Двухфакторная аутентификация

Три обычных фактора таковы: то, что вы знаете, то, что у вас есть, и то, чем вы являетесь, и настоящий второй фактор должен относиться к другой категории, чем первый. Исследование Google о захвате аккаунтов показало, что запрос на устройстве заблокировал 99 процентов попыток массового фишинга и 90 процентов целевых, тогда как коды, отправленные по SMS, справились с 96 и 76 процентами. На бирже все это защищает аккаунт, но никогда не ваши биткоины.

Как это работает

Двухфакторная аутентификация превращает вход в систему в два независимых утверждения, и вся ее ценность заключается в том, насколько независимыми они являются на самом деле.

Коды из приложения (TOTP). Стандартом является RFC 6238, опубликованный в мае 2011 года на основе более старой схемы HOTP от 2005 года. При настройке сервис показывает вам QR-код, содержащий общий секрет, обычно 160 бит. С этого момента и ваш смартфон, и сервер вычисляют HMAC от этого секрета и текущего 30-секундного шага времени, усекают результат до шести цифр и сравнивают. Для получения кода по сети ничего не передается, поэтому приложение переживает подмену SIM-карты, которая погубила бы текстовые сообщения.

Последствие, которое упускают, состоит в том, что секрет можно скопировать. Сделайте скриншот QR-кода при настройке, и ваш второй фактор теперь живет там, где синхронизируются ваши фотографии. Сохраните секрет TOTP в той же записи менеджера паролей, что и пароль, и вы получите два кода, защищенных одним мастер-паролем, то есть один фактор в костюме.

Коды по текстовым сообщениям. Код проходит через телефонную сеть и зависит от того, что сотрудника оператора не обманут и не подкупят. Документ NIST SP 800-63B относит одноразовые коды, отправляемые по публичной телефонной сети, к ограниченным аутентификаторам, а значит, сервисы, которые их используют, должны признавать риск. Коды по текстовым сообщениям все равно намного лучше, чем ничего.

Ключи безопасности и passkeys (FIDO2, WebAuthn). Здесь аутентификатор создает пару ключей для каждого сайта, хранит приватный ключ и подписывает запрос, включающий источник сайта. Подпись бесполезна для любого другого домена, поэтому похожая страница входа не соберет ничего, что можно было бы воспроизвести. WebAuthn стал рекомендацией W3C в марте 2019 года и поддерживается всеми основными браузерами. Passkey представляет собой тот же протокол, но учетные данные синхронизируются между вашими устройствами, а не привязаны к одному элементу оборудования.

Восстановление является четвертым фактором, который никто не настраивает. Идеальный ключ безопасности мало что значит, если аккаунт по-прежнему можно сбросить по электронной почте и текстовому сообщению. Злоумышленники знают, что атаковать нужно путь восстановления, а не вход в систему.

Почему это важно при покупке биткоина

Двухфакторная аутентификация защищает аккаунт, а аккаунт представляет собой требование к компании. Держите это различие впереди всего остального на этой странице.

Настройте ее в таком порядке на любой бирже, которой пользуетесь. Выберите длинный уникальный пароль. Зарегистрируйте ключ безопасности, если площадка его поддерживает, иначе приложение-аутентификатор, и никогда не используйте текстовые сообщения как основной фактор. Затем откройте настройки восстановления аккаунта, которые обычно находятся на отдельной странице, и удалите номер телефона как способ сброса. Распечатайте резервные коды на бумаге и положите их туда, куда не добрался бы пожар в вашем доме. Наконец, добавьте белый список адресов для вывода, чтобы скомпрометированная сессия не могла придумать получателя.

Затем займитесь слепым пятном. Ключи API полностью обходят вход в систему, а вместе с ним и каждый фактор, который вы только что настроили. Торговый бот, трекер портфеля или налоговый инструмент, который когда-то запрашивал доступ на чтение, может хранить ключ, у которого нет срока действия. Проверьте раздел API в каждом аккаунте биржи, который у вас есть, удалите ключи, которых не узнаете, откажите в разрешении на вывод для всех них и привяжите ключи к фиксированному IP-адресу там, где площадка это позволяет.

Биржи, обзоры которых есть на этом сайте, различаются тем, что предлагают. Kraken и Coinbase поддерживают аппаратные ключи безопасности и passkeys. Bitstamp, Binance и Bitpanda поддерживают как минимум приложения-аутентификаторы. River и Swan, обе построенные вокруг регулярных покупок, опираются на элементы управления на уровне аккаунта, а не на торговые API, что устраняет целую категорию риска. Ни одно из этих различий не меняет конечную цель: купите, а затем выведите в кошелек, который вы контролируете, где нет входа в систему, который нужно защищать.

Аппаратный кошелек не защищен двухфакторной аутентификацией и не нуждается в ней. Его эквиваленты таковы: PIN-код устройства, который стирает данные после фиксированного числа неудачных попыток, и необязательная кодовая фраза (passphrase).

Что на самом деле показывают измерения

Google совместно с Нью-Йоркским университетом и Калифорнийским университетом в Сан-Диего изучила реальные попытки захвата аккаунтов Google и опубликовала результаты в мае 2019 года.

Цифры стоит читать как рейтинг, а не как абсолютные величины. Против автоматизированных ботов каждый проверенный метод заблокировал 100 процентов. Против массового фишинга запрос на устройстве заблокировал 99 процентов, а код по текстовому сообщению 96 процентов. Против целевых атак, когда человек работает именно над вашим аккаунтом, запрос на устройстве удержался на 90 процентах, а код по текстовому сообщению упал до 76 процентов.

Прочитайте эту последнюю цифру внимательно. Примерно четверть настойчивых атак прошла через самый популярный в мире второй фактор. Собственным ответом Google для своих сотрудников стало требование физических ключей безопасности для более чем 85 000 сотрудников, после чего компания сообщила, что не подтвердила ни одного захвата аккаунта путем фишинга.

Практический перевод для держателя биткоина: любой второй фактор лучше, чем никакой, приложение лучше текстового сообщения, а ключ безопасности является единственным вариантом, который устраняет категорию фишинга, а не уменьшает ее.

Двухфакторная аутентификация vs кодовая фраза

Кодовую фразу в аппаратном кошельке часто описывают как двухфакторную аутентификацию для вашего биткоина, и эта аналогия ломается так, что люди теряют деньги. Двухфакторная аутентификация представляет собой проверку, выполняемую сервером компании, которую можно сбросить, обжаловать и по которой есть поддержка. Кодовая фраза BIP39 является входным значением самой деривации ключей: другая кодовая фраза дает совершенно другой набор ключей, и нигде нет записи о том, что другой набор существует. Никто не может ее проверить, никто не может ее восстановить, и нет никакой очереди в поддержку. Забудьте второй фактор на бирже, и вы подадите запрос на восстановление. Забудьте кодовую фразу, и биткоины исчезнут навсегда, даже если вы по-прежнему храните все двадцать четыре слова сид-фразы.