приложения для генерации проверочных кодов двухфакторной верификации в social club
Двухфакторная верификация аккаунта Social Club
Однажды, зайдя на страницу настроек профиля Social Club, я обнаружил вот такой пункт:
Невольно стало интересно, что это такое, и что делает, но, указанная справа ссылка вела на главную страницу поддержки, где о двухфакторной верификации лишь частично упоминалось в статье о защите своего аккаунта.
Тем не менее, после непродолжительного поиска я нашел ответы поддержки Rockstar, объясняющие, что к чему:
Мы благодарим Вас за обращение в Rockstar Support.
Мы глубоко извиняемся за все причинённые Вам неудобства. Ваше дело было передано соответствующему департаменту для дальнейшего рассмотрения. Пожалуйста, учтите, что запросы обрабатываются в том порядке, в котором они получены. Мы заранее благодарим Вас за Ваше терпение.
Пожалуйста, не стесняйтесь обращаться к нам в случае любой иной проблемы.
С наилучшими пожеланиями,
Вздохнув поглубже, я повторил о проблеме доступа в саму игру, и на следующий день к решению проблемы подключился третий сотрудник поддержки. Он предложил подтвердить указанный мной электронный адрес, ответив на сообщение поддержки с него.
После подтверждения, у меня уточнили, всё ещё ли мне нужна отвязка аутентификатора, а буквально спустя 5 минут после моего ответа на почту пришло долгожданное письмо:
Тем не менее, из всего этого можно вынести главные ответы на вопросы:
Искренне надеемся, что данный материал поможет кому-то избежать ошибок, допущенных мной. Удачного пользования!
Двухфакторная верификация в Rockstar Games Social Club: для чего, как настроить?
Что такое двухфакторная верификация в учетной записи Social Club? Двухфакторная верификация в Rockstar Games Social Club – это мера безопасности, обеспечивающая вашей учетной записи Social Club дополнительный уровень защиты. При двухфакторной верификации для доступа к учетной записи вы получаете персональный ключ.
После включения двухфакторной верификации ключ используется для генерации проверочного кода в соответствующем приложении. Этот код в сочетании с вашим именем пользователя и паролем позволяет защитить вашу учетную запись Social Club.
Для чего мне использовать двухфакторную верификацию?
Вопрос: для чего мне включать в учетной записи Social Club двухфакторную верификацию?
Ответ: при двухфакторной верификации любой, кто захочет получить доступ к вашей учетной записи, должен будет знать не только пароль, но и проверочный код. Эта дополнительная мера безопасности позволяет защитить учетную запись от кражи или несанкционированного доступа.
Также, после того как вы включите в своей учетной записи Social Club двухфакторную верификацию, вы сможете указать, чтобы система «запомнила» ваше устройство. Если вы входите в учетную запись с запомненного устройства, вводить проверочный код не требуется.
Как мне настроить двухфакторную верификацию в своей учетной записи Social Club?
Двухфакторную верификацию можно настроить при помощи приложения для генерации проверочных кодов на мобильном устройстве либо при помощи аналогичного приложения в браузере. Предварительно необходимо подтвердить адрес электронной почты, на который зарегистрирована ваша учетная запись Social Club. Со списком приложений для генерации проверочных кодов можно ознакомиться чуть ниже.
Выбрав приложение для генерации проверочных кодов, выполните следующие действия:
Связанные учетные записи и двухфакторная верификация
Двухфакторная верификация защищает от изменений вашу учетную запись Social Club, однако у связанных учетных записей сохраняются те же привилегии относительно изменений в игре. Двухфакторная верификация используется только при изменении сведений или настроек, относящихся к вашей учетной записи Social Club. Для обеспечения максимальной безопасности мы рекомендуем также включить двухфакторную верификацию у провайдеров связанных учетных записей.
Приложения для генерации проверочных кодов при двухфакторной верификации в Social Club
Вопрос: какие приложения для генерации проверочных кодов рекомендуется использовать для двухфакторной верификации учетной записи Rockstar Games Social Club?
Ответ: ниже представлен список приложений, совместимых с Social Club. Вам нужно будет воспользоваться одним из них, чтобы включить двухфакторную верификацию учетной записи.
