2FA и passkeys: какой второй фактор выбрать и как настроить восстановление доступа
Коротко. Пароль защищает плохо: его подбирают, перехватывают фишингом и повторяют в разных сервисах. Второй фактор резко снижает риск, но методы неравноценны. SMS-код уязвим к подмене SIM и перехвату; приложение-аутентификатор (TOTP) лучше, но код можно ввести на поддельном сайте; passkeys и аппаратные ключи FIDO2 устойчивы к фишингу, потому что криптографически привязаны к домену. Начинать нужно с почты — она восстанавливает доступ ко всему остальному, — и обязательно сохранять резервные коды.
Ниже — сравнение методов, порядок включения и сценарий «потерял телефон», который нужно продумать до, а не после.
Как работают факторы
Факторы делятся на три типа: то, что вы знаете (пароль, PIN), то, что у вас есть (телефон, ключ), и то, чем вы являетесь (отпечаток, лицо). Двухфакторная аутентификация требует минимум два разных типа.
Одноразовый код в приложении строится по стандарту TOTP (RFC 6238): приложение и сервер делят секретный ключ и независимо вычисляют шестизначный код на 30-секундном интервале. Код работает без интернета, но секрет хранится в приложении — если телефон потерян и резервной копии нет, доступ к генератору пропадёт.
Passkey устроен иначе: на устройстве создаётся пара ключей, приватный ключ не покидает устройство, а сервер хранит только публичный. При входе сайт проверяет подпись. Ключ привязан к домену, поэтому на копии сайта с другим адресом он просто не сработает — это и есть устойчивость к фишингу.
Сравнение методов
| Метод | Защита от фишинга | Защита от подмены SIM | Удобство | Главный риск |
|---|---|---|---|---|
| SMS-код | нет | нет | высокое | перехват кода, SIM-swap |
| Код в приложении (TOTP) | нет | да | среднее | ввод кода на поддельной странице |
| Push-уведомление с подтверждением | нет | да | высокое | «усталость от подтверждений» |
| Push с числом (number matching) | частично | да | высокое | невнимательность |
| Passkey (synced) | да | да | высокое | компрометация аккаунта облака |
| Аппаратный ключ FIDO2 | да | да | среднее | физическая потеря ключа |
CISA прямо называет FIDO/WebAuthn единственным широко доступным фишингоустойчивым методом и рекомендует его как целевой уровень. Это не значит, что SMS бесполезен: если альтернатива — только пароль, SMS всё равно лучше, чем ничего. Но для почты и банка стоит стремиться к passkey или ключу.
Порядок включения: от почты к остальному
- Основная почта. Через неё сбрасываются пароли почти всех сервисов. Включите 2FA, добавьте passkey, сохраните резервные коды.
- Банк и платёжные сервисы. Здесь часто своя схема подтверждения; не отключайте её ради «удобства».
- Аккаунт Microsoft/Apple/Google. Он привязан к устройству, хранит ключи шифрования и резервные копии.
- Соцсети и мессенджеры. Взлом переписки часто используется для мошенничества от вашего имени.
- Рабочие сервисы. Действуйте по политике организации, а не по личным предпочтениям.
- Магазины и второстепенные сайты. Здесь достаточно TOTP, если passkey недоступен.
Не включайте 2FA сразу везде: сначала настройте восстановление для почты, проверьте вход с другого устройства, и только потом переходите к следующему сервису.
Как настроить passkey для аккаунта Microsoft
- Войдите в аккаунт Microsoft → Дополнительные параметры безопасности.
- Выберите «Добавить новый способ входа или проверки».
- Нажмите «Лицо, отпечаток пальца, PIN или ключ безопасности».
- Следуйте подсказкам устройства: Windows Hello, телефон или аппаратный ключ.
- Проверьте вход: выйдите из аккаунта и войдите снова, выбрав «Другие способы входа» → passkey.
