Двухфакторная аутентификация что это на андроид
Перейти к содержимому

Двухфакторная аутентификация что это на андроид

  • автор:

Safety Management — двухфакторная аутентификация, Google Authenticator, Authy, и другие аналоги

Двухфакторная аутентификация, Google Authenticator, Authy

Ниже в статье буду рассматривать все детали двухфакторной аутентификации с помощью приложения Google Authenticator и его аналогов. SMS и все остальные виды аутентификации в этой статье рассматриваться не будут.

Two-factor authentication (2FA), 2-Step verification — двухфакторная аутентификация, двухэтапная аутентификация, двухэтапная проверка.

Аутентификация — это процедура проверки подлинности.

  • Подтверждение по емейл = 1FA
  • Подтверждение по емейл + sms = 2FA
  • Подтверждение по емейл + authenticator = 2FA
  • Подтверждение по емейл + usb ключ = 2FA
  • Другие варианты…

Зачем нужна двухфакторная аутентификация?

Взлом паролей довольно частое явление. Чтоб обезопасить пользователя от взлома уважающие себя сервисы добавляют вторую защиту. Злоумышленнику нужно будет не только взломать ваш комп (подсмотреть ваш пароль) но и добраться до вашего второго устройства.

Чаще пароли взламывают:

  • если они сильно простые и предсказуемые;
  • если вы используете один и тот же пароль на двух и более сайтах;
  • если вы на комп и смартфон устанавливаете взломанные или непонятные программы и браузерные дополнения (там может быть невидимая для обычного пользователя программа, которая шпионит за вами, записывает ваш буфер обмена, ваши нажатия на клаве, и ваши действия на экране).
  • фишинг (рыбалка) — вам подсовывают точно такой же сайт, вы не подозревая вводите туда свои данные, а это оказывается копия сайта, которая сделана специально чтоб узнать ваши данные для аторизации. Рыбалку также используют в емейл письмах, присылают вам письмо которое один в один похоже на письмо вашего сайта, и в этом письме вам сообщают что-то срочное и важное (или акцию), чтоб справоцирвоть вас нажать на кнопку или перейти по ссылке, когда вы переходите вы попадаете не на свой сайт, а на идентичный, который создан с целью чтоб вы сами вписали свой логин и пароль не подозревая что это не оригинальный сайт.

Как настроить Google Authenticator?

Картинки c инструкциями тут постить не буду, потому что на разных сайтах кнопка для включения Google Authenticator может быть в разном месте, расскажу смысл.

Смысл в том что если сайт важный, и вы решили включить защиту не с помощью sms а с помощью Google Authenticator, то вам нужно посмотреть поддерживает ли этот сайт Google Authenticator. Если да, то там обязательно есть инструкция с картинками как его подключить. Также посмотрите в инструкции что делать если телефон будет утерян, это полезно узнать перед подключением.

Если вы не готовы к защите с помощью Google Authenticator, включите защиту с помощью sms кодов — это проще, и понятнее, и лучше, чем если у вас будет вход только по паролю. Защита по sms бесплатная, sms-ки вам присылают бесплатно.

Но бывают сайты которые обязательно требуют включить Google Authenticator, если у них на сайте нет sms защиты и они не хотят тратить деньги на отправление sms, тогда они используют Google Authenticator, и обязательно требуют его подключить, с целью добавить безопасность своим пользователям и существенно сократить количество взломов аккаунтов.

Как настроить Google Authenticator?

  1. В своем смартофне заходите в магазин приложений, и там в поиске находите и устанавливаете Google Authenticator (он бесплатный).
  2. С компа заходите на ваш сайт где вы собрались подключать, переходите на страницу для подключения.
  3. Там на страние будет квадратный штрих-код, возле штрих-кода будет написаный в стоку код из символов, и штрих-код и этот код одно и тоже.
  4. На смартоне запускаете Google Authenticator, в нем нажимаете на плюсик. Там будет два варианта или сканировать штрих-код или ввести ключ. Если у вас есть камера на смартофне, тогда выбираете «Сканировать штрих-код»
  5. Подносите смартфон к экрану компьютера там где открыт ваш сайт со штрих-кодом, и все, штрих-код считан и добавлен. В программе Google Authenticator начинают генерироватся 30 секундные коды, вам нужно вписать 30 секундный код на странице сайта в окошко под штрих-кодом, и нажать подтвердить.
  6. Все, вы подклчючили к сайту Google Authenticator, теперь когда вы будете входить на сайт вас спросит логин, пароль, и код с Google Authenticator’а (чтоб посмотреть код вам нужно ткрыть приложение на смартоне и посмотреть код, потом его вписать в окошко на сайте).

Почему приложение для смартфона лучше чем приложение для ПК?

Приложений 2FA для ПК существует не много, а вот приложений для смартфонов очень много.

Google Authenticator — официальное приложение от Гугл, его нет для ПК с целью безопасности, но для смартфонов (Андроид, Эпл, Майкрософт) оно обязательно есть.

Почему лучше, потому что одноразовый 30 секундный код генерируется на другом устройстве отдаленном от вашего ПК/ноутбука, что снижает риски и повышает безопасность.

Но есть и недостаток, при потере смартфона (или при удалении программы Authenticator’а со смартфона, или при перепрошивке смартфона) нужно будет восстанавливать коды.

Еще один недостаток приложений на ПК — они дают возможность сделать экспорт генерального кода (посмотреть и скопировать его). То есть не разовых 30 секундных кодов, а того который вы вводили при добавлении аккаунта (сканировали штрих код). Тот кто владеет этим кодом может генерировать правильные коды без вашего ведома. Поэтому в Google Authenticator’е нет возможности экспорта, и во всех других аналогичных программах тоже нет возможности экспорта, с той целью чтоб ваша безопасность не пострадала. Смысл Google Authenticator’а полностью пропадает если кто-то сможет взять на время ваш телефон поиграться, и пока вы не видите посмотреть ваш код и отправить его себе на почту/в мессенджер/соцети, или сфотографировать его, или сделать скриншот кода, и тп.