Как мне удалить устройство из списка запомненных?
Ответ: выполните следующие действия:
В будущем при попытке войти в учетную запись с этого устройства вам потребуется пройти двухфакторную верификацию.
Как привязать двухфакторную верификацию к другому устройству
Ответ: выполните следующие действия:
После этого вы сможете настроить двухфакторную верификацию на другом устройстве, следуя инструкции указанной выше.
Рекомендации по добавлению устройств для двухфакторной верификации
Вопрос: в каких случаях мне следует добавлять устройство, на котором я играю, в число запомненных?
Ответ: мы рекомендуем вносить в список запомненных только те устройства, к которым не имеет доступа никто, кроме вас. Если добавить устройство, которым пользуется кто-то еще, это будет означать, что другой человек может войти в вашу учетную запись Social Club, минуя двухфакторную верификацию.
Как привязать учетные записи Xbox Live и PlayStation Network к учетной записи Social Club с двухфакторной верификацией
Вопрос: Как привязать учетные записи Xbox Live и PlayStation® Network к учетной записи Social Club с двухфакторной верификацией при сообщении «Сервис Social Club в данный момент недоступен. Пожалуйста, повторите попытку позже»?
Ответ: после включения двухфакторной верификации вам нужно будет связать учетную запись Xbox Live или PlayStation с Social Club, используя раздел «Привязать» на сайте. Для этого:
После того как ваша платформа будет связана с учетной записью Social Club, вы получите письмо с подтверждением на электронную почту, на которую зарегистрирована ваша учетная запись Social Club.
Не удалось войти в учетную запись с использованием двухфакторной верификации
Вопрос: что мне делать, если при попытке войти в учетную запись Social Club с использованием кода для двухфакторной верификации у меня отображается сообщение об ошибке?
Ответ: если у вас отображается сообщение об ошибке, это может быть вызвано тем, что используемое вами приложение для генерации проверочных кодов рассинхронизировалось со службой двухфакторной верификации.
Если вы используете Google Authenticator на Android-устройстве:
Примечание: синхронизация касается только внутренних настроек времени в приложении Google Authenticator и не меняет дату и время на самом устройстве.
Настройки приложения для генерации проверочных кодов:
На телефонах Android и Windows:
На iOS-устройствах и телефонах:
Потерялось устройство для двухфакторной верификации
Вопрос: что мне делать, если у меня нет доступа к устройству, использованному для двухфакторной верификации?
Удалил 2-кратную верификацию на телефоне.
Дубликаты не найдены
Двухкратная верификация. Может двухфакторная аутентификация.
Никак иначе чем через поддержку этот вопрос не может быть решен. Такие дела.
Устройство 2-факторной верификации
Всем спасибо за ответы.
Предварительно конечно я подтвердил что акк принадлежит мне с помощью почты и номера телефона. На следующий день аутентификатор отвязали.
Обход верификации телефонного номера по смс и звонку
Всем привет, недавно у меня окончательно бомбанул пукан. В последнее время участились случаи звонков на мой номер телефона от рекламных контор, которые предлагают различные услуги, мне не нужные. Я задумался над тем, что пора уже прекращать указывать свой номер телефона при регистрации на различных (не нужных) сайтах и сейчас расскажу мои наблюдения и с какими трудностями я столкнулся.
Сразу говорю, что это может оказаться баяном у знающих людей, но я эту инфу долго не мог найти и связать ее в одну цепочку, поэтому излагаю мои мысли тут.
Наверняка каждый сталкивался с верификацией (проверкой, подтверждением) номера телефона для регистрации на различных ресурсах в основном по смс. Но жизнь усложняется когда тебя просят ввести последние 4-5 цифр номера который тебе позвонил на телефон, объясню почему. Для чего нужна верификация и как она работает можно найти в гуголе, речь не об этом, а о том как эту схему обойти.
Способ борьбы тоже довольно легкий. Существуют различные сайты с временными общедоступными номерами телефонов (это когда одним номером пользуется куча народу) например смс24инфо. Заходишь на сайт, выбираешь страну в зависимости как какой код телефонного номера тебе нужен и выбираешь сам общий номер телефона. Фото для примера.
