Ваш пароль уже украли. Двухфакторная аутентификация — это способ войти в аккаунт, даже если злоумышленник знает ваш пароль. Для этого нужно что-то, чего у него нет: ваш телефон, отпечаток пальца или физический ключ.
Аутентификация бывает трёх видов. Для входа можно использовать один из них — это обычный вход. Два фактора — это когда вы комбинируете два разных вида. Например, пароль (знаю) + телефон (имею).
То, что хранится у вас в голове. Легко забыть, но и легко украсть, если подсмотреть.
То, что физически находится при вас. Даже зная пароль, без этого устройства войти не получится.
Биометрия. Нельзя потерять или передать, но нельзя и сменить, если скомпрометирована.
Вы когда-нибудь задумывались, как Google Authenticator генерирует код, когда на телефоне нет интернета? Он не запрашивает его у сервера. Он вычисляет его сам, используя секретный ключ и текущее время. Сервер делает точно такой же расчёт.
Это называется TOTP. Ниже — симулятор. Секретный ключ одинаковый у телефона и у сервера. Если время совпадает — код совпадает.
2FA бывает разной. И уровень защиты у неё сильно отличается. Нажмите на карточку, чтобы увидеть детали.
Если вы используете 2FA через SMS, злоумышленник может перехватить код. Это называется SIM-swap. Посмотрите, как это работает.
Google Authenticator, Authy, 1Password. Они не зависят от оператора связи, и их нельзя перехватить через SIM-swap.
YubiKey или аналоги. Это физическое устройство, которое нужно подключить к компьютеру. Фишинг с ним не работает.
При настройке 2FA вам дают 8-10 одноразовых кодов. Распечатайте их и уберите в надёжное место. Без них можно потерять доступ.
Если потеряете телефон, TOTP-коды исчезнут. Включайте синхронизацию (например, в Authy или 1Password), чтобы не потерять всё.
Если вам приходит push-уведомление «Подтвердите вход» без вашего действия — значит, хакер уже знает пароль и пытается войти.
Это не спасёт от всех атак, но усложнит кражу вашего номера. И включите запрет на удалённую замену SIM.