Если вы потеряли смартфон. Вам нужно зайти на тот сайт где вы включали защиту с помощью Google Authenticator’а, и почитать страницу с ответами на опросы FAQ, там обязательно должен быть пункт что делать если я включил Google Authenticator и потерял телефон. Вам нужно будет подтвердить свою личность теми способами которые там написаны и после этого они дадут вам возможность войти в ваш аккаунт и подключить новый смартфон (сгенерировать новый код для смартфона).

Как вариант на этапе добавления аккаунта (экран со штрих кодом), вы можете сохранить главный пароль в надежное место. И если будет телефон утерян, сможете ввести этот код на новом смартфоне. Но при сохранении кода, нужно учесть безопасность, если вы скопируете его в буфер, и если у вас установлена программа шпион (о которой вы не догадываетесь) то она может с буфера сохранить код себе. Лучше важные операции делать в защищенном режиме браузера (некоторые антивирусы предоставляют такую возможность для банковских операций). Этот пароль лучше не сохранять в то место где вы держите пароли, а сохранить отдельно. И также желательно зашифровать и запаролить.

Почему Google Authenticator лучше чем код в sms?

Какие есть приложения двухэтапной аутентификации для ПК

Authy — для активации присылают смс на телефон, если телефон потеряете то нужно будет восстановить номер у оператора, чтоб потом была возможность получить смс на него и войти в приложение. Дает возможность доступа к вашим кодам с разных устройств, можно установить на ПК, мобильный, планшет и тп). Для подключения других устройств нужно в настройках дать разрешение на это. Для безопасности все же лучше использовать генератор кодов только на одном устройстве.

2 Factor Authenticatior – приложение, его нет в интернете, оно есть в Магазине Виндовс, если у вас Windows8 или Windows10 в системе есть магазин, там можно найти его и установить, оно бесплатное, недостаток оно опаздывает. В Магазине Виндовс есть и другие похожие приложения, но все они пока не очень, опаздывают.

WinAuth – программа которая скачивается с интернета и устанавливается на ваш ПК. Насколько она надежная, или насколько ей можно доверять, не знаю, не проверял. Умеет делать экспорт всех ключей в текстовый файл, это опасно.

Приложение для браузера хром Authenticator ( chrome.google.com/webstore/detail/authenticator/bhghoamapcdpbohphigoooaddinpkbai ) — не рекомендую устанавливать. Приложение устанавливается в браузер и генерирует коды. Разработчик приложения малоизвестный китаец, неизвестно насколько безопасно хранить коды в нем. Новички любят эту программу потому что она простая, и потому что она дает возможность сделать бекап (резервную копию секретных кодов ваших ключей). Но возможность делать бекап с помощью просмотра секретного кода это дырка в безопасности, любой сможет сделать бекап и ваша защита и возня с кодами доступа становится бессмысленная. У известных брендов в приложениях нет возможности посмотреть секретный код, так как это прямая угроза безопасности. Разовые коды которые генерируют программы никому не нужны так как они каждые 30 секунд меняются, а вот если завладеть вашим секретным ключом, можно будет потом без вашего ведома генерировать правильные коды и с помощью их попасть к вам на ваши защищенные сайты.

Какие есть приложения двухэтапной аутентификации для смартфонов

Для смартфонов приложения много, ссылки давать не будут так как все приложения находятся в магазинах (Google Play, App Store, Windows Store) и их можно там легко найти вписав название в поиск.

  • Google Authenticator (Генератор кодов Google)
  • Microsoft Authenticator (доступен для Андроида, Эпл, и Вин)
  • LastPass Authenticator
  • Authy 2-Factor Authentication
  • Яндекс.Ключ
  • SAASPASS | Authenticator 2FA (идея интересная но бывает подвисает на телефоне)
  • MyDigipass Authenticator (не проверял не знаю)
  • Authlogics Authenticator (не проверял не знаю)
  • И еще много других.

Как пользоваться Authy

Сервис интересный, бесплатный для личного использования. Для бизнеса платный, но недорого (100 авторизаций в месяц бесплатно, а потом $ 0,045 за одну авторизацию). На их сайте можно скачать программу для ПК (для браузера) и для смартфона. Вход в программу на самом сайте не предусмотрен. Вы входите только через программу которая в браузере или в приложении на смартфоне. Authy это альтернатива программе Google Authenticator, но более продвинутая. Решает проблему доступа к кодам с нескольких устройств. Также умеет делать бекапы, которые хранятся зашифровано у них на сервере, к бекапу можете получить доступ только вы с помощью телефона и вашего пароля от бекапа. При создании бекапа программа Authy секретные мастер ключи от сайтов не показывает и не дает возможности их узнать — это хорошо.

Недостаток — если потеряете телефон, то на том телефоне коды дальше будут генерироваться. Можно отключить с другого устройства доступ к телефону, но после отключения все коды на утерянном телефоне дальше будут генерироваться. Поэтому нужно ставить хороший пароль на саму программу и еще один хороший другой пароль для доступа к бекапу, и еще один хороший пароль на телефон (смартфон).

Еще один недостаток — идет привязка к номеру телефона, вы не сможете войти на другом устройстве пока не подтвердите код из смс. Если вы посеяли телефон то не сможете получить смс.

У программы есть два пароля, один для доступа к программе, второй для доступа к бекапу. Первый слетает после удаления программы, и при след установке, вы задаете заново пароль, этот пароль локальный он не передается на сервер а действует для запрета доступа к программе без разрешения. Второй пароль хранится на сервере, он нужен для доступа к бекапу в котором хранятся все ваши записи которые генерирую 30 сек коды.

В приложении есть возможность запретить мульти-устройства, например на ПК авторизировались в Authy с помощью смс, в настройках отключили мультиустройсва (по умолчания они отключены), и если вы потом захотели подключить еще смартфон, то на смартфоне вылезет сообщение мульти-устройства запрещены, зайдите с активированного приложения и в настройках разрешите доступ.