«Заходим» на номер а там уже катавасия из бесконечного числа кодов подтверждения. Дальше дело за малым, указываем этот номер при регистрации, ждем код и вы чисты. Главное что все абсолютно бесплатно. Но помните это подходит только для не очень важных для вас сайтах. На сайтах где вы будете иметь дело с финансами (расходом\начислением), государственных (по типу госуслуг) и др. лучше проходить белую регистрацию со своим телефоном, дабы иметь возможность двухфакторной аутентификации и возможности восстановления своих паролей и других важных функций.
2. Верификация по номеру телефона. Тут начинается боль моя задница. Для данной верификации вам необходимо указать номер вашего телефона, на который позвонит «робот» и скинет звонок, а в свое время вам необходимо указать при регистрации последние например 4-5 последних цифр номера который вам только что позвонил.
Ставим приложуху (при первом запуске не забываем поставить в режим выкл все разрешения проложения), регаемся, заходим в настройки и видим свой Латвийский номер телефона:
Запоминаем несколько цифр и вводим при регистрации.
Естественно существуют схожие приложения, но я наткнулся именно на это и мне оно показалось довольно удобным. Таким образом мы сможем обходить верификацию по звонку. Надеюсь был полезен. Всем добра.
Как зарегистрировать новую учетную запись пользователя в Social Club?
Какие бы классные игры не создавали Rockstar Games, у них очень специфичная система авторизации и создания новой учетной записи. Во времена GTA 4, без в социального клуба играть было невозможно! Для того, чтобы у вас не возникало проблем с созданием нового аккаунта на официальном сайте Rockstar Games, мы подготовили для вас полноценный последовательный гайд! Читайте внимательно!
Шаг 1. Зайти на официальный сайт Rockstar Games
Необходимо зайти на официальный сайт Rockstar Games. В правом верхнем углу следует нажать на иконку пользователя. В открывшемся меню стоит выбрать пункт «Вступить в Social Club».
Перейдите по ссылке на официальный сайт Rockstar Games и нажмите на иконку в правом верхнем углу
Шаг 2. Введите дату своего рождения
В открывшемся окне необходимо указать дату вашего рождения:
Стоит отметить, что если вам нет 18 лет, то всплывет ошибка, которая не позволит продолжить регистрацию. После заполнения полей нажмите на кнопку «Далее».
Укажите свою дату рождения
Шаг 3. Согласие с условиями и положениями Rockstar Games
Обязательно необходимо познакомиться:
Не ленитесь и прочитайте представленную информацию, чтобы отсеять все возможные вопросы. Нажав на интересующее вас соглашение, оно появится взамен текущего окна. После прочтения в правом верхнем углу следует нажать клавишу «Закрыть». Данная операция вернет вас к регистрации. Необходимо поставить галочку в соответствующем окне, в противном случае продолжить регистрацию — не представляется возможным. Если вы ознакомились со всеми положениями и поставили галочку, то нажмите на кнопку «Далее».
Ознакомьтесь с лицензионными соглашениями Rockstar Games
Шаг 4. Создание учетной записи
Для создание новой учетной записи, вам потребуется заполнить следующие строки:
Внимательно, введите информацию в соответствующие поля, позже изменить «Электронную почту» — не удастся. В строке «Пароль» вам необходимо придумать пароль от 8 до 30 символов или воспользоваться автоматически сгенерированным. «Имя пользователя» необходимо придумать в диапазоне от 6 до 16 символов, без кириллицы. Имя пользователя должно быть уникальным, в противном случае, вас попросят придумать новое. Во вкладке «Страна/Регион» укажите страну проживания. По необходимости поставьте галочку, если хотите получать новостную рассылку от Rockstar Games. Когда, выполните все действия нажмите на клавишу «Далее».
Укажите свою электронную почту, пароль и имя пользователя 
Пример заполнения окна
Шаг 5. Настройки видимости и ленты
Social Club — это не только программа, необходимая для запуска игр. В нем также присутствуют элементы социальной сети. В ней вы можете делиться скриншотами или общаться с друзьями. Если вам необходим данный функционал, то выставите соответствующие галочки:
После ознакомления со всей информацией и выбор соответствующих пунктов, нажмите кнопку «Далее».
