Двухфакторная аутентификация

October 1, 2020

В этой заметке хочу выразить свое мнение по поводу двухфакторной аутентификации вообще и телефонной в частности.

В последние годы ее вставляют абсолютно везде: в интернет-банкинге, мобильных приложениях, во входе на сайтах и т.д. Вспомним вообще, что это такое. Обычная однофакторная аутентификация - когда мы входим, например, на сайт по паролю или какому-нибудь usb-токену, или биометрии, или FaceID. Двухфакторная - когда мы дополнительно используем второй фактор для подтверждения входа. Чаще всего это СМС (хотя сейчас он уже признается небезопасным каналом). Например, вы входите по логину и паролю в интернет-магазин, вас после этого не пускает дальше и запрашивается код из СМС.

Приведу тут достоинства и недостатки двухфакторной аутентификации.

Достоинства

  • Безопасность

Недостатки

  • Нужно иметь под рукой смартфон или аутентификатор
  • Лишние телодвижения при аутентификации

Мое непопулярное мнение состоит в том, что мне в принципе не нужна двухфакторная аутентификация нигде. Поясню. Есть по сути два диаметрально противоположных варианта - либо мы используем 2FA, либо нет. Если мы ее используем - нас сложнее взломать. Однако если мы ее не используем - то мы можем проснуться где-нибудь в избушке лесника в Сибири, зайти в интернет с ноутбука с Windows XP на последнем уровне заряда батареи и без проблем зайти в личный кабинет, помня только адрес сайта, логин и пароль.

Между риском однажды потерять доступ к аккаунту и альтернативой - терпеть постоянные неудобства из-за необходимости вводить лишнее поле, а однажды и вообще потерять возможность зайти в аккаунт прямо сейчас я всегда буду выбирать первое.

Небольшой список примеров в моей жизни, где мне мешает 2FA:

  • Однажды когда мне в другой стране понадобилось срочно зайти в интернет-банк - я не смог этого сделать из-за обязательной двухфакторной аутентификации на входе (смски в роуминге не приходили)
  • Зашел в браузере в давно не используемый Google-аккаунт, созданный для родственника. На входе сразу же запрос на привязку номера сотового. Я привязал номер родственника, и буквально через 20 минут при повторном входе с того же компьютера получаю сообщение о том, что я захожу из подозрительного места и будьте добры ввести смс-код. До свидания, аккаунт, приятно было повидаться. Прощай, настройка)
  • Постоянные требования Github при входе ввести код из email меня просто нереально подбешивают. Я согласен, чтобы мои публичные репозитории украли и перепродали в Даркнет или еще куда, только уберите эти проверки!
  • Работа в Itunes Connect. Раньше для настройки приложения, которое я поддерживаю, я спокойно заходил с аккаунта владельца (с его согласия) и не было абсолютно никаких проблем. Теперь же для аккаунтов разработчиков Apple требует принудительно ставить 2FA, после чего у нас начинается веселый цирк с конями: “Напишите пароль, который пришел на айфон, это я захожу”.

В будущем для своих пользователей на любом сайте/сервисе, где я буду разработчиком, я всегда буду оставлять возможность отключить двухфакторную аутентификацию (в настройках личного кабинета, например), если у меня будет такая возможность.


comments powered by Disqus