Если вы забыли пароль к бекапу, то новый бекап создать не получится, нужно будет полностью очистить аккаунт, удалить все записи, и тогда можно будет создать новый бекап с новым паролем.

Как пользоваться Authy на ПК:

Если вы хотите использовать только на ПК, тогда

1. На смартфон ничего устанавливать не нужно.

2. Устанавливаете приложение для браузера www.authy.com/app/desktop/

3. После установки предложит установить еще одно предложение для браузера, да они нужны оба, устанавливаете второе.

4. В браузере сверху появится значок, нажимаете его, выбираете своей код страны, и вписываете номер своего моб телефона.

5. На номер придет смс, код из смс нужно ввести на ПК в приложении, чтоб активировать приложение.

6. Ввели код, вас пустило внутрь приложения.

7. Вам нужно задать код для доступа к программе, вписываете, главное не забудьте его. При переустановке программы этого кода не будет, и вам придется заново активировать с помощью смс и потом назначать новый код.

8. Если вы хотите чтоб после переустановки программы, все ваши коды остались, нужно в настройках включить бекап в облако «Backups & Sync», и нужно назначить пароль для бекапа. После чего все ваши добавленные аккаунты будут автоматически добавляться в облако.

9. После того как вы назначили пароль для доступа в программу, и пароль для бекапа, желательно в настройках добавить свой емейл, и подтвердить его.

10. Все, теперь вы можете добавлять нужные вам сайты. Чтоб добавить сайт нужно нажать на шестеренку, откроется окно с настройками, перейдите на вкладку «External Accaunts» снизу будет надпись «Add Authenticator Account», нажимаете и вписываете там код от вашего сайта (код который возле штрих-кода, штрих-код и код идентичны, в программе нужно вписать код. На следующем шаге выбираете любую иконку, пункт Token lenght: 6-digh, и потом в окошке ниже вписываете любое имя, но желательно чтоб имя было такое как ваш сайт, чтоб вы знали какой код для какого сайта. После чего нажимаете кнопку «Done», и потом закрываете окно с настройками (нажимаете на крестик). Окно закрылось и автоматом открылось маленькое окно с вашим добавленным сайтом, можете нажать на свой добавленный сайт и там увидите 30 секундные коды доступа.

11. Если хотите дать доступ другим устройствам, нужно нажать на шестеренку, перейти на вкладку «Devices» и там поставить галочку «Multi-device». После чего вам нужно установить приложение на смартфоне, или приложение для браузера на другом ПК, запустить это приложение, оно попросит ввести номер телефона, вводите тот номер который закреплен за вашей учетной записью, и после чего там предложит варианты для авторизации (смс, голосовой звонок, подтверждение с помощью активированного устройства (с помощью которого вы уже вошли в аккаунт)).

Рекомендации от меня

1. На этапе штрих-кода, когда вы подносите телефон к экрану для того чтобы считать штрих-код, рядом со штрих-кодом есть написанный код из символов, сохраните его в недоступное место. Если вы посеете телефон (или он поломается, или удалите программу на нем), то не нужно будет восстанавливать номер, достаточно будет взять другой телефон и в программу Authenticator вписать этот ваш сохраненный код, после чего Authenticator будет генерировать 30 секундные коды именно такие которые дают возможность войти на ваш сайт.

2. Если у вас сайтов к которым подключен Authenticator много, да, от каждого сайта у вас будет отдельный главный код.

3. Эти коды хранить вместе с паролями нельзя, ибо если кто то доберется до паролей, то нельзя чтоб он одновременно добрался до ваших кодов от Authenticator’a. Секретные коды от Authenticator’a лучше хранить отдельно от паролей, в другом зашифрованном запароленом месте, и в случае если с телефоном что-то случится, вы сможете без головной боли быстро восстановить генерацию кодов для всех ваших сайтов.

Что такое 2FA и Google Authenticator

2FA — это метод определения подлинности пользователя, который требует прохождения двух степеней защиты (а не одной, как раньше) перед получением доступа к аккаунту. Вот эти степени защиты:

  1. пароль от аккаунта;
  2. уникальный цифровой код, который генерируется специальным приложением, установленным на мобильном устройстве.

Google Authenticator — приложение для 2FA с помощью которого происходит генерация уникального одноразового 6-значного кода каждые 30 секунд.

Двухфакторная аутентификация, биржа Binance

Итак, биржа Binance настоятельно будет Вам напоминать о подключении 2FA (двухфакторной аутентификации), пока Вы это не сделаете. Поэтому при входе в свой аккаунт, Вы всегда будете видеть вот такое вот всплывающее окно:

Можете прямо тут нажать на первую кнопку “Google Auth”, либо, если Вы уже находитесь внутри аккаунта, то просто выберите соответствующий пункт и нажмите кнопку “Enable”:

Включение двухфакторной аутентификации на Binance

Вы должны увидеть вот такое окно с тремя последовательными шагами:

  1. В левой части будут представлены ссылки на магазины с приложением. Если приложение у Вас еще не установлено, то переходите по ссылке и устанавливайте.
  2. Когда на своем смартфоне Вы откроете данное приложение, то увидите экран, через который можно добавлять аккаунты разных сервисов, которым требуется 2FA. Добавление происходит одним из двух способов — можно либо сканировать QR-код, либо ввести вручную 16-значный ключ:
  1. Удобнее и быстрее конечно же использовать сканер, поэтому выбираем пункт “Сканировать штрихкод”.
  2. В центральной части окна биржи находится наш QR-код (он замазан), на который мы и наводим камеру так, чтобы он оказался внутри красной рамки. Камера сработает автоматически, ничего нажимать не надо. Ниже QR-кода находится 16-значный ключ (он перечеркнут), который можно ввести вручную, если предварительно выбрать пункт “Ввести ключ”. Аккаунт для биржи автоматом будет добавлен в приложение и отобразится в списке, где:
  3. 1 — имя аккаунта (его можно менять);
  4. 2 — тот самый 6-значный код;
  5. 3 — оставшееся время до генерации нового кода.
  6. В правой части окна биржи находится кнопка “I’ve backed it up, Continue.”, на которую нужно нажать, чтобы включить 2FA.

