Почему коды из SMS — самый слабый второй фактор
Код из SMS выглядит надёжно: он приходит на ваш телефон, у вас в руках. Но номер телефона — это не вещь, а запись в базе оператора, и её можно переписать.
Второй фактор нужен, чтобы украденного пароля не хватило для входа. SMS эту задачу решает, но хуже остальных вариантов — и причина не в технологии шифрования, а в том, что номер телефона принадлежит вам не так прочно, как кажется.
Номер можно отобрать
Ваш номер — это строчка в базе данных оператора связи. Перевыпуск SIM-карты при утере — обычная услуга, и выполняют её живые люди по документам. Схема с подменой SIM-карты строится на том, что документы можно подделать, а сотрудника — уговорить или подкупить.
После перевыпуска ваша карта перестаёт работать, а все коды приходят на чужую. Обычно человек замечает это по пропавшей связи, но к этому моменту уже проходит несколько минут — достаточно, чтобы войти в почту и банк.
Код видно на заблокированном экране
По умолчанию телефон показывает текст уведомлений прямо на экране блокировки. Это значит, что человеку рядом не нужен ни пароль от телефона, ни отпечаток — достаточно взглянуть на экран, когда придёт SMS.
Исправляется за минуту в настройках уведомлений: выбрать показ без содержимого на заблокированном экране. Стоит сделать прямо сейчас.
SMS не привязан к сайту
Шестизначный код из SMS подойдёт куда угодно, где его попросят. Если вы на поддельной странице введёте логин, пароль и код — мошенник тут же подставит их на настоящем сайте и войдёт. Код живёт пару минут, этого более чем достаточно.
Именно по этой причине ключи безопасности устроены иначе: они проверяют адрес сайта сами и на подделку просто не отвечают.
Почему SMS всё равно лучше, чем ничего
Все перечисленные атаки требуют усилий и нацелены на конкретного человека. А самый массовый сценарий — когда базу паролей с одного сайта проверяют на тысячах других в автоматическом режиме. Против него SMS работает прекрасно: автомат не станет перевыпускать SIM-карту ради вашего аккаунта.
Поэтому правило простое: SMS включать, если альтернативы нет. И переходить на приложение-аутентификатор там, где его предлагают.
Что сделать сегодня
- Отключить показ текста уведомлений на экране блокировки.
- Там, где есть выбор, перевести второй фактор на приложение.
- У оператора связи запретить перевыпуск SIM без личного визита — такая услуга есть у всех, называется по-разному.
- Если телефон внезапно потерял сеть и не находит оператора дольше нескольких минут, а у соседей связь есть — проверить это не откладывая.