Двухфакторная аутентификация: какой метод 2FA самый безопасный?

Что такое двухфакторная аутентификация?

Двухфакторная аутентификация (2FA) — это вторая проверка после пароля, подтверждающая, что в аккаунт входите действительно вы ^[4]. Национальный центр кибербезопасности Великобритании (NCSC) отмечает, что её также называют двухэтапной проверкой (2SV) или многофакторной аутентификацией (MFA) ^[4]. На втором этапе используется то, к чему есть доступ только у вас, например телефон или ключ безопасности ^[4].

MFA сочетает два или более разных типа факторов: то, что вы знаете (пароль или PIN-код), то, что у вас есть (телефон или ключ), и то, кем вы являетесь (отпечаток пальца или лицо) ^[1]. Даже если преступник украдёт ваш пароль, без второго фактора он всё равно не сможет войти ^[1].

Действительно ли 2FA работает?

Да. Исследование Microsoft Research 2023 года, посвящённое аккаунтам Azure Active Directory с подозрительной активностью, показало, что MFA снижает риск взлома на 99,22% по всей выборке. Для аккаунтов, учётные данные которых уже утекли, снижение составило 98,56% ^[8]. За период исследования более 99,99% аккаунтов с включённой MFA остались защищёнными ^[8]. NCSC утверждает, что любая 2SV лучше, чем никакой, — даже текстовые сообщения ^[4].

Масштаб атак на пароли объясняет, почему это важно. Microsoft сообщила, что в 2024 году фиксировала около 7000 атак на пароли в секунду — более чем вдвое больше, чем в 2023 году ^[11].

Какой метод 2FA самый безопасный?

Не все варианты 2FA одинаково надёжны. CISA, агентство кибербезопасности США, ранжирует методы от самого надёжного к самому слабому в зависимости от того, насколько хорошо они противостоят распространённым атакам ^[1]:

1. MFA, устойчивая к фишингу: FIDO/WebAuthn (ключи безопасности и ключи доступа) и смарт-карты на основе PKI. CISA называет это «золотым стандартом» ^[1].
2. Коды из приложений или push-запросы с сопоставлением чисел: одноразовые коды из приложения-аутентификатора или аппаратного токена либо push-запросы, в которых нужно ввести число, показанное на экране входа ^[1].
3. Push-запросы без сопоставления чисел: простой запрос «Подтвердить?», уязвимый для push-бомбинга ^[1].
4. Коды в SMS или голосовых звонках: по мнению CISA, их следует использовать только в крайнем случае ^[1].

CISA заявляет, что FIDO/WebAuthn — единственная широко доступная аутентификация, устойчивая к фишингу ^[1]. В рекомендациях агентства по мобильной безопасности 2025 года эта мысль повторяется: коды из аутентификаторов лучше SMS, но всё равно уязвимы для фишинга, и устойчива к фишингу только аутентификация FIDO ^[2]. NCSC пришёл к тому же выводу в апреле 2026 года. Центр признал все традиционные методы MFA, включая коды в SMS, коды по электронной почте, коды из приложений и push-подтверждения, по своей природе уязвимыми для фишинга ^[5].

Что делает метод устойчивым к фишингу?

NIST определяет устойчивость к фишингу как способность протокола входа не допустить раскрытия секретов поддельному сайту, не полагаясь на бдительность пользователя ^[3]. Любой метод, при котором вы читаете код и вводите его вручную, этому требованию не отвечает, поскольку код можно ввести на поддельном сайте ^[3]. Методы FIDO привязаны к настоящему сайту, поэтому сайт-двойник не может ими воспользоваться ^[5].

Как соотносятся основные методы 2FA?

В таблице ниже показано, насколько каждый метод защищает от основных атак, на основе ранжирования CISA и рекомендаций NIST. CISA выделяет четыре типа атак ^[1]:

• Фишинг: поддельная страница входа собирает ваш пароль и одноразовый код ^[1].
• Push-бомбинг: злоумышленник засыпает вас запросами на подтверждение, пока вы не примете один из них ^[1].
• Эксплуатация SS7: уязвимости в системе сигнализации телефонной сети позволяют злоумышленникам получать коды, отправленные по SMS или голосовым звонком ^[1].
• Подмена SIM-карты: преступники убеждают мобильного оператора перенести ваш номер на их SIM-карту ^[1].

Почему коды в SMS считаются слабыми?

Коды в текстовых сообщениях — самая распространённая форма 2FA, и, как отмечает NCSC, на большинстве сервисов они используются по умолчанию ^[4]. Но и украсть их проще всего.

• Сообщения не шифруются. CISA отмечает, что любой, кто имеет доступ к сети оператора связи и перехватывает SMS, может их прочитать ^[2].
• Номер можно угнать. При подмене SIM-карты преступники выдают себя за жертву, подкупают сотрудника оператора или взламывают его системы, чтобы перенести номер на свою SIM-карту ^[6]. После этого они получают сообщения жертвы, включая коды 2FA и сообщения для сброса пароля ^[6].
• Их можно выманить фишингом. Как и любой вводимый вручную код, код из SMS можно ввести на поддельном сайте ^[3].

