительно более устойчивым к большинству распространённых атак, при этом пользоваться им так же просто — скопировать код и вставить его.

Быстрое сравнение

Как пошагово подключить приложение-аутентификатор?

1. Скачайте надёжное приложение: Google Authenticator, Authy или Microsoft Authenticator.
2. В настройках безопасности своего аккаунта выберите включение двухфакторной аутентификации через «приложение-аутентификатор».
3. Отсканируйте QR-код, появившийся на экране, с помощью приложения.
4. Введите 6-значный код, чтобы подтвердить привязку.
5. Сохраните резервные коды восстановления в надёжном месте отдельно от телефона (на бумаге или в проверенном менеджере паролей).

Золотые правила безопасности аккаунта

• Никогда не делитесь кодом аутентификации ни с кем, каким бы официальным ни казался запрос. Настоящий сотрудник поддержки никогда его не запросит.
• Используйте надёжный и уникальный пароль для каждого аккаунта — двухфакторная аутентификация является дополнительным уровнем защиты, а не заменой хорошего пароля.
• Остерегайтесь фишинговых ссылок; всегда проверяйте адрес сайта, прежде чем вводить любой код.
• По возможности сначала включите двухфакторную аутентификацию на своей электронной почте, поскольку она часто служит ключом для восстановления остальных аккаунтов.

Заключение

Оба способа значительно надёжнее, чем полагаться только на пароль. Но если нужно выбирать — а выбор важен, когда речь идёт о ваших деньгах, — то приложение-аутентификатор является самым надёжным и безопасным вариантом, поскольку оно неуязвимо для атак с подменой SIM-карты и перехватом сообщений. Используйте SMS только как запасной вариант, когда альтернативы нет, а не как первую линию защиты.

В Paperino мы рекомендуем каждому пользователю включить двухфакторную аутентификацию через приложение-аутентификатор для защиты своего баланса. Этот шаг занимает пару минут, но может уберечь вас от потерь, которые невозможно возместить.