двухфакторная аутентификация
3 статей с этим тегом
Настройка двухфакторной аутентификации (2FA) на GitHub: приложение-аутентификатор, passkey, коды восстановления и что делать при потере телефона
Руководство по настройке двухфакторной аутентификации (2FA) на GitHub так, чтобы не потерять доступ. С марта 2023 года GitHub поэтапно, группа за группой, требует 2FA от пользователей, которые публикуют код на GitHub.com; после выбора группы даётся 45 дней на подключение и 7 дней льготного периода, после чего GitHub.com недоступен, пока 2FA не включена. GitHub Docs рекомендует приложение-аутентификатор (TOTP) как основной метод и passkey или ключ безопасности как резервный (passkey, ключи безопасности и GitHub Mobile можно добавить только после настройки TOTP или SMS). Позиция этого сайта: типичная проблема с 2FA на GitHub — не захват аккаунта, а то, что вы сами теряете доступ, а поддержка GitHub не может восстановить аккаунт, если утеряны все данные 2FA и все способы восстановления. Сохраните 16 кодов восстановления в менеджере паролей и в тот же день зарегистрируйте второй метод. Заодно перейдите на fine-grained токены со сроком действия, почистите авторизованные приложения и SSH-ключи и проверьте push protection и оповещения Dependabot.
Что такое одноразовый пароль (OTP)? TOTP против HOTP против SMS и его пределы
Одноразовый пароль (OTP) — это короткоживущий одноразовый код, который становится недействительным после использования. Виды: TOTP приложения-аутентификатора (на основе времени), HOTP (на основе счётчика) и SMS-OTP. Он силён против утёкших и повторно используемых паролей и обычно служит фактором «то, что у вас есть» в 2FA. Но у него есть предел: фишинг «злоумышленник посередине» (AiTM) может ретранслировать OTP через поддельный сайт и всё равно войти. Надёжную устойчивость к фишингу даёт привязанный к домену passkey. OTP — «намного лучше, чем ничего, но не последний шаг».
Что такое двухфакторная аутентификация (2FA)? Отличие от двухэтапной проверки и сила методов
Двухфакторная аутентификация (2FA) усиливает проверку личности, добавляя доказательство другой категории — «то, что у вас есть» или «то, чем вы являетесь» (код, ключ или биометрия) — поверх «того, что вы знаете» (пароля). Строго говоря, это не то же самое, что двухэтапная проверка (две проверки, но не обязательно двух категорий). Сила зависит от метода: SMS/email < приложение-аутентификатор (TOTP) < passkey/аппаратный ключ (FIDO2). Позиция нашего сайта: сначала включите хоть какую-то 2FA везде, затем переведите ключевые аккаунты на методы, которые нельзя отдать фишинговому сайту.