Биометрические данные не передаются в Microsoft — они остаются на устройстве и лишь разблокируют приватный ключ. Passkey можно хранить в менеджере паролей или на телефоне; для важных аккаунтов полезно иметь второй passkey на другом устройстве.
Резервные коды: главная страховка
Резервные коды — одноразовые последовательности, которые заменяют второй фактор, если устройство недоступно. Правила:
- сохраните коды сразу после включения 2FA, а не «потом»;
- распечатайте или запишите на бумаге и уберите туда, где храните документы;
- не храните коды в той же почте, к которой они дают доступ;
- не фотографируйте экран, если фото автоматически синхронизируется в облако;
- проверьте, что код действительно работает, до того как он понадобится;
- после использования одного кода он перестаёт действовать — при нехватке сгенерируйте новый набор.
Дополнительно проверьте, что резервная почта и телефон в настройках аккаунта актуальны. Часто доступ теряется не из-за взлома, а из-за старого номера, к которому больше нет доступа.
Что делать, если телефон потерян
| Ситуация | Действия |
|---|---|
| Есть резервные коды | войти с другого устройства, ввести код, отвязать старый телефон, добавить новый фактор |
| Нет кодов, но есть второй фактор | использовать второй ключ/приложение, если настраивали |
| Нет ничего | восстановление через поддержку сервиса, с подтверждением личности; для банка — визит в отделение |
| Телефон украден, SIM активна | обратиться к оператору и заблокировать SIM, затем менять пароли с другого устройства |
Именно поэтому не стоит делать единственным фактором телефон, который одновременно является и средством восстановления. Второй ключ или распечатанные коды решают эту проблему.
Типичные ошибки
| Ошибка | Последствие |
|---|---|
| Включить 2FA и не сохранить коды | блокировка при потере телефона |
| Использовать SMS как единственный второй фактор | SIM-swap и перехват |
| Вводить код на странице, открытой по ссылке из письма | фишинг забирает и пароль, и код |
| Хранить TOTP-секреты только на одном телефоне | потеря устройства = потеря доступа |
| Подтверждать push-уведомления «на автомате» | «усталость от подтверждений» и несанкционированный вход |
| Один passkey на одном устройстве | поломка устройства закрывает доступ |
Как проверить, что настройка работает
- Выйдите из аккаунта.
- Войдите с другого устройства или в режиме инкогнито.
- Убедитесь, что система просит второй фактор, а не только пароль.
- Проверьте вход по резервному коду (и сразу сгенерируйте новый набор, если код был использован).
- Посмотрите список активных сессий и устройств — незнакомые завершите.
FAQ
Passkey полностью заменяет пароль?
Для входа — да, если сервис позволяет. Но пароль часто остаётся как резервный способ, а значит, его нужно хранить в менеджере паролей и делать уникальным. Некоторые сервисы требуют пароль для восстановления аккаунта.
Что надёжнее: приложение-аутентификатор или SMS?
Приложение надёжнее: код не проходит через оператора связи и не перехватывается при подмене SIM. Но и он уязвим к фишингу — ввод кода на поддельной странице отдаёт злоумышленнику и пароль, и одноразовый код.
Можно ли использовать один и тот же passkey на нескольких сайтах?
Нет. Passkey создаётся отдельно для каждого сайта и привязан к его домену. Синхронизация между устройствами возможна внутри экосистемы (например, через облачный менеджер паролей), но это всё равно отдельные ключи для разных сервисов.
Что делать, если сайт не поддерживает passkeys?
Используйте TOTP-приложение и резервные коды. Не отказывайтесь от 2FA только потому, что нет самого современного метода: любой второй фактор лучше, чем только пароль.
Опасно ли хранить резервные коды в менеджере паролей?
Это лучше, чем не хранить их нигде, но менеджер паролей становится единой точкой отказа. Практичный вариант — один набор кодов в менеджере, второй — на бумаге в месте, где хранятся документы.