Как включить двухфакторную аутентификацию в Google. Как войти в аккаунт с помощью Яндекс.Ключа

Внимание. Приложения, разработанные в Яндексе, требуют именно одноразового пароля - даже правильно созданные пароли приложений не подойдут.

1. Вход с помощью QR-кода
2. Перенос Яндекс.Ключа
3. Мастер-пароль

Вход на сервис или в приложение Яндекса

Вы можете ввести одноразовый пароль в любой форме авторизации на Яндексе или в разработанных Яндексом приложениях.

Примечание.

Одноразовый пароль нужно успеть ввести, пока он отображается в приложении. Если до обновления осталось слишком мало времени, просто дождитесь нового пароля.

Чтобы получить одноразовый пароль, запустите Яндекс.Ключ и введите пин-код, который вы задали при настройке двухфакторной аутентификации. Приложение начнет генерировать пароли раз в 30 секунд.

Яндекс.Ключ не проверяет введенный вами пин-код и генерирует одноразовые пароли, даже если вы ввели свой пин-код неправильно. В этом случае созданные пароли также оказываются некорректными и авторизоваться с ними не получится. Чтобы ввести правильный пин-код, достаточно выйти из приложения и запустить его снова.

Особенности одноразовых паролей:

Вход с помощью QR-кода

Некоторые сервисы (например, главная страница Яндекса, Паспорт и Почта) позволяют войти на Яндекс, просто наведя камеру на QR-код. При этом ваше мобильное устройство должно быть подключено к интернету, чтобы Яндекс.Ключ мог связаться с сервером авторизации.

Нажмите на иконку QR-кода в браузере.

Если такой иконки в форме входа нет, значит на данном сервисе можно авторизоваться только с помощью пароля. В этом случае вы можете авторизоваться с помощью QR-кода в Паспорте , а затем перейти к нужному сервису.

Введите пин-код в Яндекс.Ключе и нажмите Войти по QR-коду .

Наведите камеру вашего устройства на QR-код, отображенный в браузере.

Яндекс.Ключ распознает QR-код и передаст в Яндекс.Паспорт ваш логин и одноразовый пароль. Если они пройдут проверку, вы автоматически авторизуетесь в браузере. Если переданный пароль окажется неверным (например, из-за того, что вы неправильно ввели пин-код в Яндекс.Ключе), браузер покажет стандартное сообщение о неправильном пароле.

Вход с аккаунтом Яндекса в стороннее приложение или сайт

Приложения или сайты, которым нужен доступ к вашим данным на Яндексе, иногда требуют ввести пароль, чтобы войти в аккаунт. В таких случаях одноразовые пароли не сработают - для каждого такого приложения необходимо создать отдельный пароль приложения .

Внимание. В приложениях и сервисах Яндекса работают только одноразовые пароли. Даже если вы создадите пароль приложения, например, для Яндекс.Диска, авторизоваться с ним не получится.

Перенос Яндекс.Ключа

Вы можете перенести генерацию одноразовых паролей на другое устройство, или настроить Яндекс.Ключ на нескольких устройствах одновременно. Для этого откройте страницу Управление доступом и нажмите кнопку Замена устройства .

Несколько аккаунтов в Яндекс.Ключе

Один и тот же Яндекс.Ключ можно использовать для нескольких аккаунтов с одноразовыми паролями. Чтобы добавить в приложение еще один аккаунт, при настройке одноразовых паролей на шаге 3 нажмите в приложении значок . Кроме того, вы можете добавить в Яндекс.Ключ генерацию паролей для других сервисов, поддерживающих такую двухфакторную аутентификацию. Инструкции для самых популярных сервисов приведены на странице о создании кодов проверки не для Яндекса .

Чтобы удалить привязку аккаунта к Яндекс.Ключу, нажмите и удерживайте соответствующий портрет в приложении, пока справа от него не появится крестик. Когда вы нажмете на крестик, привязка аккаунта к Яндекс.Ключу будет удалена.

Внимание. Если вы удалите аккаунт, для которого включены одноразовые пароли, вы не сможете получить одноразовый пароль для входа на Яндекс. В этом случае будет необходимо восстанавливать доступ .

