Двухфакторная авторизация на защите ваших аккаунтов

Двухфакторная авторизация на защите ваших аккаунтов
Двухфакторная авторизация на защите ваших аккаунтовВ современном мире классический метод авторизации пользователя с использованием логина и пароля считается ненадёжным, в силу того что пользователям лень ставить сложные для подбора пароли. А с ростом числа используемых сервисов, пользователи часто пренебрегают правилом об использовании разных паролей для каждого из них. На помощь в решении этой проблемы приходит двухфакторная авторизация, которая теперь стала доступна на RedServer.

Что такое двухфакторная аутентификация?

Двухфакторная аутентификация — это метод идентификации пользователя в каком-либо сервисе (как правило, в Интернете) при помощи запроса аутентификационных данных двух разных типов, что обеспечивает двухслойную, а значит, более эффективную защиту аккаунта от несанкционированного проникновения. На практике это обычно выглядит так: первый рубеж — это логин и пароль, второй — специальный код, приходящий по SMS или электронной почте. Реже второй «слой» защиты запрашивает специальный USB-ключ или биометрические данные пользователя. В общем, суть подхода очень проста: чтобы куда-то попасть, нужно дважды подтвердить тот факт, что вы — это вы, причем при помощи двух «ключей», одним из которых вы владеете, а другой держите в памяти.
Источник: www.kaspersky.ru

Как это работает?

Мы используем наиболее распространённый и доступный всем метод аутентификации – генерация кодов на основе секретного ключа и текущего времени (TOTP). Преимущество его в том, что он работает оффлайн и абсолютно бесплатен, в отличие от SMS (которые ещё «застревают» по пути). Единственный важный момент - правильная настройка часов, иначе будут генерироваться неправильные коды.

  1. Перейдите в раздел настроек безопасности аккаунта. Здесь появился новый переключатель.
  2. Далее вам будет предложено настроить приложение для генерации кодов и ввести код, чтобы убедиться в правильной настройке приложения.
  3. Ура! Ваш теперь аккаунт надёжно защищён. При входе на сайт, форум или лаунчер, будет запрошен код подтверждения. Его можно получить в ранее настроенном приложении.

    • Не забыли мы и о наших «потеряшках» – на сайте доступна возможность получения резервных кодов на E-mail, если отсутствует возможность получить код в приложении. Резервные коды предназначены, для возможности отключения или перенастройки двухфакторной авторизации. Для форума и лаунчера они не подойдут.
    • Настройки синхронизируются с форумом. Если вы там ранее включали подтверждение входа, эти настройки будут перезаписаны (код для форума перестанет работать), вместо него будет использоваться единый код для всего RedServer.

    Почему не Google Authenticator?

    Руководства по настройке двухфакторной аутентификации часто рекомендуют именно приложение от Google. Мы как опытные пользователи, не станем Вам его рекомендовать. И вот почему:

    • Это крайне примитивное по возможностям приложение. До недавнего времени даже не умело сканировать QR-коды, требуя установку стороннего сканера.
    • Всё что его связывает с Google - название и неявная привязка к Google-аккаунту. Вы не сможете добавить в приложение сторонний аккаунт, пока не настроите защиту своего Google-аккаунта.
    • Нет резервного копирования или возможности переноса данных. Судя по отзывам, ваши коды в приложении могут внезапно бесследно исчезнуть во время очередного обновления. Даже резервное копирование ОС ничем вам не поможет - для приложения оно отключено. А ещё, например, вы купили новый телефон. Как перенести данные со старого? Ответ - никак, придётся настраивать каждый аккаунт заново.

    В качестве альтернативы мы рекомендуем одно из следующих приложений. Вы можете выбрать любое другое с поддержкой TOTP (это главное условие) на свой вкус и цвет.

    • Яндекс.Ключ – рекомендуется тем, кто пользуется русскоязычными ресурсами, поскольку содержит набор иконок для многих из них. Есть возможность резервного копирования в облако (резервная копия хранится 6 месяцев). Трюк с резервным копированием можно использовать для синхронизации нескольких устройств.
    • Authy – продвинутое приложение для аутентификации с англоязычным интерфейсом. Для начала использования потребуется регистрация в сервисе, что в дальнейшем позволит синхронизировать настройки между всеми устройствами и выполнять автоматическое резервное копирование.

    Итог

    Мы давно планировали ввести поддержку двухфакторной авторизации, но не решались этого делать из-за сложности интеграции в систему авторизации сайта. Взлом аккаунтов двух модераторов с помощью вирусов в текущем году подтолкнул нас это сделать.
    Возможность прежде всего предназначена для защиты аккаунтов модераторов, она также будет полезна обычным пользователям. Мы знаем, что значительная часть пользователей использует крайне простые пароли или скачивает читы с вирусами. Второй фактор поможет защитить аккаунт, если пароль будет подобран или украден. При этом пользователю ничего запоминать не надо. Данный метод авторизации сейчас поддерживается множеством сервисов. В одно приложение можно добавить неограниченное число аккаунтов. Подумайте, например, о защите своей странички VK.
    Включать ли двухфакторную авторизацию – дело ваше. Но хотим напомнить, что мы не возмещаем вред, нанесённый взломщиком, это вина пользователя.

Комментарии

1
Book
Хорошая, идея. Но жаль не ваша, но спасибо за такую фишку.
0
DemianChris
Но по телефону будет только для номеров Россий , или всех стран СНГ ?
4
TheAndrey Автор
ChrisDayMan, получения кода SMS никогда у нас не будет. Этот способ ещё признан небезопасным из-за возможности перехвата сообщения и отсутствия шифрования.