Укажите параметры вашего профиля 
Укажите параметры видимости и отображение статистики игры
Шаг 6. Настройка двухфакторной верификации
Поздравляем! Вы успешно создали учетную запись в Rockstar Games! Рекомендуем вам настроить двухфакторную верификацию, для максимальной защиты аккаунта от злоумышленников. Для этого необходимо перейти в настройки вашей учетной записи. Сделать это можно следующим образом: в правом верхнем углу нажмите на «Значок профиля»; в открывшемся меню выберите пункт «Посмотреть профиль». В скобках будет имя вашего пользователя.
Нажмите на иконку вашей учетной записи в правом верхнем углу. В появившемся списке выберете строку «Посмотреть профиль»
В новом окне перейдите во вкладку «Двухфакторная верификация». Ознакомившись с текстом, становится ясно, что необходимо «подтвердить адрес эл. почты». Для этого следует перейти во вкладку «Эл. почта». И нажать на клавишу «Выслать письмо подтверждения».
В окне выберете вкладку «Двухфакторная верификация»
Далее необходимо зайти в указанную почту. Вам придет письмо от Rockstar Games. В нем вам следует нажать на клавишу «Подтвердить свой адрес электронной почты». После следует вернуться в настройки профиля и проверить статус.
Так будет выглядеть письмо на электронной почте. Нажмите на «Подтвердите свой адрес электронной почты» 
После подтверждения окно «Эл. почта» должно выглядеть следующим образом
Теперь можно вернуться к настройке двухфакторной верификации. Для этого нажмите на вкладку «Двухфакторная верификация». Наблюдаем изменения, появилась кнопка «Настроить», нажимаем на нее.
Перейдите во вкладку «Двухфакторная верификация» и нажмите на кнопку «Настроить»
В новом окне вам предоставят возможность ознакомиться со списком приложений для аутентификации. Всего Social Club поддерживает 5 основных приложений:
Вы можете воспользоваться любым понравившимся или используемым ранее. Стоит отметить, что все приложения доступны для скачивания на мобильные телефоны. Однако, Authy можно пользоваться и при помощи персонального компьютера. После того, как вы выбрали приложение, скачали, установили его — вам необходимо выбрать соответствующую строку из списка. Например, мы воспользовались Authy в браузере Chrome, поэтому нажимаем на строку «Chrome (Browser)». Вам следует поступить аналогично, с той лишь разницей, что кликнуть на ту строку, приложение которого вы настроили.
Выберете программу из перечисленного списка, установите на удобное для вас устройство и нажмите на соответствующую вкладку
После у вас открывается следующее окно. Если вы установили аутентификатор на мобильное устройство, то можно отсканировать QR – код, далее приложение генерирует вам «пароль» и «проверочный код».
Если вы пользуетесь Authy с ПК, то вам необходимо ввести «Секретный код» в аутентификатор. После чего приложение обработает запрос и предоставит вам «пароль» и «проверочный код».После получения всех необходимых данных заполните их в строки «Пароль» и Проверочный код». После чего нажмите на кнопку «Проверить».
Если вы сделали все правильно по нашей инструкции, то устройство успешно привяжется к вашему аккаунту. Теперь для входа в вашу учетную запись потребуется код доступа с аутентификатора. Что не позволит зайти под вашим аккаунтам злоумышленникам.
Теперь в настройках вашей учетной записи отображается выбранное устройство
Поздравляем! Теперь у вас есть защищенная учетная запись в Rockstar Social Club. Пользуйтесь с удовольствием.
Коды в SMS небезопасны — рекомендуем пользоваться другими вариантами двухфакторной аутентификации
Почему SMS — не лучший выбор для двухфакторной аутентификации, и какие существуют альтернативы.