Отпечаток пальца вместо пин-кода

Отпечаток пальца вместо пин-кода можно использовать на следующих устройствах:

смартфоны под управлением Android 6.0 и сканером отпечатков пальца;

iPhone, начиная с модели 5s;

iPad, начиная с модели Air 2.

Примечание.

На смартфонах и планшетах с iOS отпечаток пальца можно обойти, введя пароль устройства. Чтобы защититься от этого, включите мастер-пароль или измените пароль на более сложный: откройте приложение Настройки и выберите пункт Touch ID и пароль .

Чтобы воспользоваться включить проверку отпечатка:

Мастер-пароль

Чтобы дополнительно защитить ваши одноразовые пароли, создайте мастер-пароль: → Мастер-пароль .

С помощью мастер-пароля вы можете:

сделать так, чтобы вместо отпечатка можно было ввести только мастер-пароль Яндекс.Ключа, а не код блокировки устройства;

Резервная копия данных Яндекс.Ключа

Вы можете создать резервную копию данных Ключа на сервере Яндекса, чтобы иметь возможность восстановить их, если вы потеряли телефон или планшет с приложением. На сервер копируются данные всех аккаунтов, добавленных в Ключ на момент создания копии. Больше одной резервной копии создать нельзя, каждая следующая копия данных для определенного номера телефона замещает предыдущую.

Чтобы получить данные из резервной копии, нужно:

иметь доступ к номеру телефона, который вы указали при ее создании;

помнить пароль, который вы задали для шифрования резервной копии.

Внимание. Резервная копия содержит только логины и секреты, необходимые для генерации одноразовых паролей. Пин-код, который вы задали, когда включали одноразовые пароли на Яндексе, необходимо помнить.

Удалить резервную копию с сервера Яндекса пока невозможно. Она будет удалена автоматически, если вы ей не воспользуетесь в течение года после создания.

Создание резервной копии

Выберите пункт Создать резервную копию в настройках приложения.

Введите номер телефона, к которому будет привязана резервная копия (например, «380123456789» ), и нажмите кнопку Далее .

Яндекс отправит код подтверждения на введенный номер телефона. Как только вы получите код, введите его в приложении.

Придумайте пароль, которым будет зашифрована резервная копия ваших данных. Этот пароль нельзя восстановить, поэтому убедитесь в том, что вы не забудете или не потеряете его.

Введите придуманный пароль два раза и нажмите кнопку Готово . Яндекс.Ключ зашифрует резервную копию, отправит ее на сервер Яндекса и сообщит об этом.

Восстановление из резервной копии

Выберите пункт Восстановить из резервной копии в настройках приложения.

Введите номер телефона, который вы использовали при создании резервной копии (например, «380123456789» ), и нажмите кнопку Далее .

Если для указанного номера найдена резервная копия данных Ключа, Яндекс отправит код подтверждения на этот номер телефона. Как только вы получите код, введите его в приложении.

Убедитесь, что дата и время создания резервной копии, а также имя устройства, соответствует той резервной копии, которую вы хотите использовать. Затем нажмите кнопку Восстановить .

Введите пароль, который вы задали при создании резервной копии. Если вы не помните его, к сожалению, расшифровать резервную копию будет невозможно.

Яндекс.Ключ расшифрует данные резервной копии и сообщит о том, что данные восстановлены.

Как одноразовые пароли зависят от точного времени

При генерации одноразовых паролей Яндекс.Ключ учитывает текущее время и часовой пояс, установленные на устройстве. Когда доступно интернет-соединение, Ключ также запрашивает точное время с сервера: если на устройстве время выставлено неверно, приложение сделает поправку на это. Но в некоторых ситуациях даже после поправки и при корректном пин-коде одноразовый пароль будет неправильным.

Если вы уверены, что вводите пин-код и пароль верно, но авторизоваться не получается:

Убедитесь, что на вашем устройстве установлено корректное время и часовой пояс. После этого попробуйте войти с новым одноразовым паролем.

