Коди 2FA у менеджері паролів чи в окремому автентифікаторі: що безпечніше

CyberCalm

Коди 2FA у менеджері паролів чи в окремому автентифікаторі: що безпечніше

Двофакторна автентифікація (2FA) роками залишається однією з базових порад фахівців із кібербезпеки. Щойно її вмикають, постає практичне питання: де зберігати одноразові коди — у менеджері паролів, поруч із самими паролями, чи в окремому застосунку-автентифікаторі на смартфоні?

Обидва варіанти захищають облікові записи, але роблять це по-різному. Менеджер паролів робить ставку на зручність, окремий автентифікатор — на ізоляцію. Правильна відповідь залежить від того, що саме потрібно захистити, скількома пристроями користується людина і чого вона боїться більше — зламу чи втрати доступу.

Головне

• Коди 2FA в менеджері паролів зручні, але пароль і другий фактор опиняються в одному сховищі.
• Окремий автентифікатор зберігає розділення факторів, проте вимагає резервних копій і кодів відновлення.
• Код 2FA для самого менеджера паролів не можна зберігати всередині нього.
• Оптимальна схема — гібрид: пошта, фінанси й менеджер паролів захищаються окремим автентифікатором або апаратним ключем, решта сервісів — кодами в менеджері.

Як працює 2FA і звідки беруться коди

Ідея двофакторної автентифікації проста: навіть якщо зловмисник викраде пароль, для входу йому знадобиться ще одне підтвердження особи. Фактори традиційно поділяють на три типи: те, що людина знає (пароль), те, що вона має (смартфон чи апаратний ключ), і те, чим вона є (біометрія). Надійність 2FA тримається на тому, що фактори незалежні один від одного.

Другий фактор сервіси надають по-різному: SMS з одноразовим кодом, лист на пошту, push-запит у застосунку або код із застосунку-автентифікатора. Останній варіант найпоширеніший серед тих, що не залежать від мобільного оператора. Він працює за стандартом TOTP (time-based one-time password): під час налаштування сервіс передає секретний ключ — зазвичай у вигляді QR-коду, — а застосунок на основі цього ключа й поточного часу генерує шестизначний код, який змінюється кожні 30 секунд.

Ключовий момент: генерувати коди може кожен, хто має секретний ключ. Тож питання «де зберігати коди» насправді означає «де зберігати секретні ключі».

Читайте такожДвофакторна автентифікація на всіх пристроях та акаунтах: як це зробити

Коди 2FA у менеджері паролів

Більшість сучасних менеджерів паролів уміють працювати як автентифікатор. 1Password дає змогу додати одноразовий пароль до запису для входу, відсканувавши QR-код у браузерному розширенні чи застосунку. Bitwarden так само генерує коди прямо у сховищі — щоправда, зберігати ключі можна в будь-якому акаунті, а генерування кодів доступне лише з підпискою Premium або в платних сімейних і корпоративних планах.

Переваги

• Швидкий вхід. Менеджер підставляє логін, пароль і код без перемикання на смартфон і гонитви з таймером. Браузерне розширення Bitwarden, наприклад, автоматично заповнює код або копіює його в буфер обміну.
• Доступ з будь-якого пристрою. Коди синхронізуються між компʼютером, браузером і смартфоном разом із паролями.
• Стійкість до втрати телефона. Секретні ключі зберігаються в зашифрованому сховищі, тож розбитий чи загублений смартфон не відрізає від облікових записів.
• Спільний доступ. Якщо обліковим записом користується родина чи команда, його разом із кодом 2FA можна передати через спільне сховище — без привʼязки до чийогось особистого телефона.
• Додатковий захист від фішингу. Менеджер паролів автоматично заповнює дані лише на тому домені, для якого їх збережено. На підробленому сайті автозаповнення не спрацює — і це сигнал зупинитися. Людина, яка вручну переписує код зі смартфона, такого сигналу не отримує.

Недоліки

• Порушується принцип розділення факторів. Пароль і код опиняються в одному сховищі. Якщо зловмисник отримає до нього доступ — через викрадений майстер-пароль або скомпрометований пристрій, — він отримає обидва фактори одночасно. Для таких облікових записів 2FA фактично перетворюється на «пароль із двох частин».
• Один шкідливий компонент — два фактори. Кейлогер, інфостилер або шкідливе розширення браузера на компʼютері з розблокованим менеджером можуть перехопити і пароль, і код за один раз. Окремий смартфон створює фізичний барʼєр, який за спільного зберігання зникає.
• Замкнене коло для самого менеджера. Код 2FA для входу в менеджер паролів неможливо зберігати в ньому самому: якщо доступ до сховища втрачено, код теж недоступний.

