Настройки безопасности в Госуслугах

Мобильное приложение «Госуслуги» имеет урезанный раздел безопасности. В нём доступен только просмотр журнала действий, но отсутствуют ключевые функции управления сессиями и настройками доступа.

Все настройки ниже описаны для веб-версии личного кабинета. Откройте сайт gosuslugi.ru в браузере и войдите в личный кабинет. Только там доступен полный набор инструментов защиты.

1. Проверить журнал «Действия в системе» и завершить чужие сеансы через браузер. Мобильное приложение позволяет только просматривать историю входов. Для реального сброса активных сессий необходимо войти в личный кабинет через браузер и нажать кнопку «Выйти» в разделе «Безопасность → Действия в системе → Выйти на других устройствах». Эта кнопка завершает все сеансы на других устройствах.

2. Выбрать вариант входа с подтверждением. Двухфакторная аутентификация обязательна на портале. В веб-версии личного кабинета перейдите в «Безопасность → Вход в систему → Вход с подтверждением». Система предложит три варианта второго фактора: SMS, Одноразовый код (TOTP) или Биометрия.

Как работает биометрия на практике. На ноутбуке и компьютере вход осуществляется через веб-камеру (распознавание лица). В мобильном приложении «Госуслуги» используется камера смартфона для распознавания лица или датчик отпечатка пальца (если поддерживается). Это значит, что если вы планируете вход и со смартфона, и с ноутбука, то это возможно только по лицу. Для активации биометрии необходимо предварительно зарегистрировать её в приложении «Госуслуги Биометрия» или в Центре обслуживания — без этого шага вход по биометрии невозможен ни на одном устройстве.

Механика восстановления: дополнительные шаги, а не выбор веток. При сбросе пароля Госуслуги не предлагают пользователю явный выбор между альтернативными путями. Сценарий определяется тем, какие настройки безопасности активны в профиле. Контрольный вопрос и доверенный контакт встраиваются в стандартную цепочку как обязательные этапы, а не заменяют её. Первый шаг — ввод либо номера телефона, либо электронной почты. От этого зависит канал получения кодов: SMS или письмо на e-mail.

Ключевой момент механики с доверенным контактом: При наличии доверенного контакта этап «ввод промежуточного 4‑значного кода» полностью пропускается для владельца аккаунта. Защита строится на подтверждении со стороны другого человека. При этом задержка перед выдачей финального одноразового пароля всё равно применяется.

3. Добавить «Доверенный контакт» для восстановления. В веб-версии личного кабинета в разделе «Безопасность» доступна опция «Доверенный контакт». Эта настройка защищает канал восстановления: при запросе сброса система не отправляет вам код, а требует подтверждения от второго человека в его профиле и ввода кода с его телефона.

Правила выбора контакта:

• Надёжность связи. Выбирайте человека, с которым у вас есть альтернативный канал связи (личный звонок, встреча). Мошенники часто блокируют основные каналы жертвы перед атакой.
• Цифровая грамотность. Доверенный контакт должен понимать принципы социальной инженерии. Ему будут звонить и давить психологически, требуя «просто подтвердить запрос в своём профиле и продиктовать код». Он не должен этого делать без личного звонка вам по известному номеру.
• Зависимость от доступности. Вы не сможете восстановить доступ мгновенно. Если контакт спит, в роуминге или не видит уведомления — процесс встанет. Это плата за безопасность.
• Защита близких. Для пожилых родственников доверенным контактом должны стать вы. В состоянии стресса от звонка «следователя» они могут растеряться, а ваше участие станет страховкой от потери аккаунта.

4. Настроить контрольный вопрос (или отключить его). В текущей веб-версии Госуслуг нет возможности задать свой вопрос: доступен только фиксированный список стандартных вариантов. Вы выбираете вопрос из списка, вводите ответ и подтверждаете действие. Важно: после включения контрольного вопроса посмотреть формулировку вопроса при восстановлении будет невозможно — интерфейс прямо предупреждает об этом.

Рекомендация: в большинстве случаев — не включать контрольный вопрос. Из‑за невозможности посмотреть вопрос после включения риск самоблокировки аккаунта очень высок. Для большинства пользователей безопаснее оставить канал SMS/e-mail сброса, но защитить его с помощью «Доверенного контакта».

5. Уведомления о входе. В разделе «Безопасность → Вход в систему» включите переключатель «Уведомления о входе» или «Оповещение на электронную почту после входа».

6. Журнал действий. Периодически открывайте вкладку «Безопасность → Действия в системе» и проверяйте список входов с указанием IP-адресов и типов устройств.

7. Согласия и разрешения. В разделах «Профиль → Согласия → Согласия для Госуслуг», а также «Профиль → Разрешения и доверенности → Разрешения» отзовите доступы ведомствам и банкам, которыми вы больше не пользуетесь.

8. Ограничьте использование электронной подписи (ЭП). В разделе «Безопасность → Вход в систему» отключите вход по электронной подписи, если вы временно не используете её для работы.

Зачем. ЭП даёт максимальные права в системе. Отключение входа по ЭП закрывает вектор атаки через веб‑интерфейс: злоумышленник не сможет авторизоваться в вашем личном кабинете и действовать от вашего имени. Это не защищает от кражи самого файла закрытого ключа, но существенно усложняет использование подписи для быстрых атак.

Важно: Для полноценной защиты ЭП используйте токен с неизвлекаемым ключом, не сохраняйте PIN‑код в системе и регулярно проверяйте список выданных сертификатов в профиле Госуслуг.

9. Автозаполнение. При оплате госпошлин или штрафов в веб-кабинете не сохраняйте реквизиты банковских карт в браузере.

10. Push-уведомления. В настройках уведомлений личного кабинета настройте фильтры, чтобы получать только важные события (входы, заявления, штрафы), отключив маркетинговый шум.

11. Выход из кабинета. Всегда используйте штатную кнопку «Выйти» в правом верхнем углу личного кабинета после завершения работы, особенно на чужих или публичных устройствах.