Подключите устройство к интернету, чтобы Яндекс.Ключ мог получить точное время самостоятельно. Затем перезапустите приложение и попробуйте ввести новый одноразовый пароль.

Если проблема не разрешилась, обратитесь в службу поддержки через форму ниже.

Оставить отзыв о двухфакторной аутентификации

Здравствуйте, уважаемые друзья. Сегодня я расскажу, как настроить двухфакторную аутентификацию аккаунта Яндекс и установить пароль на Яндекс.Диск. Это позволит защитить основной аккаунт и повысить безопасность отдельных приложений Яндекса.

Защита личных данных это самая большая проблема в интернете. Зачастую пользователи пренебрегают правилами безопасности. Создают простые и одинаковые пароли для разных интернет-ресурсов, хранят их в электронных ящиках, пароли от которых тоже используют на других ресурсах. Это лишь малая доля распространённых ошибок.

Если злоумышленник получит доступ к одному из аккаунтов, под угрозой окажутся и другие ресурсы пользователя. А если учесть тот факт, что вирусы способны запоминать ввод паролей с клавиатуры, то ситуация покажется ещё печальнее. Вот поэтому каждый пользователь интернета должен следовать элементарным правилам безопасности:

— Создавать сложные пароли.

— Не использовать одинаковые пароли для разных интернет-ресурсов.

— Регулярно менять пароли.

А также использовать дополнительные способы защиты. Одним из таких способов является двухфакторная аутентификация аккаунта Яндекс.

Как работает двухфакторная аутентификация?

Как вы знаете для доступа в закрытую область, такую как электронная почта, административная панель сайта, аккаунты социальных сетей, необходимы логин и пароль. Но, это лишь один уровень защиты. Для того чтобы усилить защиту многие сервисы водят дополнительные способы аутентификации, такие как sms подтверждение, usb ключи мобильные приложения.

Я уже рассказывала вам о . Где в дополнение к логину и паролю, мобильное приложение генерирует код безопасности. Так вот двухфакторная аутентификация Яндекс работает примерно так же.

То есть, дополнительным уровнем защиты является мобильное приложение Яндекс.Ключ, которое отменяет старый пароль от аккаунта Яндекс и генерирует новый, одноразовый пароль каждые 30 секунд.

При таком уровне защиты, вход в аккаунт возможет только по одноразовому паролю или QR-коду.

Это просто достаточно выполнить определённые настройки и в будущем вы наводите камеру смартфона на QR-код и получаете доступ к аккаунту Яндекс.

А в случае если вы не можете использовать камеру смартфона или нет доступа к интернету, вы всегда можете воспользоваться одноразовым паролем, который генерируется в мобильном приложении даже без интернета.

Безопасность же самого мобильного приложения Яндекс.Ключ, обеспечивает PIN код, которые вы создаёте при подключении аккаунта к приложению.

Ну а если у вас смартфон или планшет Apple, вы можете использовать Touch ID вместо пин-кода.

Таким образом, доступ к вашим данным будет надёжнее закрыт.

Настройка двухфакторной аутентификации.

Для начала, на главной странице Яндекс войдите в свой аккаунт, традиционным способом. После чего нажмите на имя вашей учётной записи (название почтового ящика) и выберите пункт «Паспорт» .

На вновь открывшейся странице, нажмите на графический переключатель, напротив «Двухфакторная аутентификация» , а далее на кнопку «Начать настройку» .

Сама процедура настройки состоит из 4 шагов, которые нужно будет выполнить на компьютере и мобильном устройстве.

Шаг 1. Подтверждение номера телефона.

Если вы ранее привязали номер телефона к аккаунту Яндекса, то можно сразу получить код подтверждения. Если же нет, то вводите телефонный номер и нажимаете кнопку «Получить код» .

Код, придёт на указанный номер. Его нужно ввести в специальное поле и нажать кнопку «Подтвердить» .

Шаг 2. Пин-код для мобильного приложения.

На этом шаге необходимо придумать и дважды ввести пин-код для мобильного приложения. Именно этот код будет открывать доступ к приложению на смартфоне или планшете.

