Розділ словника
Вісім термінів про те, чим насправді захищений акаунт. Пароль тут не головний: головними виявляються контакти відновлення і спосіб другого фактора.
Версія українською мовою для України.
Також: 2FA
Додаткове підтвердження входу, крім пароля.
Способи нерівноцінні. Код у СМС уразливий до підміни сім-картки і вводиться жертвою на підробленій сторінці. Застосунок-генератор знімає першу проблему, але не другу.
Апаратний ключ закриває обидві: він перевіряє адресу сайту самостійно, тому підроблена сторінка не може отримати від нього підтвердження.
Також: фраза відновлення
Послідовність слів, з якої відновлюється криптовалютний гаманець.
Фраза це компактна форма закритого ключа, тобто сам актив, а не пароль до нього. Той, хто її прочитав, розпоряджається коштами; той, хто її втратив, втрачає кошти назавжди.
Звідси два наслідки: вона ніколи не вводиться на сторінці, яка її просить, і ніколи не зберігається там, де синхронізується: у нотатках, у переписці із собою, у хмарній теці.
Також: сховище
Програма, що зберігає паролі й підставляє їх лише на відповідній адресі.
Зазвичай його цінують за довгі паролі, але корисніша інша властивість: менеджер не підставить пароль на підробленому сайті, бо адреса не збігається. Це працює без вашої участі.
Друга властивість важлива для команди: доступ видається і відкликається в одному місці, і відкликання справді спрацьовує, на відміну від пароля, переданого в чат.
Також: backup codes
Одноразові коди для входу, коли другий фактор недоступний.
Вони працюють без мережі й без телефона, тому рятують у найчастішій ситуації: втрата телефона разом із сім-карткою.
Сенс втрачається, якщо коди лежать у тому самому телефоні або в тому акаунті, до якого дають доступ. Їх друкують і зберігають окремо.
Також: SIM swap
Перевипуск сім-картки на зловмисника для перехоплення кодів і дзвінків.
Виконується через оператора звʼязку, а не через ваш телефон, тому на пристрої не залишається слідів. Перша ознака це раптова втрата мережі без причини.
Прямий наслідок: будь-який акаунт, де відновлення йде за номером, захищений рівно настільки, наскільки захищена процедура перевипуску в оператора.
Також: вхід на пристрої
Уже відкритий доступ до акаунта, який не потребує повторного введення пароля.
Зміна пароля не завжди завершує відкриті сесії, тому після інциденту окремо натискають «завершити всі сеанси». Без цього сторонній залишається всередині з новим паролем.
Список сесій і пристроїв корисний і поза інцидентом: незнайомий рядок означає, що доступ відкритий просто зараз.
Також: recovery
Пошта і номер, на які приходить відновлення доступу до акаунта.
Це найбільш недооцінене налаштування: той, хто ними керує, керує акаунтом незалежно від пароля і другого фактора.
Перше, що змінює той, хто захопив акаунт, це саме вони, тому перевірка після інциденту починається звідси, а не з пароля.
Також: security key
Фізичний пристрій, що підтверджує вхід за стандартом, привʼязаним до адреси сайту.
Ключ не видає коду, який можна продиктувати або ввести не туди. Він відповідає лише тій адресі, для якої був зареєстрований, тому підроблена сторінка залишається ні з чим.
Чого ключ не робить: він підтвердить будь-яку дію, яку підтвердить власник. Від свідомо схваленого шкідливого дозволу він не захищає.
| Спосіб | Захищає від | Не захищає від |
|---|---|---|
| Код у СМС | Підбору пароля | Підміни сім-картки, підробленої сторінки |
| Застосунок-генератор | Підміни сім-картки | Введення коду на підробленій сторінці |
| Апаратний ключ | Підробленої сторінки | Свідомо схваленої шкідливої дії |
| Резервні коди | Втрати телефона | Зберігання поруч із телефоном |