Двухэтапный вход

У шестизначного кода ровно 1 000 000 возможных значений, поэтому у вора, который знает твой пароль и может сделать пять попыток, шанс 1 из 200 000.

Вор знает твой пароль. Каковы его шансы угадать код?

Начнём с задачи. Кто-то украл твой пароль, но сайт ещё просит шестизначный код, и у вора пять попыток. Насколько вероятно случайно угадать? Посчитай это в упражнении ниже, прежде чем читать дальше.

Шесть цифр идут от 000000 до 999999, то есть всего 10⁶ = 1 000 000 кодов. Пять попыток дают шанс 5 из 1 000 000, или 1 из 200 000. С одним паролем вор уже был внутри. С кодом почти никогда. Именно эту разницу и даёт многофакторная аутентификация.

Три вида доказательств и почему два пароля всё равно один

Многофакторная аутентификация (MFA), которую часто называют двухфакторной аутентификацией или двухэтапным входом, требует доказательств больше чем одного вида. CISA делит их на то, что ты знаешь (пароль или PIN-код), то, что у тебя есть (телефон или ключ безопасности), и то, что ты есть (отпечаток пальца или лицо). Два пароля всё равно относятся к одному виду. CISA советует всем включать MFA в каждом аккаунте, где она есть, начиная с почты, соцсетей и финансовых аккаунтов. Почта идёт первой, потому что туда приходят ссылки для сброса пароля. Кто управляет твоим почтовым ящиком, может сбросить почти всё остальное.

Коды, которые можно переслать, и ключи, которые нельзя

Распространённые способы по-разному выдерживают атаки. Код, присланный в SMS или голосовым звонком, идёт по телефонной сети. NIST относит такой способ к аутентификаторам с ограничениями. Он всё ещё разрешён, но сервисы должны предлагать альтернативу и предупреждать пользователей о рисках, а также следить за признаками вроде недавней замены SIM-карты или переноса номера, потому что преступники могут уговорить оператора связи перенести твой номер на их SIM-карту. Код из приложения-аутентификатора создаётся на твоём телефоне и никогда не идёт по сети. Push-уведомления просят нажать «Подтвердить». Иногда преступники присылают десятки запросов в надежде, что ты нажмёшь один, лишь бы они прекратились, поэтому CISA рекомендует сопоставление чисел: ты вводишь число, показанное на экране входа.

Всё это по-прежнему можно выманить фишингом. Поддельная страница входа просит код, ты его вводишь, и преступник за секунды передаёт его настоящему сайту. NIST прямо говорит, что способы с ручным вводом кода не устойчивы к фишингу, потому что код ничем не привязан к настоящему сайту. CISA называет MFA, устойчивую к фишингу, золотым стандартом и говорит, что единственный широко доступный её вид представляет собой FIDO/WebAuthn: ключи безопасности и ключи доступа, которые, как показал прошлый урок, отвечают только тому сайту, для которого созданы. И всё же любая MFA гораздо лучше, чем никакой.

Пока телефон не потерялся

Когда ты включаешь двухэтапный вход, большинство сервисов показывают список одноразовых кодов восстановления. NIST называет их секретами из списка (look-up secrets). Это твой способ вернуться в аккаунт, если потеряешь телефон, поэтому храни их в надёжном месте отдельно от телефона: распечатанными дома или в менеджере паролей. Никогда не отправляй их себе в письме и никогда не зачитывай код тому, кто тебе звонит. Настоящей службе поддержки он не нужен.

Подготовься к потере или замене телефона заранее. Большинство сервисов позволяют зарегистрировать больше одного второго фактора, например приложение-аутентификатор и ключ безопасности или ключ доступа на двух устройствах. Когда меняешь телефон, перенеси приложение-аутентификатор или ключи доступа на новый телефон, прежде чем стирать старый. Если телефон потерян, войди с кодом восстановления или другим фактором и удали потерянное устройство из каждого аккаунта.