Вводите код и нажимаете на кнопку «Создать» .

Шаг 3. Установка мобильного приложения Яндекс.Ключ и добавление аккаунта.

Итак, со своего смартфона или планшета вы заходите в Google Play (для Android) и App Store (для яблочных гаджетов). Далее, скачиваете и устанавливаете приложение Яндекс.Ключ.

Открываете приложение и нажимаете на кнопку «Добавить аккаунт в приложение» .

Добавление аккаунта в мобильное приложение Яндекс.Ключ

После чего нужно будет навести камеру мобильного устройства на экран монитора, где на тот момент у вас будет отображаться QR-код. Наводите на этот код.

Итак, возвращаетесь к компьютеру, и нажимаете на кнопку «Следующий шаг» .

Шаг 4. Ввод пароля от мобильного приложения Яндекс.Ключ.

Дождавшись нового обновления ключа в мобильном приложении, вводите его на компьютере и нажимаете кнопку «Включить» .

После чего нужно будет ввести старый пароль от аккаунта Яндекс и нажать кнопку «Подтвердить» .

Завершение подключения двухфакторной аутентификации

Всё готово. Вы защитили свой аккаунт с помощью двухфакторной аутентификации. Теперь нужно заново зайти в аккаунт на всех устройства с использованием одноразового пароля или QR-кода.

Как войти в аккаунт с помощью Яндекс.Ключа.

Всё предельно просто. На главной странице Яндекса, в панели входа и регистрации, нажимаете на иконку троеточие (…), и в меню выбираете Я.Ключ.

Либо, вы можете использовать традиционный способ входа, с использованием логина (адрес почтового ящика) и пароля (одноразовый пароль мобильного приложения Яндекс.Ключ).

Как установить пароль на Яндекс.Диск.

Подключив двухфакторную аутентификацию, вы сможете создать отдельные пароли для сторонних приложений, которые подключаются к аккаунту. Этот механизм включается автоматически, после подключения.

Таким образом, вы будете использовать пароль, который подходит только для диска.

Использую разные пароли для приложений, вы усиливает рубеж защиты ваших данных.

Для создания пароля нужно перейти на страницу управления доступом , выбрать приложение, ввести название и нажать кнопку «Создать пароль» .

Пароль будет сгенерирован автоматически и отобразится лишь раз. Поэтому скопируйте этот пароль в надёжное место. В противном случае этот пароль нужно будет удалить и создать новый.

Теперь при подключении Яндекс.Диска через протокол WebDAV вы будете использовать именно этот пароль.

Примечание: пароли для приложений следует использовать, даже если вы отключите двухфакторную аутентификацию. Это позволит уберечь вас от раскрытия основного пароля к аккаунту Яндекс.

Как отключить двухфакторную аутентификацию.

Для того чтобы отключить двухфакторную аутентификацию нужно перейти на страницу управления доступом и нажать переключатель (Вкл/Выкл).

После чего ввести одноразовый пароль из мобильного приложения Яндекс.Ключ и нажать кнопку «Подтвердить» .

Создание нового пароля к аккаунту Яндекс

Теперь для входа в аккаунт вы будете использовать логин и пароль, как делали это ранее.

Важно: при отключении аутентификации, пароли, созданные для приложений, сбрасываются. Их следует создать заново.

А теперь предлагаю посмотреть видеоурок, где я наглядно показываю всю процедуру.

На этом у меня сегодня всё, друзья. Если у вас остались вопросы, с удовольствием отвечу на них в комментариях.

Я желаю вам успехов, до встречи в новых видеоуроках и статьях.

С уважением, Максим Зайцев.

Двухэтапная аутентификация в Google

Ваша учетная запись Google нуждается в усиленной защите, потому что она используется для доступа к данным банковской карты для совершения покупок в магазине приложений Google Play, важным сообщениям, документам и письмам и даже к видеороликам на YouTube. К счастью, технологический гигант реализовал систему двухфакторной аутентификации еще в 2010 году.

