Пароль — это единственный замок на двери, и его слишком легко подобрать, подсмотреть или украсть. Двухфакторная аутентификация (2FA) добавляет второй замок, ключ от которого есть только у вас. Для аккаунта в криптообменнике, где хранится история операций и реквизиты, это одна из самых простых и эффективных мер защиты.
Что такое 2FA простыми словами
Факторы аутентификации — это способы доказать, что вы — это вы. Обычно выделяют три типа:
- то, что вы знаете — пароль или PIN-код;
- то, что у вас есть — телефон с приложением-аутентификатором, аппаратный ключ;
- то, чем вы являетесь — отпечаток пальца, лицо.
Двухфакторная аутентификация требует два фактора из разных групп. Чаще всего это пароль плюс одноразовый код из приложения на телефоне. Даже если злоумышленник узнал ваш пароль, без телефона он не войдёт.
От чего защищает двухфакторка
Пароли утекают чаще, чем кажется. Основные сценарии:
- Повторное использование пароля. Если вы используете один пароль на нескольких сайтах, утечка на любом из них открывает доступ ко всем остальным.
- Фишинг. Поддельная страница входа выглядит как настоящая, и вы сами вводите туда пароль.
- Вредоносные программы. Кейлоггеры и стилеры собирают сохранённые в браузере пароли.
- Подбор. Простые пароли перебираются автоматически.
Во всех этих случаях 2FA становится последним барьером: одноразовый код живёт около 30 секунд, и повторно использовать его нельзя. Это не абсолютная защита — от продвинутого фишинга в реальном времени она не спасает полностью, — но отсекает подавляющее большинство атак.
Какие бывают способы 2FA
| Способ | Надёжность | Комментарий |
|---|---|---|
| SMS-код | Низкая | Уязвим к перевыпуску SIM-карты и перехвату сообщений |
| Код на e-mail | Средняя | Надёжен настолько, насколько защищена сама почта |
| Приложение-аутентификатор (TOTP) | Высокая | Коды генерируются на телефоне без интернета |
| Аппаратный ключ | Очень высокая | Устойчив к фишингу, но нужен отдельный девайс |
Для большинства пользователей оптимальный выбор — приложение-аутентификатор: Google Authenticator, Aegis, 2FAS и подобные. Оно бесплатно, работает офлайн и не зависит от оператора связи. Коды вычисляются из общего секретного ключа и текущего времени, поэтому важно, чтобы время на телефоне было выставлено автоматически, — иначе коды могут не подходить.
SMS лучше оставить как запасной вариант: мошенники умеют перевыпускать SIM-карты по поддельным документам и перехватывать сообщения.
Как подключить 2FA в аккаунте
Процедура почти везде одинаковая. В Fiatex она находится в разделе настроек безопасности:
- Установите на телефон приложение-аутентификатор.
- В настройках безопасности аккаунта включите двухфакторную аутентификацию — на экране появится QR-код и текстовый ключ.
- Отсканируйте QR-код приложением. В нём появится запись с шестизначным кодом, который меняется каждые 30 секунд.
- Сохраните текстовый ключ в надёжном месте офлайн — он понадобится, если телефон потеряется.
- Введите текущий код из приложения, чтобы подтвердить подключение.
Что делать, если телефон потерян
Самый частый страх перед подключением 2FA — «а вдруг я потеряю телефон и не смогу войти». Риск реальный, но он решается заранее.
- Если сохранён текстовый ключ, установите аутентификатор на новый телефон и добавьте запись вручную — коды будут теми же, что и раньше.
- Если приложение поддерживает резервное копирование (зашифрованный экспорт или синхронизацию), восстановите записи из копии.
- Если ничего не сохранено, остаётся обращаться в поддержку сервиса. Будьте готовы подтвердить, что аккаунт ваш: процедура намеренно небыстрая, ведь иначе ею мог бы воспользоваться злоумышленник.
Если телефон украли, а не просто потеряли, дополнительно смените пароли от почты и важных аккаунтов и завершите чужие сессии.
Частые ошибки и хорошие привычки
- Нет резервной копии. Сменили телефон — потеряли доступ. Перед сбросом или продажей устройства перенесите записи аутентификатора.
- Коды передаются третьим лицам. Настоящая поддержка никогда не просит код 2FA. Если просят — это мошенники.
- 2FA только на обменнике. Почта, к которой привязан аккаунт, тоже должна быть защищена двухфакторкой, иначе через неё можно сбросить пароль.
- Слабый пароль «ведь есть 2FA». Второй фактор дополняет пароль, а не заменяет его. Используйте уникальный длинный пароль.
Подключение занимает пару минут, а защищает от целого класса проблем. Если вы храните крипту самостоятельно, прочитайте также, как правильно хранить сид-фразу.