Но, прежде чем это сделать, внимательно прочитайте предупреждение, а затем сделайте скриншот этого экрана (чтобы там были QR-код и 16-значный ключ) и сохраните его в надежном месте. В будущем, если вдруг что-то случится со смартфоном (украдут, сломается, будет сброшен к заводским настройкам, будет удалено приложение Google Authenticator и т.д.), этот скриншот позволит Вам заново создать аккаунт для 2FA для этой биржи, просто повторно отсканировав код или введя ключ. Таким образом Вы не потеряете доступ к своим деньгам.

  1. Нажав на кнопку, Вы увидите следующее окно:
  1. В первой строке Вы должны ввести 16-значный ключ, поэтому его лучше скопировать заранее. Во второй строке указываете Ваш пароль для биржи. А в третью строку вводите 2FA код, который каждые 30 секунд генерируется у Вас на смартфоне. Заполнив все поля, нажимайте кнопку “Enable 2FA” и все, можете наслаждаться двойной защитой.
  2. При следующем входе в аккаунт, помимо почты, пароля и разгадывания капчи, Вам понадобится ввести еще и 2FA код, который Вы уже будете искать у себя в смартфоне в приложении Google Authenticator. Без этого кода, вход в аккаунт будет невозможен.

Двухфакторная аутентификация, биржа Poloniex

Следующая биржа Poloniex — она хоть и начала сдавать позиции, но тем не менее, все еще входит в список ТОПовых.

Для включения двухфакторной аутентификации необходимо в верхнем меню нажать на кнопку с гаечным ключом и выбрать первый пункт:

Вы попадете в следующее окно:

Включение двухфакторной аутентификации на Poloniex

Тут действуем по схожей схеме:

  1. Вводим свой пароль от аккаунта в первое пустое поле “Password”;
  2. Сканируем QR-код или вручную вводим 16-значный ключ;
  3. Как только аккаунт Poloniex будет добавлен в Google Authenticator, мы сразу же получим наш первый 6-значный код, который необходимо будет ввести во второе пустое поле “Code”;
  4. Ставим галочку, соглашаясь с тем, что мы сохранили ключ;
  5. Нажимаем кнопку “Enable 2FA”.

Теперь, при следующем входе в аккаунт, нас любезно попросят помимо стандартных данных ввести еще и 6-значный 2FA код из приложения.

Двухфакторная аутентификация, биржа Kraken

Ну и для последнего примера возьмем еще одну известную биржу — Kraken.

На ней можно настраивать 2FA не только на вход, но и на различные действия, например, на вывод, что мы и сделаем. Для доступа к настройкам двухфакторной аутентификации перейдите в раздел “Security”, затем на вкладку “Two-Factor Authentication”:

Напротив раздела “Funding” нажмите кнопку “Setup” для доступа к настройкам:

Сперва выбираем метод 2FA — я выбрал “TOTP режим с помощью Google Authenticator”. В этом режиме каждые 30 секунд генерируется новый уникальный код, да и он нам уже знаком по двум первым примерам. Затем я снял галочку с пополнения баланса, но оставил на выводе — если кто-то взломает мой аккаунт и внесет депозит, то я ему только спасибо скажу, а вот для вывода будет нужен уже код 2FA. Алгоритм для кода я оставил по умолчанию SHA1, хотя можно выбрать более сложные. Длину кода оставил 6-значной, хотя доступны и 7, и 8 знаков. Заполнив форму, нажимаем “Continue”:

В верхнем поле (1) проверяем еще раз выбранные нами ранее опции. В центре (2) находится 16-значный ключ и QR-код — используем что больше нравится. И в строке “One-time Password” (3) вводим первый сгенерированный код, после того как аккаунт биржи будет подключен к приложению. Теперь не забываем сделать скриншот экрана, чтобы сохранить ключ и код. И лишь после этого нажимаем кнопку “Confirm”.

Вот так на примере трех бирж мы рассмотрели как с помощью приложения Google Authenticator можно подключить 2FA.

Для криптовалютных кошельков, которые поддерживают 2FA, все будет происходить подобным образом, но возможны минимальные отличия. Поэтому сделав такую привязку один раз на одном любом аккаунте, с другими аккаунтами проблем не должно быть.

Если же Вы вдруг захотите отключить 2FA, то проделайте все эти действия повторно. Только пройдя весь этот путь заново, сервисы позволят Вам отказаться от второго уровня защиты.

Возможные проблемы

Иногда Вы можете сталкиваться с такой проблемой, когда Ваш код не будет срабатывать — и вроде бы Вы делаете все правильно, но в то же время при очередном входе в аккаунт видите надпись — Неверный код. Такое может случаться из-за того, что сбивается время. Чтобы исправить это, зайдите в приложение Google Authenticator и нажмите на кнопку “…” в правом верхнем углу, для вызова меню, в котором выберите “Настройки” (1), затем “Коррекция времени для кодов” (2), после чего нажмите кнопку “Синхронизировать” (3):

В большинстве случаев это помогает. Если же это не сработало, то единственный вариант, это писать в поддержку, чтобы они деактивировали 2FA для Вашего аккаунта и Вы смогли бы войти, используя только пароль. Но будьте готовы к тому, что взамен у Вас могут попросить разные сведения об аккаунте — какой баланс, какие монеты там есть, какие операции в последнее время проводили, что покупали, что продавали и т.д.

Следующая проблема, с которой может столкнуться каждый, это когда что-то случается с Вашим мобильным устройством. Его могут украсть, оно может сломаться, Вы можете случайно удалить как само приложение Google Authenticator, так и какой-нибудь аккаунт в нем.

Разберемся для начала с последним пунктом. У Вас может быть как один аккаунт в приложении, так и сотня разных. И чтобы по ошибке (а случайно и не получится) не удалить нужный, рекомендую не оставлять названия по умолчанию, а переименовывать аккаунты (просто пишите название сервиса, как на скриншоте выше). Тогда всегда будет понятно, что это за аккаунт и риск случайного удаления будет сведен на нет.