В Google данная система называется “Двухэтапная аутентификация”. Данный метод позволяет идентифицировать пользователя с помощью мобильного устройства. При включении двухэтапной аутентификации в Google пользователю доступно несколько опций. Первая опция называется Google Prompt - пользователь просто добавляет свой смартфон в аккаунт и проверяет, что на устройстве установлено поисковое приложение Google. Затем при попытке входа в аккаунт нужно будет подтвердить на смартфоне, что это делаете вы лично.

Если это не сработает, то придется ввести дополнительный код, который будет отправлен на смартфон посредством текстового SMS-сообщения, голосового вызова или с помощью приложения Google Authenticator . В своем персональном аккаунте вы можете зарегистрировать свой компьютер, чтобы не вводить код при каждой авторизации. Если вы являетесь обладателем корпоративного аккаунта G Suite, вы можете настроить получение кода каждые 30 дней.

Google Authenticator может сгенерировать код аутентификации, даже если смартфон не подключен к сети Интернет. Вам нужно сначала подключить двухэтапную аутентификацию. Затем приложение будет сканировать QR код на экране рабочего стола, а затем сгенерирует одноразовый пароли в зависимости от времени или значения счетчика, который нужно будет ввести в соответствующее поле. Данный метод заменяет текстовые сообщения, голосовые вызовы или сообщения электронной почты. Google Authenticator поддерживает работу с другими сервисами, такими как LastPass, Facebook, Evernote, Microsoft, Dropbox и Slack.

После того, как вы настроить двухэтапную аутентификацию Google, снова посетите раздел настроек вашего аккаунта Google. Тем вы сможете настроить номер телефона, на который будут приходить коды доступа, переключиться на использование Google Authenticator и получить доступ к 10 резервным кодам, которые можно распечатать на случай чрезвычайных ситуаций (например, разрядилась батарея смартфона и вы не можете получить доступ к приложению для аутентификации).

В этом интерфейсе вы можете создать пароли приложений. Предположим, что вы хотите использовать аккаунт Google в сервисе, которые не поддерживает стандартную авторизацию Google. В случае, если у вас активирована двухфакторная аутентификация вам понадобиться пароль приложения для использования учетной записи Google в сервисе.

Как включить двухфакторную аутентификацию в Google

1. Нажмите на странице профиля в верхнем правом углу экрана и нажмите по кнопке “Мой аккаунт”.
2. После того, как страница аккаунта загрузится, выберите страницу “Безопасность и вход”.
3. В секции “Пароль и способ входа в аккаунт” выберите пункт “Двухэтапная аутентификация”.
4. На данном шаге, если вы захотите внести изменения в процедуру аутентификации, Google может запросить повторный ввод пароля. Введите пароль, чтобы продолжить настройку безопасности.
5. Теперь вы можете настроить двухэтапную аутентификацию. Нажмите кнопку “Приступить”.
6. Введите свой номер телефона. Вы сможете получать текстовые сообщения или телефонные звонки на данный номер. Выберите желаемую опцию и нажмите “Далее”.
7. После этого вы получите SMS-сообщение или телефонный звонок с кодом доступа. Просто введите цифры без префикса “-G” и нажмите “Далее”.
8. После этого откроется следующая страница с сообщением “Получилось! Включить двухэтапную аутентификацию?”. Нажмите “Включить”.

После этого вы можете перейти на страницу настройки двухэтапной аутентификации, где можно настроить альтернативный второй фактор на случай, если вы не можете получать текстовые сообщения или голосовые вызовы. Обратите внимание, что по умолчанию используется опция получения кодов по SMS. Работоспособность данного способа зависит от вашего сотового оператора. Кроме того, этот метод является менее безопасным, чем другие доступные методы. Еще очень популярными опциями являются использование приложения Google Authenticator или Google Prompt. Для них также потребуется наличие мобильного устройства.