За последние пару лет идея двухфакторной аутентификации, о которой так долго говорили гики, сильно продвинулась в массы. Однако до сих пор в большинстве случаев речь идет о двухфакторной аутентификации при помощи одноразовых паролей, приходящих в SMS. А это, к сожалению, не очень-то надежный вариант. Вот что может пойти не так:
Надо заметить, что даже самый трудоемкий и высокотехнологичный из перечисленных методов перехвата пароля в SMS — с помощью взлома протокола SS7 — уже был использован на практике. Так что речь не о теоретической возможности возникновения неприятностей, а о вполне практической угрозе.
В общем, пароли в SMS — это не очень-то безопасно, а иногда даже и очень небезопасно. Поэтому есть смысл озаботиться поиском альтернативных вариантов двухэтапной аутентификации, о чем мы сегодня и поговорим.
Одноразовые коды в файле или на бумажке
Наиболее простая замена одноразовым паролям, присылаемым в SMS, — это те же самые одноразовые пароли, но заготовленные заранее. Это не самый плохой вариант, особенно для тех сервисов, в которых вам надо авторизовываться сравнительно редко. Собственно, даже для того же «Фейсбука» этот метод вполне может подойти, особенно в качестве резервного способа входа.
Работает это очень просто: по запросу сервис генерирует и показывает на экране десяток одноразовых кодов, которые в дальнейшем могут быть использованы для подтверждения входа в него. Дальше вы просто распечатываете или переписываете эти коды на бумагу и кладете в сейф. Или, что еще проще, сохраняете в зашифрованных записях в менеджере паролей.
В общем, не так важно, будете ли вы хранить эти коды на теплой ламповой бумаге или в бездушном цифровом виде — важно сохранить их так, чтобы они а) не потерялись и б) не могли быть украдены.
Приложения для двухфакторной аутентификации
У единожды сгенерированного набора одноразовых кодов есть один недостаток: рано или поздно он закончится, и вполне может так получиться, что вы останетесь без кода в самый неподходящий момент. Поэтому есть способ лучше: можно генерировать одноразовые коды на лету с помощью небольшого и, как правило, очень простого приложения — аутентификатора.
Как работают приложения-аутентификаторы
Работают приложения для двухфакторной аутентификации очень просто. Вот что придется сделать:
Коды создаются на основе ключа, который известен только вам и серверу, а также текущего времени, округленного до 30 секунд. Поскольку обе составляющие одинаковы и у вас, и у сервиса, коды генерируются синхронно. Этот алгоритм называется OATH TOTP (Time-based One-time Password), и в подавляющем большинстве случаев используется именно он.
Также существует альтернатива — алгоритм OATH HOTP (HMAC-based One-time Password). В нем вместо текущего времени используется счетчик, увеличивающийся на 1 при каждом новом созданном коде. Но этот алгоритм редко встречается в реальности, поскольку при его использовании гораздо сложнее обеспечить синхронное создание кодов на стороне сервиса и приложения. Проще говоря, есть немалый риск, что в один не очень прекрасный момент счетчик собьется и ваш одноразовый пароль не сработает.
Так что можно считать OATH TOTP де-факто индустриальным стандартом (хотя формально это даже не стандарт, на чем создатели этого алгоритма очень настаивают в его описании).
Совместимость приложений для двухфакторной аутентификации и сервисов
Подавляющее большинство приложений для двухфакторной аутентификации работает по одному и тому же алгоритму, так что для всех сервисов, которые поддерживают аутентификаторы, можно использовать любое из них — какое вам больше нравится.
Как и в любом добротном правиле, в этом тоже есть определенное количество исключений. Некоторые сервисы по каким-то причинам, ведомым только им одним, предпочитают делать свои собственные приложения для двухфакторной аутентификации, которые работают только с ними. Более того, сами сервисы не работают ни с какими другими приложениями, кроме своих собственных.
Особенно это распространено среди крупных издателей компьютерных игр — например, существуют несовместимые со сторонними сервисами приложения Blizzard Authenticator, Steam Mobile с встроенным аутентификатором Steam Guard, Wargaming Auth и так далее. Для этих сервисов придется ставить именно эти приложения.
Также по этому странному пути пошла Adobe, разработавшая Adobe Authenticator, который работает только с аккаунтами AdobeID. Но при этом вы можете использовать для защиты AdobeID и другие аутентификаторы, так что вообще непонятно, ради чего было городить огород.
