Двухфакторная защита простыми словами — и почему SMS-код уже не лучший выбор
Долгое время пароль был всем: знаешь его — ты свой, не знаешь — чужой. Проблема в том, что пароль сегодня утекает множеством способов. Его выманивают фишинговой страницей под банк, забирают из слитой базы сервиса, где вы регистрировались, подбирают, если он короткий или повторяется везде. Пароль — это то, что вы знаете, а знание можно украсть, подсмотреть или выманить. И когда оно украдено, никакая «сложность» сама по себе не спасает: у вора уже есть то, что нужно для входа.
Отсюда родилась двухфакторная аутентификация — та самая 2FA. Суть простая: одного ключа мало, пусть их будет два, и пусть они будут разной природы. Тогда кража пароля сама по себе ничего не даёт — вору не хватает второй половины, которую нельзя украсть тем же способом. 2FA — это не паранойя и не лишний клик при входе. Это признание факта, что пароль перестал быть крепостью, и попытка поставить рядом с ним ещё один замок — другого типа.
Суть одной строкой: 2FA не делает пароль ненужным — она делает кражу пароля недостаточной. Вор должен украсть два разных ключа сразу, а не один.
Почему второй пароль не помог бы? Два пароля — это два ключа одного типа («то, что вы знаете»); украсть оба можно одной и той же фишинговой страницей. Сила 2FA в том, что второй фактор берётся из другой категории. Их всего три: знание (пароль, код-слово), владение (телефон, ключ-брелок, карточка) и биометрия (отпечаток, лицо). Пароль закрывает первую категорию. Второй фактор должен закрыть вторую или третью — тогда вору, укравшему знание, не хватает предмета или вашего пальца, а предмет и палец через фишинговую страницу не передаются.
Поэтому, когда дальше пойдёт речь про «второй фактор», держите в голове именно это: мы выбираем не второй пароль, а другой тип доказательства, что это вы. И тут варианты сильно различаются по крепости.
Не всякий второй фактор одинаково надёжен. Ниже — пять ступеней, и разница между ними не в удобстве, а в том, насколько легко вору этот фактор перехватить или выманить.
Вывод по лесенке: SMS — лучше, чем ничего, но не цельтесь в него как в потолок. Локальное приложение-генератор (Aegis/2FAS) — разумный минимум для всего важного. Passkeys — везде, где сервис их поддерживает (это замена паролю, а не добавка). Аппаратный токен — на почту и облако, как только дойдут руки. Push — удобно для банков, но осознавайте риск MFA fatigue.
Когда вы включаете второй фактор, сервис почти всегда выдаёт набор кодов восстановления — на тот случай, если телефон сломался, потерялся или сел. И здесь прячется дыра, в которую проваливаются чаще, чем в отсутствие 2FA вообще. Эти коды — по сути запасной ключ от аккаунта, и люди кладут их туда же, где лежит сам аккаунт: в заметки на том же телефоне, в то же облако, которое этот код защищает, в почту, к которой он даёт доступ. Получается ключ от сейфа внутри сейфа: украли облако — забрали и код, который должен был это облако спасти.
Правило простое и жёсткое: коды восстановления хранятся вне того, что они защищают, и вне телефона. Распечатать и положить в ящик, записать в бумажный блокнот, сохранить на зашифрованный носитель, не подключённый к облаку — любой из этих вариантов надёжнее, чем «заметки в телефоне».
Если вы использовали Aegis или 2FAS и потеряли телефон — вы не обязаны сбрасывать 2FA на каждом сервисе вручную. Оба приложения поддерживают зашифрованный экспорт базы ключей:
⚠️ Критически важно: файл экспорта защищён паролем, но сам по себе является мастер-ключом ко всем вашим аккаунтам. Храните его так же бережно, как коды восстановления на бумаге — вне облака, которое он защищает. Идеально: зашифрованный архив на флешке в ящике + распечатанные коды восстановления отдельно.
Общие правила выше работают везде, но российские сервисы имеют свою специфику. Вот что важно знать:
Включать второй фактор везде подряд — не обязательно и часто не нужно. Ставьте крепкий второй фактор туда, где потеря стоит дорого: на почту (через неё сбрасывают пароли ко всему остальному), на облако (там резервные копии и геолокация), на банк и рабочий доступ. На форум про рыбалку, где у вас никнейм и ничего больше, второй фактор не спасает ровным счётом ничего ценного — там достаточно не повторять пароль с других мест.
И помните главное: 2FA не делает вас неуязвимым и не отменяет осторожность с кликами. Она делает одну конкретную вещь — превращает кражу пароля из катастрофы в неприятность. Вор, укравший пароль, упирается в дверь, для которой у него нет второго ключа, и на этом его поход обычно заканчивается. Этого уже достаточно, чтобы второй фактор был одним из самых дешёвых и самых эффективных шагов во всей защите — дешёвым по усилиям и дорогим по тому, что он закрывает.
Итоговый чек-лист:
1. Почта, облако, банк, Госуслуги — включите 2FA сегодня.
2. Госуслуги: переключитесь с SMS на TOTP (Aegis/2FAS) в настройках безопасности.
3. Используйте Aegis (Android) или 2FAS (iOS/Android). Если Google Authenticator — убедитесь, что облако отключено.
4. Где есть Passkeys — включайте их вместо пароля + кода.
5. Коды восстановления — на бумагу, вне облака.
6. Экспорт базы ключей из Aegis/2FAS — на флешку в ящик.
7. SIM-карта — PIN-код обязателен (закрывает SIM-swap для Госуслуг и банков).