Как добавить Google Authenticator в качестве второго фактора аутентификации

1. Установите на свое мобильное устройство приложение Google Authenticator
2. Перейдите на страницу настройки двухэтапной аутентификации аккаунта Google и в панели “Приложение Authenticator” нажмите кнопку “Создать”
3. Выберите операционную систему свое смартфона - Android или iOS и нажмите “Далее”
4. Откройте приложение Google Authenticator на мобильном устройстве и выберите опцию “Сканировать штрихкод”
5. Просканируйте QR-код, который отображается на экране компьютера и нажмите Далее
6. На экране мобильного телефона появится уведомления “секретный код сохранен” и отобразится цифровой код. Введите данный код на компьютере и нажмите “Подтвердить”

Как добавить Google Prompt в качестве второго фактора аутентификации

1. Перейдите на страницу настройки двухэтапной аутентификации аккаунта Google и в панели “Google Prompt” нажмите кнопку “Добавить телефон”
2. На следующем экране нажмите “Приступить”
3. Затем выберите телефон, привязанный к аккаунту Google. Убедитесь, чтобы на телефоне было установлено поисковое приложение “Google”, и он был подключен к Интернету. Нажмите “Далее”.
4. В появившемся уведомлении на мобильном телефоне нажмите кнопку “Да”.
5. Затем нажмите кнопку “Готово” на компьютере. Настройка Google Prompt завершена.

Как создать пароль приложения Google

Пароль приложения представляет собой 16-значный код доступа, который дает приложению или устройству разрешение на доступ к вашему аккаунту Google. Если вы используете двухэтапную аутентификацию и видите ошибку “неправильный пароль” при попытке войти в свою учетную запись Google, пароль приложения может решить проблему. В большинстве случаев вам нужно будет вводить пароль приложения только один раз для каждого приложения или устройства, поэтому не беспокойтесь о его запоминании.

1. Нажмите на ссылку “паролей приложений” в секции “Пароль и способ входа в аккаунт” страницы настройки безопасности аккаунта Google. Вас могут попросить войти в свой аккаунт Google.
2. Внизу в выпадающем списке выберите приложение, которое вы используете.
3. В следующем выпадающем списке выберите устройство, которое вы используете.
4. Нажмите кнопку “Создать”.
5. Следуйте инструкциям, чтобы ввести пароль приложения (16-значный код в желтой строке) на устройстве.
6. Нажмите “Готово”.

Пароли не взламывает только ленивый. Недавняя массовая утечка учетных записей из Yahoo только подтверждает тот факт, что одного лишь пароля - и совершенно неважно, какой он будет длины и сложности, - уже недостаточно для надежной защиты. Двухфакторная аутентификация - это то, что обещает дать такую защиту, добавляя дополнительный уровень безопасности.

В теории все выглядит неплохо, да и на практике, в общем-то, работает. Двухфакторная аутентификация действительно усложняет взлом учетной записи. Теперь злоумышленнику недостаточно выманить, украсть или взломать основной пароль. Для входа в учетную запись необходимо ввести еще и одноразовый код, который… А вот каким именно образом получается этот одноразовый код - и есть самое интересное.

Ты неоднократно сталкивался с двухфакторной аутентификацией, даже если никогда не слышал о ней. Когда-нибудь вводил одноразовый код, который тебе присылали через СМС? Это оно, частный случай двухфакторной аутентификации. Помогает? Честно говоря, не очень: злоумышленники уже научились обходить и этот вид защиты.

Сегодня мы рассмотрим все виды двухфакторной аутентификации, применяемой для защиты учетных записей Google Account, Apple ID и Microsoft Account на платформах Android, iOS и Windows 10 Mobile.

Apple

Впервые двухфакторная аутентификация появилась в устройствах Apple в 2013 году. В те времена убедить пользователей в необходимости дополнительной защиты было непросто. В Apple не стали и стараться: двухфакторная аутентификация (получившая название двухэтапной проверки, или Two-Step Verification) использовалась только для защиты от прямого финансового ущерба. Например, одноразовый код требовался при совершении покупки с нового устройства, смене пароля и для общения со службой поддержки на темы, связанные с учетной записью Apple ID.