Так или иначе, большинство нормальных ИТ-компаний не ограничивает пользователей в выборе 2FA-приложения. И даже если по каким-то соображениям им хочется контролировать этот процесс и создать свое приложение, то чаще всего они позволяют защищать с его помощью не только «свои» аккаунты, но и учетные записи сторонних сервисов.
Поэтому просто выбирайте приложение-аутентификатор, которое вам больше нравится по набору дополнительных функций — оно будет работать с большинством сервисов, которые вообще поддерживают 2FA-приложения.
Лучшие приложения для двухфакторной аутентификации
Выбор 2FA-приложений на удивление велик: поиск по запросу «authenticator» в Google Play или Apple App Store выдает не один десяток результатов. Мы не советуем устанавливать первое попавшееся приложение — это может быть небезопасно, ведь, по сути, вы собираетесь доверить ему ключи от своих аккаунтов (оно не будет знать ваши пароли, конечно, но ведь 2FA вы добавляете именно потому, что пароли имеют свойство утекать). В общем, стоит выбирать из приложений, созданных крупными и уважаемыми разработчиками.
Несмотря на то что базовая функция у всех этих приложений одна и та же — создание одноразовых кодов по одному и тому же алгоритму, некоторые аутентификаторы обладают дополнительными функциями или особенностями интерфейса, которые могут показаться вам удобными. Перечислим несколько самых интересных вариантов.
1. Google Authenticator
Поддерживаемые платформы: Android, iOS
Как отмечают буквально все публикации, Google Authenticator — это самое простое в использовании из всех существующих приложений для двухфакторной аутентификации. У него даже настроек нет. Все, что можно сделать, — это добавить новый токен (так называется генератор кодов для отдельного аккаунта) или удалить один из имеющихся. А чтобы скопировать код в буфер обмена, достаточно коснуться его пальцем на сенсорном экране смартфона или планшета. Все!
Однако у такой простоты есть и недостаток: если вам что-то не нравится в интерфейсе или хочется от аутентификатора чего-то большего — придется устанавливать другое приложение.
+ Очень просто использовать.
2. Duo Mobile
Поддерживаемые платформы: Android, iOS
Duo Mobile также крайне прост в использовании, минималистичен и лишен дополнительных настроек. По сравнению с Google Authenticator у него есть одно преимущество: по умолчанию Duo Mobile скрывает коды — чтобы увидеть код, надо нажать на конкретный токен. Если вы, как и я, испытываете дискомфорт каждый раз, когда открываете аутентификатор и показываете всем окружающим кучу кодов от всех своих аккаунтов сразу, то вам эта особенность Duo Mobile наверняка понравится.
+ По умолчанию скрывает коды.
3. Microsoft Authenticator
Поддерживаемые платформы: Android, iOS
В Microsoft тоже не стали усложнять и сделали свой аутентификатор на вид очень минималистичным. Но при этом Microsoft Authenticator заметно функциональнее, чем Google Authenticator. Во-первых, хоть по умолчанию все коды показываются, но каждый из токенов можно отдельно настроить так, чтобы при запуске приложения код был скрыт.
Во-вторых, Microsoft Authenticator упрощает вход в аккаунты Microsoft. В этом случае после ввода пароля достаточно будет нажать в приложении кнопку подтверждения входа — и все, можно даже не вводить одноразовый код.
+ Можно настроить, чтобы коды скрывались.
+ Дополнительные возможности для входа в аккаунты Microsoft.
4. FreeOTP
Поддерживаемые платформы: Android, iOS
Есть четыре причины, по которым вам может понравиться этот аутентификатор, разработанный Red Hat. Во-первых, это ваш выбор, если вы любите программное обеспечение с открытым кодом. Во-вторых, это самое маленькое приложение из всех рассматриваемых — версия для iOS занимает всего 750 Кбайт. Для сравнения: минималистичный Google Authenticator занимает почти 14 Мбайт, а приложение Authy, о котором мы поговорим ниже, — аж 44 Мбайта.
