Двофакторна автентифікація

Двофакторна автентифікація (2FA) додає до пароля ще одну перевірку, наприклад код із телефона. Якщо хтось дізнався пароль, йому все ще потрібен цей код. Але разом із другим фактором з’являється й новий ризик — втратити доступ самому, тому тут ідеться і про відновлення.

Якщо у вас ще немає менеджера паролів, почніть із посібника про паролі.

Способи 2FA

SMS

Це краще, ніж лише пароль, але номер можуть перехопити, переконавши оператора перевипустити SIM-картку. Якщо є вибір, беріть застосунок-автентифікатор; якщо сервіс підтримує лише SMS — увімкніть хоча б їх.

Застосунок-автентифікатор

Такий застосунок генерує коди, які змінюються зазвичай кожні 30 секунд, без інтернету й мобільного зв’язку. Цей спосіб часто називають TOTP.

Деякі менеджери паролів теж уміють генерувати ці коди. Це зручно, але якщо нападник відкриє сховище, то отримає і паролі, і коди. Для основної пошти та інших важливих акаунтів краще тримати коди в окремому застосунку.

Одноразовий код теж можна виманити на підробленому сайті. Не повідомляйте його людям, які представляються підтримкою.

Ключі доступу (passkeys)

Деякі сервіси дозволяють замість пароля створити ключ доступу. Під час входу ви підтверджуєте дію відбитком пальця, обличчям або PIN-кодом; біометрія при цьому не залишає пристрою. Ключ прив’язаний до конкретного сайту, тож підроблена сторінка не може його отримати.

Ключі можуть синхронізуватися через менеджер або акаунт Apple, Google чи Microsoft, а можуть жити лише на одному пристрої. Перевірте, який варіант у вас і як увійти, якщо пристрою більше немає. Акаунт, через який синхронізуються ключі, теж потребує надійного захисту.

Апаратні ключі

Апаратний ключ (наприклад, YubiKey) — це окремий пристрій у USB-порті або з NFC, який працює так само, як ключ доступу, і теж не віддає себе підробленому сайту. Це найнадійніший варіант для пошти та менеджера паролів. Зареєструйте щонайменше два ключі й тримайте запасний окремо: загублений ключ не відновити.

Як не втратити доступ

Коди відновлення

Після налаштування 2FA сервіс часто пропонує зберегти резервні коди. Не пропускайте цей крок: код дозволить увійти, якщо телефон загубиться. Зазвичай кожен код можна використати лише один раз.

Коди можна роздрукувати й покласти в захищене місце або зберегти в окремому зашифрованому сховищі, до якого ви дістанетеся без основного телефона.

Єдина копія кодів відновлення менеджера не має лежати всередині цього ж менеджера. Коли сховище заблоковане, вона вам не допоможе.

Якщо телефон загубився

Уявіть, що телефона більше немає. Чи можете ви відкрити менеджер на комп’ютері? Чим підтвердите вхід у пошту? Де лежать резервні коди?

Перевірте це заздалегідь. Відновлення не повинно замикатися в коло: для входу в менеджер потрібна пошта, а пароль від пошти й другий фактор доступні лише в заблокованому менеджері.

Підтримка не завжди може повернути доступ до зашифрованого сховища, якщо ви забули майстер-пароль. Прочитайте правила відновлення свого менеджера, перш ніж на них покладатися.

Резервні копії

Якщо користуєтесь локальним сховищем, регулярно копіюйте зашифровану базу на інший носій, а разом з нею й файл-ключ, якщо він є. Перевірте, що базу справді можна відкрити з копії. Синхронізація не замінює резервну копію: випадкове видалення може поширитися на всі пристрої.

Будьте обережні з експортом: CSV та деякі інші формати містять паролі у відкритому вигляді. Для резервних копій обирайте зашифрований формат.

Зробіть сьогодні

• Увімкніть 2FA або ключ доступу для основної пошти.
• Увімкніть 2FA для менеджера паролів, якщо вона доступна.
• Збережіть коди відновлення так, щоб дістатися до них без телефона та заблокованого менеджера.
• Перевірте, чи можете ввійти з іншого пристрою.