В случае кражи или поломки устройства, чтобы не остаться у разбитого корыта, всегда сохраняйте QR-коды как картинку, а 16-значные ключи в текстовой форме или переписывайте на бумагу. Об этом я говорил в примере с биржей Binance. Если код и ключ у Вас сохранены в надежном месте, то Вы всегда сможете получить доступ к аккаунту, установив приложение Google Authenticator на новое устройство.

Если Вы опять делаете все правильно, но коды не срабатывают, то обращайтесь в поддержку.

Android для чайников №10. Двухэтапная аутентификация

Любой владелец Android смартфона в той или иной мере пользуется сервисами Google. Например, доступом в магазин приложений Google Play. Или синхронизацией телефонной книги. Причем, для доступа ко всем сервисам Google используется всего один аккаунт, что очень удобно. Вот только если злоумышленнику удастся подобрать к этому аккаунту пароль, то он получит доступ к очень большому количеству личной и весьма важной информации. В этой статье мы поговорим о том, как можно защитить свой Google аккаунт.

Чайник_10_main

Введение

Последнее время базы с паролями от почтовых сервисов стали попадать в сеть с завидной регулярностью. 5 сентября в сеть «утекло» более миллиона паролей пользователей почты Yandex. 8 сентября – около 4,5 млн аккаунтов Mail.ru. Не успели стихнуть шутки про «Интернет-АвтоВАЗ» и «Яндекс, в котором найдется все», как к ним добавилось почти 5 миллионов логинов и паролей от учетных записей почтового сервиса Gmail.

Все компании поспешили заверить пользователей, что большая часть украденных паролей уже не действительна. И, по большей части, они относятся к удаленным или ранее скомпрометированным аккаунтам. Но так это или нет доподлинно неизвестно.

Отдельно стоит отметить, что имея логин и пароль от чужой почты в Gmail, злоумышленник заодно получает доступ и ко многим другим сервисам. Например, к файлам в Google Drive, покупкам в Google Play, чату Hangouts, телефонной книге, аккаунтам в Google Plus и YouTube и многому другому. Кроме того, пользователи Android часто используют аккаунт Google для авторизации в сторонних сервисах и программах, доступ к которым также будет потерян.

Чайник_10-10

Читая новости о взломанных аккаунтах и «утекших» паролях, большинство людей в глубине души абсолютно уверенно, что с ними всего этого никогда не случится. Но на практике, от кражи пароля или попытки взлома не застрахован никто. И нервов все это может попортить очень изрядно.

К счастью, проблема взлома пароля имеет простое и изящное решение. Называется оно «Двухэтапная аутентификация».

Что это такое?

Сложного названия боятся не стоит, ведь на самом деле, речь идет об очень простой системе, которой уже давно пользуются многие ресурсы, от банков до социальных сетей. Суть заключается в том, что помимо логина и пароля для входа в аккаунт теперь потребуется ввести специальный код, который придет на мобильный телефон по SMS. Даже если злоумышленник каким-то образом узнает ваш пароль, то добраться до телефона он в любом случае не сможет. И, не сумев узнать код подтверждения, останется ни с чем.

Чайник_10-11

Если говорить о безопасности, то никаких вопросов такая схема не вызывает. Дополнительный уровень защиты действительно способен уберечь от многих неприятностей. Но что насчет удобства работы? Мало кому понравится для проверки почты каждый раз ждать SMS сообщения и вручную вводить длинный код.

К счастью, это вовсе необязательно. При входе в аккаунт вы можете отметить компьютер как надежный. И повторно вводить на нем код подтверждения больше не потребуется. При этом, ваш аккаунт по-прежнему будете под защитой – при попытке входа с незнакомого компьютера, система вновь потребует ввести код.

Чайник_10-09

Также стоит отметить, что для удобства пользователей компания предусмотрела несколько дополнительных вариантов, с помощью которых можно получить код даже в том случае, если ваш телефон находится вне зоны действия сети. Например, можно заранее распечатать специальные резервные коды или установить на смартфон специальную программу-генератор, умеющую самостоятельно их создавать.

Как подключить?

Подключение двухэтапной аутентификации займет у вас буквально пару минут. Все что для этого требуется – перейти по следующей ссылке и следовать указаниям.

От вас потребуется войти в свой Google аккаунт, ввести номер мобильного телефона, выбрать удобный способ получения кодов (это может быть как SMS, так и голосовой вызов) и ввести полученный код подтверждения.

После того, как двухэтапная аутентификация подключена, нужно будет заново войти в Google аккаунт на всех компьютерах и мобильных устройствах, где он у вас используется. Обратите внимание на значок с восклицательным знаком, появившейся в панели уведомлений смартфона. Он говорит о том, что связь с аккаунтом Google потеряна. Потяните шторку строки уведомлений вниз, нажмите на появившееся сообщение, заново введите пароль к Google аккаунту и нажмите «Войти». Дождитесь SMS сообщения, введите секретный код и не забудьте поставить галочку «Запомнить код на этом компьютере» — это избавит вас от необходимости повторно вводить эти данные после перезагрузки устройства.

Чайник_10-04Чайник_10-03

Чайник_10-02Чайник_10-01

При необходимости, аналогичную процедуру нужно будет проделать на том компьютере, где вам потребуется доступ к сервисам Google. Только помните, что ставить галочку «Запомнить код на этом компьютере» следует только в том случае, если его владельцу вы действительно доверяете.

Главный подводный камень двухэтапной аутентификации – подключение аккаунта Google к некоторым сторонним почтовым клиентам, вроде Microsoft Outlook, почтового клиента на смартфонах BlackBerry или компьютере iMac. К сожалению, они поддерживают только имя пользователя и пароль и не работают с кодами подтверждения. Поэтому, вместо кода для таких приложений будет использоваться специальный пароль.

Чайник_10-05

Создавать такой пароль совсем не сложно, нужно только перейти по следующей ссылке и указать название сервиса (почта, календарь и пр.) и тип клиента. Пароли приложений генерируются автоматически, запоминать их не придется.