В-третьих, по умолчанию приложение скрывает коды и показывает их только после касания. Наконец, в-четвертых, FreeOTP позволяет максимально гибко конфигурировать токены вручную, если вам это зачем-нибудь нужно. Разумеется, обычный способ создания токена с помощью сканирования QR-кода тоже поддерживается.
+ По умолчанию скрывает коды.
+ Приложение занимает всего 700 Кбайт.
+ Открытый код.
+ Максимум настроек при создании токена вручную.
5. Authy
Самое навороченное из приложений для двухфакторной аутентификации, основным достоинством которого является то, что все токены хранятся в облаке. Это позволяет получить доступ к токенам с любого из ваших устройств. Заодно это упрощает переезд на новые устройства — не придется заново активировать 2FA в каждом сервисе, можно продолжить пользоваться существующими токенами.
В облаке токены зашифрованы ключом, который создается на основе заданного пользователем пароля, — то есть данные хранятся безопасно, и украсть их будет нелегко. Также можно установить ПИН-код на вход в приложение — или защитить его отпечатком пальца, если ваш смартфон оснащен соответствующим сканером.
Основной недостаток Authy состоит в том, что приложение с ходу требует завести аккаунт, привязанный к вашему телефонному номеру, — без этого просто не получится начать с ним работать.
+ Токены хранятся в облаке, что позволяет использовать их на всех своих устройствах.
+ По той же причине очень удобно переезжать на новое устройство.
+ Вход в приложение защищен PIN-кодом или отпечатком пальца.
+ На экране показывается код только для последнего использованного токена.
+ В отличие от остальных приложений, поддерживает не только Android и iOS, но и Windows, macOS и Chrome.
− Требуется зарегистрироваться в Authy, используя номер телефона, — без этого приложение не работает.
6. «Яндекс.Ключ»
Поддерживаемые платформы: Android, iOS
На мой взгляд, по концепции «Яндекс.Ключ» — это самое удачное из существующих приложений для двухфакторной аутентификации. С одной стороны, оно не требует с ходу регистрироваться — можно начать им пользоваться с той же легкостью, как и Google Authenticator. С другой стороны, в нем есть несколько дополнительных возможностей, которые открываются тем, кто не поленится зайти в настройки.
Во-первых, «Яндекс.Ключ» можно «запереть» на PIN-код или отпечаток пальца. Во-вторых, можно создать в облаке «Яндекса» резервную копию токенов, защищенную паролем (а вот на этом этапе уже придется указать номер телефона), и восстановить ее на любом из используемых вами устройств. Точно так же можно будет перенести токены на новое устройство, когда понадобится переезжать.
Получается, что «Яндекс.Ключ» сочетает в себе простоту Google Authenticator и расширенную функциональность Authy — в зависимости от того, что вы предпочитаете. Единственный недостаток приложения — не вполне удобный для использования с большим количеством токенов интерфейс.
+ Минимализм на старте, расширенная функциональность доступна через настройки.
+ Создание резервных копий токенов в облаке для использования на нескольких устройствах и переезда на новые.
+ Вход в приложение защищен PIN-кодом или отпечатком пальца.
+ На экране показывается код только для последнего использованного токена.
+ Заменяет постоянный пароль к аккаунту «Яндекса».
− При большом количестве токенов не очень удобно искать нужный.
«Железные» аутентификаторы FIDO U2F: YubiKey и все-все-все
Если приложение, генерирующее одноразовые коды, кажется вам слишком эфемерным способом защитить свои аккаунты, и хочется чего-то более постоянного, надежного и материального — буквально запереть аккаунт на ключ и положить его в карман, — то у меня есть для вас хорошая новость: такой вариант также существует. Это аппаратные токены стандарта U2F (Universal 2nd Factor), созданного FIDO Alliance.
Как работают токены FIDO U2F
Аппаратные U2F-токены очень полюбились специалистам по безопасности — в первую очередь потому, что с точки зрения пользователя они работают очень просто. Для начала работы достаточно подключить U2F-токен к вашему устройству и зарегистрировать его в совместимом сервисе, причем делается это буквально в пару кликов.
Впоследствии при необходимости подтвердить вход в этот сервис нужно будет подключить U2F-токен к тому устройству, с которого вы входите, и нажать на токене кнопку (в некоторых устройствах — ввести PIN или приложить палец к сканеру). Все — никаких сложных настроек, ввода длинных последовательностей случайных символов и прочих танцев с бубном, которые обычно все себе представляют при упоминании слова «криптография».
Вставьте ключ и нажмите кнопку — и это действительно все
При этом «под капотом» все устроено очень умно и криптографически надежно: при регистрации токена на сервисе создается пара криптографических ключей — приватный и публичный. Публичный сохраняется на сервере, а приватный хранится в защищенном хранилище Secure Element, которое является сердцем U2F-токена, — и этот ключ никогда не покидает устройство.
Приватный ключ используется для того, чтобы зашифровать подтверждение входа, которое передается на сервер и может быть расшифровано с помощью публичного ключа. Если кто-то от вашего имени попытается передать подтверждение входа, зашифрованное неправильным приватным ключом, то при расшифровке с помощью известного сервису публичного ключа вместо подтверждения получится бессмыслица, и сервис не пустит его в аккаунт.
Какими бывают U2F-устройства
Наиболее известный и распространенный пример U2F — это «ключи» YubiKey, которые производит компания Yubico. Собственно, она и стояла у истоков этого стандарта, но предпочла сделать его открытым, для чего и был создан FIDO Alliance. А поскольку стандарт открытый, вы не ограничены в выборе: U2F-совместимые устройства производят и продают разные компании — в онлайн-магазинах можно найти множество разнообразных моделей.
YubiKey — вероятно, самые популярные U2F-токены
Например, Google недавно представила свой комплект аппаратных аутентификаторов Google Titan Security Keys. На самом деле это ключи производства Feitian Technologies (второй по популярности производитель U2F-токенов после Yubico), для которых в Google написали собственную прошивку.
Разумеется, все аппаратные аутентификаторы, совместимые со стандартом U2F, будут с одинаковым успехом работать со всеми сервисами, которые также с этим стандартом совместимы. Однако у разных моделей есть несколько важных различий, и самое важное из них — это интерфейсы, которыми оборудован «ключ». От этого напрямую зависит, с какими устройствами он сможет работать:
USB — для подключения к компьютерам (Windows, Mac или Linux — неважно, «ключи» работают без установки каких-либо драйверов). Помимо обычного USB-A бывают «ключи» с USB-C.
NFC — необходим для использования со смартфонами и планшетами на Android.
Bluetooth — понадобится на тех мобильных устройствах, в которых нет NFC. К примеру, аутентификатор с Bluetooth все еще нужен владельцам iPhone: несмотря на то, что в iOS уже разрешили приложениям использовать NFC (до 2018 года это было позволено только Apple Pay), разработчики большинства совместимых с U2F приложений еще не воспользовались этой возможностью. У Bluetooth-аутентификаторов есть пара минусов: во-первых, их нужно заряжать, а во-вторых, их подключение занимает гораздо больше времени.
Что же выбрать: SMS, приложение или YubiKey?
Универсального ответа на этот вопрос не существует — для разных сервисов можно использовать разные варианты двухфакторной аутентификации в различных сочетаниях. Например, наиболее важные аккаунты (скажем, вашу основную почту, к которой привязаны остальные учетные записи) стоит защитить по максимуму — запереть на «железный» U2F-токен и запретить любые другие опции 2FA. Так можно быть уверенным, что никто и никогда не получит доступ к аккаунту без этого токена.
Хороший вариант — привязать к аккаунту два «ключа», как это делается с ключами от автомобиля: один всегда с собой, а другой лежит в надежном месте — на случай, если первый потеряется. При этом «ключи» могут быть разного типа: скажем, приложение-аутентификатор на смартфоне в качестве основного и U2F-токен или листочек с одноразовыми паролями, лежащий в сейфе, в качестве резервного средства.
Так или иначе, главный совет — по возможности избегать использования одноразовых паролей в SMS. Правда, получится это не всегда: например, финансовые сервисы в силу своей консервативности продолжают использовать SMS и крайне редко позволяют пользоваться чем-либо еще.