SMS, приложение-аутентификатор или ключ: какой 2FA выбрать

Короткий ответ

Любая 2FA лучше одного пароля, но способы не равноценны:

• SMS — самый слабый: коды можно перенаправить или перехватить.
• Приложение-аутентификатор (TOTP) — хороший вариант по умолчанию для большинства аккаунтов.
• Push-подтверждение — удобно, но уязвимо к спаму запросами, если не показывает число для сверки.
• Аппаратный ключ (FIDO2) и passkeys — самые надёжные: на фишинговых сайтах они просто не срабатывают.

SMS-коды

Как работает: сервис присылает одноразовый код на ваш номер телефона.

Риски:

• SIM swap (перевыпуск SIM-карты) — злоумышленник уговаривает или подкупает сотрудника оператора выпустить новую SIM-карту на ваш номер. С этого момента все коды приходят ему.
• Перехват — уязвимости в протоколах мобильной сети и вредоносные приложения на телефоне, читающие входящие SMS.
• Фишинг — поддельная страница входа запрашивает код и сразу использует его на настоящем сайте.
• Практические сложности: нет связи в поездке, при смене номера теряется доступ.

SMS допустимы там, где другого способа нет. Если сервис поддерживает что-то надёжнее, переключитесь и по возможности уберите номер телефона из способов восстановления, иначе злоумышленник просто пойдёт самым слабым путём.

Приложения-аутентификаторы (TOTP)

Как работает: при настройке сервис и приложение получают общий секретный ключ (тот самый QR-код). Дальше приложение каждые 30 секунд вычисляет новый 6-значный код из секрета и текущего времени. Стандарт называется TOTP и работает без интернета.

Плюсы: не зависит от оператора связи, нет риска перевыпуска SIM, работает в любом приложении с поддержкой стандарта.

Минусы:

• Коды всё ещё можно выманить фишингом: поддельная страница передаёт их в реальном времени.
• Секрет нужно беречь. Выбирайте приложение с зашифрованным бэкапом или экспортом, иначе вместе с телефоном потеряете всё.
• Если кто-то увидел QR-код при настройке, он может клонировать ваши коды.

Push-подтверждения

Как работает: сервис отправляет в приложение запрос «Это вы входите?», и вы нажимаете «Подтвердить».

Главный риск — push fatigue (MFA bombing): злоумышленник с вашим паролем шлёт десятки запросов, часто ночью, пока вы не нажмёте «Подтвердить» по ошибке или просто чтобы они прекратились. Иногда добавляется звонок от якобы техподдержки.

Защита: сверка числа (вы вводите в приложении число с экрана входа), показ местоположения и названия приложения, ограничение числа запросов. Никогда не подтверждайте вход, который начинали не вы.

Аппаратные ключи и passkeys (FIDO2)

Как работает: в ключе хранится закрытый ключ, который никогда не покидает устройство. При входе браузер сообщает ключу, какой домен запрашивает доступ, и ключ подписывает запрос только для того домена, на котором был зарегистрирован. Похожий фишинговый домен не получит ничего.

Плюсы: устойчивость к фишингу, ничего не нужно вводить или пересылать, на сервере не хранится секрет, который мог бы утечь. Ключи подключаются по USB, NFC или Bluetooth. Passkeys работают по тому же стандарту, только ключ хранится в телефоне или менеджере паролей.

Минусы: аппаратный ключ нужно купить, а при потере единственного ключа нужен способ восстановления. Поддерживают его пока не все сервисы.

Сравнение

Что выбрать

Личные аккаунты

• Основная почта, аккаунт Google или Apple, менеджер паролей: passkey или аппаратный ключ, если поддерживается, иначе приложение TOTP.
• Банк: то, что предлагает банк, плюс уведомления обо всех операциях.
• Всё остальное: приложение TOTP с зашифрованным бэкапом.
• Регистрируйте два ключа — один для каждого дня, второй хранится в надёжном месте.

Рабочие аккаунты

• Администраторы, финансы, регистратор домена, хостинг, репозитории кода: только ключи FIDO2 или passkeys.
• Остальные сотрудники: как минимум TOTP или push со сверкой числа; отключите SMS, где платформа это позволяет.
• Включайте 2FA обязательной политикой в системе управления доступом, а не просьбами.
• Опишите процедуру восстановления: кто и как подтверждает личность сотрудника, потерявшего ключ.