Чайник_10-08

На этой же странице можно отредактировать список доверенных устройств или изменить номер телефона.

Чайник_10-07
Чайник_10-12
Чайник_10-06

Итоги

Пользоваться дополнительной защитой или нет – решить исключительно вам. Но, на мой личный взгляд, двухэтапная аутентификация — это нужное и полезное дело. Если есть возможность, всегда привязывайте к своему номеру телефона аккаунты платежных сервисов, почты и социальных сетей. Лучше пусть эти предосторожности окажутся лишними, чем однажды злоумышленник от вашего же имени обманет ваших друзей и близких. Например, отправив с вашего адреса электронной почты сообщение с просьбой срочно перевести деньги на счет.

twitterspan

span

Читайте также

Пятничная колонка

Когда покупать смартфон?

Посиделки по вторникам

Переход на 2 нм и тонкости техпроцесса

Переход на 2 нм и тонкости техпроцесса

Новостной дайджест

Двойной дисплей

На правах оффтопа

На правах оффтопа. телевидение или интернет

Беседка

Что такое работа и совещания по-илонмасковски?

Что такое работа и совещания по-илонмасковски?

iOS vs Android

Анатомия подделки. airpods 2

РоботоСофт

10 приложений для android 10

Аксессуары

Зачем сдэк требует паспорт?

21 комментарий на «“Android для чайников №10. Двухэтапная аутентификация”»

хорошая статья. я правда этого не делал, но гугл иногда сам вдруг требовал чегот подобного и ещё спрашивал на какой номер прислать смс/хз

Неплохо было бы, наверное, добавить ссылку на конкурсную статью «Dreamer…»а (вроде) по той же теме.

По сабжу: да, так оно, может, и надёжнее, но меня уже бесит то, с каким остервенением куча сервисов начало требовать мой номер телефона. Не их собачье дело, какой у меня номер и как я буду защищать свой аккаунт.

У меня однажды взломали скайп и это было очень неприятно. Всем друзьям и коллегам кто был на тот момент онлайн ушло сообщения типа «у меня большие проблемы, если есть возможность, пожалуйста, одолжи 2к до понедельника». Кто-то уже начал переспрашивать что случилось и куда лучше перевести деньги… К счастью, среди всех прочих сообщение ушло еще и брату, с которым я разговаривал за пять минут до этого. И он сразу перезвонил.

С тех предпочитаю перестраховаться. Лишним не будет.

Да я не против двухфакторной авторизации, я против насильственного насаживания на неё и вызнавания весьма личной информации.

С моей точки зрения это такое же насильственное насаживание, как и требование подбирать пароль длинной не менее 6-ти символов. Хотя казалось бы, кому какое дело, какой пароль я использую для входа в интернет-банк? Если решил поставить 123, то это мое личное дело…

Увы, большая часть пользователей в своих косяках будет винить кого угодно, но только не себя самого. Сервис не надежный, защита плохая, данные аккаунтов подпольно продают, АНБ личную информацию сливают… Людей которые понимают риски и принимают решение взвешенно меньшинство. Остальные не хотят задумываться даже о самых элементарных вещах и откровенно не готовы отвечать за последствия своих поступков.

>Остальные не хотят задумываться даже о самых элементарных вещах и откровенно не готовы отвечать за последствия своих поступков.<
Вот и не надо на таких равняться и мир стал бы чуточку лучше (

Подбор длинны пароля тоже бесит: идиоты, как ставили, так и будут ставить что нибудь 12345678, зато какие-нибудь типа 3jD%9d^ не пропускает, ибо, видите ли, символов не хватает.

>Остальные не хотят задумываться даже о самых элементарных вещах и откровенно не готовы отвечать за последствия своих поступков.<
Вот и не надо на таких равняться и мир стал бы чуточку лучше (

Подбор длинны пароля тоже бесит: идиоты, как ставили, так и будут ставить что нибудь 12345678, зато какие-нибудь типа 3jD%9d^ не пропускает, ибо, видите ли, символов не хватает.

12345678 не поставят — сейчас практически везде требуется хотя бы одна заглавная буква и цифра. При этом сервис обычно следит за тем, что бы в пароле не оказалось более трех символов, идущих на клавиатуре в ряд =)

Хотим мы того или нет, но сейчас является нормой писать в инструкциях к микроволновке, что в ней нельзя сушить котов. В какой-то мере это правильно — когда я впервые подключаю интернет и завожу себе почтовый аккаунт, я не обязан вникать в способы взлома паролей, собирать статистику о кол-ве взломанных аккаунтов и вообще разбираться в том, что значит «надежный» и «ненадежный» пароль. Это задача сервиса объяснить мне, как именно им следует пользоваться и какие могут быть подводные камни.

Например, той же почтой сейчас пользуется куча пожилых людей, для которых все эти тонкости совершенно не очевидны. И если мы с тобой ради безопасности кучи пользователей должны потерпеть десяток секунд, придумывая подходящий под правила пароль, то это не самая большая жертва.

«я не обязан вникать в что такое электрический ток» было последними словами маленького Василия Лоханкина, перед тем, как он взялся за оголённые провода в электрощитке.

Если человек пытается что-то сделать, не понимая даже самых основ, то он дурак и истинный ССЗБ, который заслуживает всех тех синяков, которые ему достанутся, ведь тогда он может хоть чему-то научиться. Поэтому вы как раз таки ОБЯЗАНЫ разбираться в том что такое «надёжный» и «ненадёжный» пароль, если решили работать с сервисом, требующим авторизации.

Нас с детства заставляют разбираться в том, что такое нож и как им пользоваться, почему не стоит хватиться за оголённые провода и ещё огромной куче бытовых мелочей. Компьютерысмартфоны ныне стали устройствами, которые есть в практически каждой семье и, по идее, детей можно так же с детства учить основам работы с ними, как и использованию холодильника.