Окремий застосунок-автентифікатор

Самостійні застосунки — Google Authenticator, Microsoft Authenticator, Proton Authenticator, 2FAS, Aegis та інші — генерують коди локально й працюють без інтернету. Другий фактор фізично зберігається на іншому пристрої, ніж паролі, і для зловмисника це додаткова перешкода.

Переваги

• Справжнє розділення факторів. Щоб увійти, зловмиснику доведеться скомпрометувати два різні пристрої або два різні сховища.
• Менша поверхня атаки. Автентифікатор виконує одне завдання і не вбудовується в браузер, тож шкідливим розширенням дістатися до нього значно складніше.
• Робота офлайн. Коди генеруються без підключення до мережі.

Утім, ізоляція залежить від налаштувань. Google Authenticator з квітня 2023 року вміє синхронізувати коди з обліковим записом Google. Це рятує від наслідків втрати телефона, але переносить частину ризику на акаунт Google — його захист стає критично важливим.

Недоліки

• Ручне введення. Код доводиться переписувати зі смартфона, поки він не змінився.
• Привʼязка до телефона. Більшість автентифікаторів — мобільні. Винятки є: Proton Authenticator має версії для Windows, macOS і Linux та синхронізує коди з наскрізним шифруванням, а браузерне розширення 2FAS передає код у браузер лише після підтвердження на смартфоні — самі коди при цьому залишаються на телефоні.
• Ризик тимчасово втратити доступ. Якщо смартфон загублено чи зламано, а резервної копії немає, доступ до кожного сервісу доведеться відновлювати через резервні коди або службу підтримки.

Порівняння двох підходів

Критерій Менеджер паролів Окремий автентифікатор Зручність щоденного входу Висока: автозаповнення Нижча: код вводять вручну Розділення факторів Немає — усе в одному сховищі Є — окремий пристрій або застосунок Якщо скомпрометовано компʼютер Під загрозою обидва фактори Код залишається на смартфоні Якщо загублено смартфон Доступ зберігається Потрібні резервна копія або коди відновлення Доступ із компʼютера Так Лише в окремих застосунках Спільний доступ для родини чи команди Зручний Складний

Гібридна модель: найкраще з обох підходів

Для більшості людей оптимальним є поєднання. Облікові записи варто поділити на дві групи — за наслідками можливого зламу.

Критично важливі — ті, через які можна відновити доступ до всього іншого або втратити гроші:

• основна електронна пошта;
• сам менеджер паролів;
• облікові записи Google, Apple чи Microsoft;
• банківські та платіжні сервіси;
• робочі акаунти з адміністративними правами.

Для них другий фактор варто тримати окремо: в автентифікаторі на смартфоні, а ще краще — на апаратному ключі безпеки або у вигляді ключа доступу (passkey), стійких до фішингу.

Щоденні сервіси з низьким ризиком — інтернет-магазини, підписки, форуми, розважальні платформи — можна захищати кодами в менеджері паролів. Навіть «пароль із двох частин» надійніший за самий лише пароль, а завдяки зручності 2FA вмикають там, де без неї зазвичай обійшлися б.

У результаті тертя мінімальне, а якщо сховище менеджера паролів колись буде скомпрометоване, найважливіші облікові записи залишаться недосяжними.

Практичні правила

1. Зберігати резервні коди відновлення окремо від кодів 2FA — наприклад, роздрукованими в надійному місці або в іншому зашифрованому сховищі.
2. Захищати менеджер паролів другим фактором, який зберігається поза ним: в автентифікаторі чи на апаратному ключі.
3. Увімкнути зашифровану резервну копію або синхронізацію в автентифікаторі — і перевірити, що відновлення справді працює.
4. Надавати перевагу ключам доступу (passkeys) та апаратним ключам FIDO2 там, де сервіси їх підтримують.
5. Не покладатися на SMS як на єдиний другий фактор: коди можна перехопити через підміну SIM-картки.
6. Встановлювати автентифікатори лише з офіційних магазинів застосунків і не користуватися продуктами російського походження, як-от «Яндекс Ключ».

Висновок

Жоден інструмент не ідеальний сам по собі. Менеджер паролів знімає тертя, але зводить обидва фактори в одну точку. Окремий автентифікатор зберігає розділення, але вимагає дисципліни з резервними копіями. Вибір залежить від цінності облікового запису й готовності перемикатися між пристроями. Для більшості користувачів найрозумніше рішення — гібрид: коди для повсякденних сервісів — у менеджері паролів, другий фактор для пошти, фінансів і самого менеджера — окремо.

Ця стаття Коди 2FA у менеджері паролів чи в окремому автентифікаторі: що безпечніше раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня