2FA и passkeys: почему SMS-коды окончательно заменяют
Годами стандартом второго фактора был 6-значный код по SMS. Этот подход теперь активно не рекомендует каждый серьёзный орган по безопасности. Разбираемся, что пришло на замену и почему стоит мигрировать.
Двухфакторная аутентификация должна была сделать захват аккаунта невозможным. Десятилетие де-факто-стандартом был SMS: ввели пароль, получили 6-значный код в телефоне, ввели обратно. Эта система теперь активно не рекомендована американским NIST, британским NCSC и любой серьёзной командой по безопасности.
Почему SMS-2FA не работает
Три вектора атаки. SIM-swap: атакующий убеждает мобильного оператора перенести ваш номер на свою SIM, затем триггерит SMS-код банка и перехватывает его. Перехват SS7: у глобального протокола телефонной маршрутизации есть известные дыры, позволяющие достаточно мотивированному атакующему читать SMS без помощи оператора. Фишинг: атакующий проксирует настоящую страницу входа, спрашивает код 2FA и передаёт его банку за секунды — ваша SMS-2FA только что аутентифицировала злоумышленника.
Что пришло на замену
Приложения-аутентификаторы (Google Authenticator, Microsoft Authenticator, 1Password): 6-значный код, генерируемый на устройстве, без SMS-сети. Устойчиво к SIM-swap и SS7, но всё ещё уязвимо к фишингу в реальном времени.
Аппаратные ключи безопасности (YubiKey, Google Titan): физическое USB- или NFC-устройство, криптографически подписывающее challenge для входа. Подпись привязана к точному домену, поэтому фишинговая страница не может её переиспользовать. Практически не фишабельны.
Passkeys (WebAuthn + биометрия): телефон или ноутбук генерируют пару ключей, хранят приватный ключ в защищённом аппаратном модуле и подписывают входы биометрической разблокировкой. Та же нефишабельность, что у hardware-ключей, намного лучше UX. Разворачиваются на всех крупных платформах 2024-2025.
Что делать сейчас
Если ваш банк всё ещё предлагает только SMS-2FA — мигрируйте хотя бы в приложение-аутентификатор. Если есть passkeys — используйте их. Держите SMS как резерв, не как основной второй фактор. На каждом аккаунте с деньгами или крипто предполагайте, что SMS в итоге обойдут, и планируйте соответственно.