Но тут людей повели по другому пути. Везде насаживается девиз «ты не обязан разбираться» в связке с приучением к бездумному выполнению указаний, прикрываемых «заботой». Через некоторое время всякие гуглоэпплы будут вертеть нас на своих сервисах как вздумается, а основная масса людей будут этому только рады.

Что такое нож известно уже несколько тысяч лет. И детям с годовалого возраста объясняют что это такое и с какой стороны его не стоит хватать. А вот домашние компьютеры, смартфоны и интернет вошли в нашу жизнь совсем не давно. И развиваются они с такой скоростью, что поспеть за ними многим людям уже не по плечу. Увы, с возрастом учится чему-то принципиально новому совсем не просто. А найти старых однокурсников в «Одноклассниках» или позвонить родственникам по скайпу тем не менее хочется. То о чем ты говоришь — это попытка запретить пенсии, на том основании, что умный человек сам должен откладывать деньги на старость, а с глупым возится и смысла нет.

К слову, недавно перечитывал Харуки Мураками. Так вот, в одной из его книг герою на полном серьезе рассказывают о том, что пароль из трех знаком взломать практически нереально. Ведь они в сумме дают огромное количество комбинаций. И, скорее всего, на тот момент это было действительно так. Ведь под «взломом пароля» тогда имели ввиду, что человек получит физический доступ к компьютеру и, когда хозяин отвернется, попробует быстренько угадать нужную комбинацию. Это я к тому, что технически навыки, вроде бы даже успешно привитые в детстве, устаревают с огромной скоростью.

Есть у этой истории и другой аспект. Тот же Google вполне сознательно всеми силами пересаживает пользователей на свои сервисы. Например, привязывает к G+ аккаунты Google Play и YouTube. Или запихивает в Android смартфоны синхронизацию всех контактов с почтой Gmail. Не говоря уже о рекламе, в которой доказывается необходимость и безопасность их продуктов. Причем, думает в этот момент он не столько об интересах пользователей, сколько о своей выгоде. И чисто с моральной точки зрения, компания обязана позаботится о том, чтобы все эти нововведения не навредили пользователю. Не зависимо от того, сколько этому пользователю лет и какой у него уровень интеллекта.

>Что такое нож известно уже несколько тысяч лет.
Пароли, шифры, понятия о личной информации и секретности тоже существуют тысячи лет. Вообще большинство понятий, используемых в компьютерах нам давным давно знакомо, просто метод взаимодействия немного другой, но этому и обезьяну можно выучить. Там не так уж и много принципиально нового, да и проблема про «развитие» слишком уж надумана — немного меняется форма взаимодействия, иногда что-то удаляется, а что-то пропадает, но базовые принципы одни и те же. Причём понятия типа «ключа» (пароля) относятся далеко не только к вычислительной технике.
А про пенсии согласен — ИМХО это вообще глобальный развод на деньги . Ну или хотя-бы делать как в японии, где пенсия выдаётся целиком и сразу, а дальше своим умом. Но это мы уже в совсем оффтоп ушли.

При всём уважении к Мураками, специалист по информационной безопасности из него такой же как из меня английская королева.
>Ведь под «взломом пароля» тогда имели ввиду, что человек получит физический доступ к компьютеру и, когда хозяин отвернется, попробует быстренько угадать нужную комбинацию. Это я к тому, что технически навыки, вроде бы даже успешно привитые в детстве, устаревают с огромной скоростью.И чисто с моральной точки зрения, компания обязана позаботится о том, чтобы все эти нововведения не навредили пользователю.<
Директор АЭС НЕ отвечает, за беднягу Василия Лоханкина, директор завода, производящего молотки НЕ отвечает за то, что битцевский маньяк использовал таковые для убийства части своих жертв, гугл НЕ отвечает за дибилизм своих пользователей.

Я могу сказать только одно — все теоретические рассуждения хороши только до той поры, пока ты не сталкиваешься с их последствиями на практике. И если лишнее напоминание о надежности пароля или о возможности привязать аккаунт к номеру телефона однажды спасет твою девушку или твоих родителей от потери личной информации или развода на деньги — ты скажешь компании большое спасибо. Пусть даже и будешь понимать, что в том, что родители придумали для скайпа слишком простой пароль, не виноват никто кроме них. И заботится о сохранности их аккаунты никто кроме них был совершенно не обязан.

Если рассуждать о том, что люди в 21-м веке стали слишком ленивые и тупые (кроме меня любимого, само собой) я еще готов, то навешивать эти ярлыки на окружающих меня людей мне уже совершенно не хочется. А то, что среди них найдется масса тех, кто вряд ли бы в каждом пароле использовал ту самую обязательную заглавную букву с той самой обязательной цифрой, я ничуть не сомневаюсь. В конце концов, сложность придуманного пароля — явно не главная характеристика человека. И любая программа обязательно должна иметь «защиту от дурака».

>И если лишнее напоминаниеА то, что среди них найдется масса тех, кто вряд ли бы в каждом пароле использовал ту самую обязательную заглавную букву с той самой обязательной цифрой, я ничуть не сомневаюсь.В конце концов, сложность придуманного пароля — явно не главная характеристика человека.<
А вот нежеланиенеспособность разбираться с тем, чем пользуешься регулярно таки характеризуют. Я, конечно, не перестану общаться с человеком, только потому что он везде использует 123qwe, это тупо, но и доверять хранить или делиться какой-либо секретной информацией, без соответствующей дрессуры определённо не стану.

Что такое двухфакторная аутентификация и почему ее важно использовать

Фото: Shutterstock

Двухфакторная аутентификация — это такой метод идентификации пользователя для входа в сервис, при котором нужно двумя разными способами подтвердить, что именно он — хозяин аккаунта. В некоторых сервисах, например, «ВКонтакте», она называется «подтверждение входа».

Эта функция серьезно повышает уровень безопасности. Злоумышленникам, которым по разным причинам могут пригодиться ваши данные, гораздо сложнее получить доступ одновременно к вашему паролю, а также телефону, электронной почте или другому методу аутентификации. Если использовать только пароль, то аккаунт остается уязвимым. Пароли легко утекают в Сеть, и далеко не всегда по вине пользователя.