Добром это все не кончилось. В августе 2014 года произошла массовая утечка фотографий знаменитостей . Хакеры сумели получить доступ к учетным записям жертв и скачали фото из iCloud. Разразился скандал, в результате которого Apple в спешном порядке расширила поддержку двухэтапной проверки на доступ к резервным копиям и фотографиям в iCloud. В это же время в компании продолжались работы над методом двухфакторной аутентификации нового поколения.

Двухэтапная проверка

Для доставки кодов двухэтапная проверка использует механизм Find My Phone, изначально предназначенный для доставки push-уведомлений и команд блокировки в случае потери или кражи телефона. Код выводится поверх экрана блокировки, соответственно, если злоумышленник добудет доверенное устройство, он сможет получить одноразовый код и воспользоваться им, даже не зная пароля устройства. Такой механизм доставки - откровенно слабое звено.

Также код можно получить в виде СМС или голосового звонка на зарегистрированный телефонный номер. Такой способ ничуть не более безопасен. SIM-карту можно извлечь из неплохо защищенного iPhone и вставить в любое другое устройство, после чего принять на нее код. Наконец, SIM-карту можно клонировать или взять у сотового оператора по поддельной доверенности - этот вид мошенничества сейчас приобрел просто эпидемический характер.

Если же у тебя нет доступа ни к доверенному iPhone, ни к доверенному телефонному номеру, то для доступа к учетной записи нужно использовать специальный 14-значный ключ (который, кстати, рекомендуется распечатать и хранить в безопасном месте, а в поездках - держать при себе). Если же ты потеряешь и его, то мало не покажется: доступ в учетную запись может быть закрыт навсегда.

Насколько это безопасно?

Если честно, не очень. Двухэтапная проверка реализована из рук вон плохо и заслуженно получила репутацию худшей системы двухфакторной аутентификации из всех игроков «большой тройки». Если нет другого выбора, то двухэтапная проверка - это все же лучше, чем ничего. Но выбор есть: с выходом iOS 9 Apple представила совершенно новую систему защиты, которой дали бесхитростное название «двухфакторная аутентификация».

В чем именно слабость этой системы? Во-первых, одноразовые коды, доставленные через механизм Find My Phone, отображаются прямо на экране блокировки. Во-вторых, аутентификация на основе телефонных номеров небезопасна: СМС могут быть перехвачены как на уровне провайдера, так и заменой или клонированием SIM-карты. Если же есть физический доступ к SIM-карте, то ее можно просто установить в другое устройство и получить код на совершенно законных основаниях.

Также имей в виду, что преступники научились получать SIM-карты взамен «утерянных» по поддельным доверенностям. Если твой пароль украли, то уж узнать твой номер телефона - плевое дело. Подделывается доверенность, получается новая SIM-карта - собственно, для доступа к твоей учетной записи больше ничего и не требуется.

Как взломать аутентификацию Apple

Взломать этот вариант двухфакторной аутентификации достаточно несложно. Есть несколько вариантов:

• считать одноразовый код с доверенного устройства - разблокировать не обязательно;
• переставить SIM-карту в другой аппарат, получить СМС;
• клонировать SIM-карту, получить код на нее;
• воспользоваться двоичным маркером аутентификации, скопированным с компьютера пользователя.

Как защититься

Защита с помощью двухэтапной проверки несерьезна. Не используй ее вообще. Вместо нее включи настоящую двухфакторную аутентификацию.

Двухфакторная аутентификация

Вторая попытка Apple носит официальное название «двухфакторная аутентификация». Вместо того чтобы сменить предыдущую схему двухэтапной проверки, две системы существуют параллельно (впрочем, в рамках одной учетной записи может использоваться лишь одна из двух схем).

Двухфакторная аутентификация появилась как составная часть iOS 9 и вышедшей одновременно с ней версии macOS. Новый метод включает дополнительную проверку при любой попытке зайти в учетную запись Apple ID с нового устройства: на все доверенные устройства (iPhone, iPad, iPod Touch и компьютеры под управлением свежих версий macOS) моментально приходит интерактивное уведомление. Чтобы получить доступ к уведомлению, нужно разблокировать устройство (паролем или датчиком отпечатка пальцев), а для получения одноразового кода потребуется нажать на кнопку подтверждения в диалоговом окне.

