Раздел словаря
Восемь терминов о том, чем на самом деле защищён аккаунт. Пароль здесь не главный: главными оказываются контакты восстановления и способ второго фактора.
Версия на русском языке для России.
Также: 2FA
Дополнительное подтверждение входа помимо пароля.
Способы неравноценны. Код в СМС уязвим к подмене сим-карты и вводится жертвой на поддельной странице. Приложение-генератор снимает первую проблему, но не вторую.
Аппаратный ключ закрывает обе: он проверяет адрес сайта самостоятельно, поэтому поддельная страница не может получить от него подтверждение.
Также: фраза восстановления
Последовательность слов, из которой восстанавливается криптовалютный кошелёк.
Фраза — это компактная запись закрытого ключа, то есть сам актив, а не пароль к нему. Тот, кто её прочитал, распоряжается средствами; тот, кто её потерял, теряет средства навсегда.
Отсюда два следствия: она никогда не вводится на странице, которая её просит, и никогда не хранится там, где синхронизируется, — в заметках, в переписке с собой, в облачной папке.
Также: хранилище
Программа, которая хранит пароли и подставляет их только на подходящем адресе.
Обычно его ценят за длинные пароли, но полезнее другое свойство: менеджер не подставит пароль на поддельном сайте, потому что адрес не совпадёт. Это работает без вашего участия.
Второе свойство важно для команды: доступ выдаётся и отзывается в одном месте, и отзыв действительно срабатывает, в отличие от пароля, переданного в переписке.
Также: backup codes
Одноразовые коды для входа, когда второй фактор недоступен.
Работают без сети и без телефона, поэтому спасают в самой частой ситуации — потеря или кража телефона вместе с сим-картой.
Смысл теряется, если коды лежат в том же телефоне или в том же аккаунте, к которому дают доступ. Их печатают и хранят отдельно.
Также: SIM swap
Перевыпуск сим-карты на злоумышленника для перехвата кодов и звонков.
Выполняется через оператора связи, а не через ваш телефон, поэтому на устройстве не остаётся следов. Первый признак — телефон внезапно теряет сеть без причины.
Прямое следствие: любой аккаунт, где восстановление идёт по номеру, защищён ровно настолько, насколько защищена процедура перевыпуска у оператора.
Также: вход на устройстве
Уже открытый доступ к аккаунту, который не требует повторного ввода пароля.
Смена пароля не всегда завершает открытые сессии, поэтому после инцидента отдельно нажимают «завершить все сеансы». Без этого посторонний остаётся внутри с новым паролем.
Список сессий и устройств полезен и вне инцидента: незнакомая строка в нём означает, что доступ открыт прямо сейчас.
Также: recovery
Почта и номер, на которые приходит восстановление доступа к аккаунту.
Это самый недооценённый параметр: тот, кто ими управляет, управляет аккаунтом независимо от пароля и второго фактора.
Первое, что делает захвативший аккаунт, — меняет их на свои. Поэтому проверка после инцидента начинается не с пароля, а с этого раздела настроек.
Также: security key
Физическое устройство, подтверждающее вход по стандарту, привязанному к адресу сайта.
Ключ не выдаёт код, который можно продиктовать или ввести не туда. Он отвечает только тому адресу, для которого был зарегистрирован, и поэтому поддельная страница остаётся ни с чем.
Чего ключ не делает: он подтвердит любое действие, которое подтвердит владелец. От осознанно одобренного вредоносного разрешения он не защищает.
| Способ | Защищает от | Не защищает от |
|---|---|---|
| Код в СМС | Подбора пароля | Подмены сим-карты, поддельной страницы |
| Приложение-генератор | Подмены сим-карты | Ввода кода на поддельной странице |
| Аппаратный ключ | Поддельной страницы | Осознанно одобренного вредоносного действия |
| Резервные коды | Потери телефона | Хранения рядом с телефоном |