Как можно подтвердить свою личность?

Большинство приложений и сервисов предлагают пользователю на выбор такие варианты двойной аутентификации:

  • Ввести код, который пользователь получает в SMS или email, после того, как он ввел логин и пароль. Это самый распространенный и простой способ, но у него есть свои недостатки: например, SMS с паролем могут перехватить через уязвимость в протоколе [1], через который они передаются.
  • Ввести код, который генерируется в отдельном приложении-аутентификаторе. Специалисты называют этот способ более надежным [2], к тому же он остается доступен пользователю, даже если у него нет мобильной связи. Чтобы им воспользоваться, нужно сначала установить одно из таких приложений (например, Google Authenticator, Twilio Authy, Duo Mobile, «Яндекс.Ключ»), а потом выбрать в меню нужного сервиса вариант двойной аутентификации через приложение. На экране появится QR-код, который нужно будет отсканировать через это приложение — и им сразу можно пользоваться.
  • Многие сервисы (например, «ВКонтакте») также генерируют для пользователя некоторое количество резервных кодов, которые он может использовать в случае, если у него не будет мобильной связи или он потеряет телефон. Для этого нужно заранее распечатать или сохранить эти коды в надежном месте.

Кроме того, есть еще несколько видов подтверждения входа, которые используют реже:

  • Физический ключ безопасности: это устройство в виде USB-флэшки (для использования со смартфоном ее иногда оборудуют NFC и Bluetooth-интерфейсами) [2]. Такой ключ можно использовать для входа в те же соцсети, но столь серьезный подход, скорее, имеет смысл для хранения очень важных данных.
  • Подтверждение личности с помощью биометрии. Этот способ пока не используется в широко распространенных сервисах типа соцсетей.

Гарантирует ли двухфакторная аутентификация абсолютную безопасность?

«В идеале второй фактор для входа должен приходить пользователю на другое устройство, не на то, с которого осуществляется вход в учетную запись, — говорит старший эксперт по кибербезопасности «Лаборатории Касперского» Денис Легезо. — Риск появляется при использовании одного и того же устройства и для входа в учетную запись, и для получения одноразового пароля. Если атакующие смогли заразить это устройство определенными видами троянцев, то считать одноразовый пароль защищенным больше не получится. Но по сравнению со сценарием, когда пользователь вовсе не включает двухфакторную аутентификацию, даже вариант с одним устройством выглядит несравненно лучше».

Что, если второе устройство потеряли?

Обычно сервисы всегда предусматривают некий альтернативный способ аутентификации. Но иногда пользователю в таких случаях приходится обратиться в службу поддержки.

Где стоит включить двухфакторную аутентификацию:

  1. «ВКонтакте»
  2. Google
  3. «Яндекс»
  4. Telegram

Как включить двухфакторную аутентификацию во «ВКонтакте»

  • На сайте:

Зайдите в «Настройки» → Во вкладке «Безопасность» выберите «Подтверждение входа» → «Подключить». Дальше нужно будет ввести свой пароль, ввести последние цифры номера, с которого на ваш телефон поступит звонок, и функция подтверждения входа будет подключена. При желании можно выбрать аутентификацию через приложения для генерации кодов, а также распечатать или записать резервные коды.

Что такое двухфакторная аутентификация и почему ее важно использовать

  • В приложении:

Зайдите в «Настройки» (в приложении они находятся в меню в нижней части экрана) → выберите «Управление аккаунтом VK Connect» → «Безопасность и вход» → «Подтверждение входа».

Далее, как и в полной версии, выбираете способ подтверждения входа и восстановления доступа.

Что такое двухфакторная аутентификация и почему ее важно использовать

Как включить двухфакторную аутентификацию в Google

Настроить подтверждение входа в почте и других сервисах Google можно на странице аккаунта. Процесс настройки здесь чуть сложнее, чем в других сервисах. В первую очередь нужно подтвердить, что это действительно ваш аккаунт, введя свой пароль и подтвердив вход (можно сделать это, просто нажав «да» на выбранном устройстве, либо выбрав другой способ).

Что такое двухфакторная аутентификация и почему ее важно использовать

Дальше необходимо выбрать способ, которым вы будете получать коды в дальнейшем: SMS, звонок, резервные коды.

Что такое двухфакторная аутентификация и почему ее важно использовать

Дальше нужно убедиться, что выбранный способ аутентификации работает.

Что такое двухфакторная аутентификация и почему ее важно использовать

Подтвердите, что вы действительно хотите подключить эту функцию.

Что такое двухфакторная аутентификация и почему ее важно использовать

Как включить двухфакторную аутентификацию в «Яндексе»

Чтобы подключить двухфакторную аутентификацию в сервисах «Яндекса», обязательно нужно приложение «Яндекс.Ключ». Это же приложение можно использовать для входа в любые другие сервисы, поддерживающие подтверждение входа через приложения-аутентификаторы.

В первую очередь нужно зайти на эту страницу. Подтвердив номер телефона, нужно придумать PIN-код и скачать приложение «Яндекс.Ключ». Через приложение нужно будет сканировать QR-код. После этого в приложении появится первый из автоматически генерируемых кодов. Его нужно будет ввести на сайте, и новый способ аутентификации будет подключен.

Что такое двухфакторная аутентификация и почему ее важно использовать

Как включить двухфакторную аутентификацию в Telegram

В Telegram двухэтапная аутентификация настраивается нестандартно: при входе с каждого нового устройства пользователю и так нужно вводить код, полученный в SMS. Поэтому второй этап аутентификации, который можно подключить — это как раз обычный пароль.

Нужно выбрать «Настройки» → «Конфиденциальность» → «Безопасность» → «Двухэтапная аутентификация».

Что такое двухфакторная аутентификация и почему ее важно использовать

Дальше вы придумываете новый пароль, подсказку к нему (при желании) и вводите свой адрес электронной почты, чтобы получить на нее код для подтверждения этой операции.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *