Урядова команда реагування на комп’ютерні надзвичайні події України розробила інструкцію щодо встановлення двоетапної автентифікації (скорочено "2FA") для деяких месенджерів та інформаційних систем. Інструкцію у картинках від фахівців з CERT-UA, як це зробити на своїх гаджетах публікує УНН.
Деталі
Двоетапну автентифікацію (скорочено "2FA") можна встановити на наступних месенджерах та інформаційних системах:
- Telegram
- Signal
- Viber
- Ukrnet (доведеться встановити додаток-аутентифікатор)
- Google (доведеться встановити додаток-аутентифікатор)
- Facebook (доведеться встановити додаток-аутентифікатор)
Для усіх месенджерів потрібно придумати логін (зазвичай це номер вашого телефону – ред.) та пароль. Це і є перший етап автентифікації власника.
Другим фактором, як правило, є додатково придуманий пароль (PIN), одноразовий код, який генерується у відповідному додатку (Google Authenticator, Microsoft Authenticator) або USB-пристрій (апаратний ключ, токен) на кшталт Yubikey. При цьому, використання одноразових кодів в SMS як основного засобу 2FA не рекомендується.
У випадку викрадення (компрометації) логіну та паролю третім особам буде складніше отримати доступ до вашого облікового запису, адже вони не знатимуть додаткового паролю і/або не зможуть згенерувати одноразовий код. Натомість, ви отримаєте сповіщення про спробу отримання доступу до вашого акаунту, що сигналізуватиме про витік і необхідність зміни логіну та паролю.
"Двохфакторка" є запорукою збереження конфіденційності ваших даних, а також додатковим бар’єром для шахраїв, що намагатимуться викрасти обліковий запис чи ініціювати збір коштів від вашого імені.
Однак, вони попередили й про певний ризик, у випадку втрати гаджета. Та пояснили як можна себе убезпечити на цей випадок.
Якщо ви втратите телефон із додатком-аутентифікатором це може призвести до неможливості отримати доступ до відповідного акаунту. У зв’язку з цим під час налаштування 2FA з використанням додатку додатково генеруйте коди для відновлення доступу і/або зазначайте альтернативний номер телефону чи адресу електронної пошти.
У CERT-UA відзначили, що дуже часто публічні поштові сервіси використовуються як основний "корпоративний" засіб електронного листування. З огляду на зазначене вони закликали керівників та осіб, які забезпечують виконання обов’язків з кіберзахисту, проконтролювати здійснення відповідних налаштувань у своїх працівників.