Как и в предыдущем методе, в новой схеме возможно получение одноразового пароля в виде СМС или голосового звонка на доверенный телефонный номер. Однако, в отличие от двухэтапной проверки, пользователю в любом случае будут доставлены push-уведомления, и неавторизованную попытку зайти в учетную запись пользователь может заблокировать с любого из своих устройств.

Поддерживаются и пароли приложений. А вот от кода восстановления доступа в Apple отказались: если ты потеряешь свой единственный iPhone вместе с доверенной SIM-картой (которую по каким-то причинам не сможешь восстановить), для восстановления доступа к учетной записи тебе придется пройти настоящий квест с подтверждением личности (и нет, скан паспорта таким подтверждением не является… да и оригинал, что называется, «не канает»).

Зато в новой системе защиты нашлось место для удобной и привычной офлайновой схемы генерации одноразовых кодов. Для нее используется совершенно стандартный механизм TOTP (time-based one-time password), который каждые тридцать секунд генерирует одноразовые коды, состоящие из шести цифр. Эти коды привязаны к точному времени, а в роли генератора (аутентификатора) выступает само доверенное устройство. Коды добываются из недр системных настроек iPhone или iPad через Apple ID -> Password and Security.

Мы не станем подробно объяснять, что такое TOTP и с чем его едят, но об основных отличиях реализации этого метода в iOS от аналогичной схемы в Android и Windows рассказать все-таки придется.

В отличие от основных конкурентов, Apple позволяет использовать в качестве аутентификаторов исключительно устройства собственного производства. В их роли могут выступать доверенные iPhone, iPad или iPod Touch под управлением iOS 9 или 10. При этом каждое устройство инициализируется уникальным секретом, что позволяет в случае его утраты легко и безболезненно отозвать с него (и только с него) доверенный статус. Если же скомпрометирован окажется аутентификатор от Google, то отзывать (и заново инициализировать) придется статус всех инициализированных аутентификаторов, так как в Google решили использовать для инициализации единственный секрет.

Насколько это безопасно

В сравнении с предыдущей реализацией новая схема все же более безопасна. Благодаря поддержке со стороны операционной системы новая схема более последовательна, логична и удобна в использовании, что немаловажно с точки зрения привлечения пользователей. Система доставки одноразовых паролей также существенно переработана; единственное оставшееся слабое звено - доставка на доверенный телефонный номер, который пользователь по-прежнему должен верифицировать в обязательном порядке.

Теперь при попытке входа в учетную запись пользователь мгновенно получает push-уведомления на все доверенные устройства и имеет возможность отклонить попытку. Тем не менее при достаточно быстрых действиях злоумышленник может успеть получить доступ к учетной записи.

Как взломать двухфакторную аутентификацию

Так же как и в предыдущей схеме, двухфакторную аутентификацию можно взломать с помощью маркера аутентификации, скопированного с компьютера пользователя. Атака на SIM-карту тоже сработает, но попытка получить код через СМС все же вызовет уведомления на всех доверенных устройствах пользователя, и он может успеть отклонить вход. А вот подсмотреть код на экране заблокированного устройства уже не удастся: придется разблокировать девайс и дать подтверждение в диалоговом окне.

Как защититься

Уязвимостей в новой системе осталось не так много. Если бы Apple отказалась от обязательного добавления доверенного телефонного номера (а для активации двухфакторной аутентификации хотя бы один телефонный номер верифицировать придется в обязательном порядке), ее можно было бы назвать идеальной. Увы, необходимость верифицировать телефонный номер добавляет серьезную уязвимость. Попытаться защититься можно точно так же, как ты защищаешь номер, на который приходят одноразовые пароли от банка.

Продолжение доступно только подписчикам

Вариант 1. Оформи подписку на «Хакер», чтобы читать все материалы на сайте

Подписка позволит тебе в течение указанного срока читать ВСЕ платные материалы сайта. Мы принимаем оплату банковскими картами, электронными деньгами и переводами со счетов мобильных операторов.