Ущерб вполне реален. С января 2018 по декабрь 2020 года Центр приёма жалоб на интернет-преступления ФБР (IC3) получил 320 жалоб на подмену SIM-карты со скорректированным ущербом около 12 млн долларов. Только за 2021 год поступило 1611 жалоб с ущербом более 68 млн долларов ^[6].

Рекомендации NIST 2025 года относят коды в SMS и голосовых звонках к ограниченным аутентификаторам. Сервисы, которые их используют, обязаны предлагать хотя бы одну неограниченную альтернативу и должны проверять сигналы риска, например недавнюю смену SIM-карты или перенос номера ^[3]. NIST также указывает, что электронную почту нельзя использовать для внеполосной аутентификации ^[3]. NCSC мягче относится к частным лицам: он допускает электронную почту в качестве второго этапа, если это другой аккаунт, а не тот, что используется для сброса пароля ^[4].

Стоит ли использовать SMS, если это единственный вариант?

Да. NCSC отмечает, что текстовые сообщения — не самый безопасный вид 2SV, но всё же большой шаг вперёд по сравнению с одним только паролем ^[4]. CISA называет SMS крайним средством, но допускает его как временную меру ^[1].

Как работают приложения-аутентификаторы и push-запросы?

Большинство приложений-аутентификаторов генерирует одноразовые пароли на основе времени (TOTP), определённые интернет-стандартом RFC 6238 ^[7]. При настройке приложение и сервис получают общий секретный ключ. Затем приложение объединяет этот ключ с текущим временем и выдаёт короткий код, который меняется с каждым временным шагом — по умолчанию каждые 30 секунд ^[7]. Поскольку код вычисляется на телефоне, приложениям-аутентификаторам не нужна мобильная связь ^[4]. Это делает их полезными там, где мобильное покрытие или доставка SMS ненадёжны.

Приложения-аутентификаторы устойчивы к подмене SIM-карты и атакам на SS7 ^[1], а исследование Microsoft показало, что специализированные приложения, например Microsoft Authenticator, работают лучше SMS ^[8]. Их слабое место — фишинг: поддельный сайт может запросить код и мгновенно переслать его ^[1][2].

Что такое сопоставление чисел?

При push-2FA на телефон приходит запрос на подтверждение. Без сопоставления чисел достаточно нажать «Принять», и это открывает возможность для push-бомбинга. При сопоставлении чисел нужно ввести в приложение число, показанное на экране входа, что добавляет защиту от бездумных подтверждений ^[1]. CISA рекомендует сопоставление чисел организациям, которые пока не могут использовать MFA, устойчивую к фишингу ^[1].

Какое место занимают ключи безопасности и ключи доступа?

И ключи безопасности, и ключи доступа используют стандарты FIDO и криптографию с открытым ключом ^[10]. Ключ безопасности — небольшое физическое устройство, подключаемое через USB или NFC. Ключ доступа (passkey) может храниться на телефоне или компьютере и разблокируется отпечатком пальца, лицом или PIN-кодом ^[10].

Для людей с высоким риском целевых атак CISA называет аппаратные ключи безопасности FIDO самым эффективным вариантом там, где это осуществимо, а ключи доступа FIDO — приемлемой альтернативой ^[2]. NCSC утверждает, что ключи доступа так же безопасны или безопаснее традиционной MFA против всех распространённых атак на учётные данные, встречающихся на практике ^[5]. Центр рекомендует их как первый выбор везде, где сервисы их предлагают ^[12].

Ключ доступа может также сделать отдельный второй этап ненужным. При входе в аккаунт Google с ключом доступа шаг двухэтапной аутентификации (2-Step Verification) пропускается ^[9]. NCSC отмечает, что если устройство проверяет пользователя, учётные данные FIDO2 сами по себе являются многофакторными ^[5].

Как безопасно настроить 2FA?

1. Начните с электронной почты. NCSC советует включить 2SV для важных аккаунтов, особенно для почты, поскольку доступ к почтовому ящику позволяет преступникам сбросить ваши другие пароли ^[4].
2. Выберите самый надёжный из предложенных методов. Отдавайте предпочтение ключу доступа или ключу безопасности, затем приложению-аутентификатору, а SMS используйте, только если больше ничего нет ^[1][2].
3. Уберите более слабый запасной вариант. CISA отмечает, что подключение приложения-аутентификатора не удаляет SMS из аккаунта автоматически, и остаётся слабый запасной вариант. Отключите SMS, когда более надёжный метод заработает ^[2].
4. Сохраните резервные коды. Храните одноразовые резервные коды в надёжном месте и создавайте новые после их использования ^[4].
5. Добавьте второй метод. NCSC рекомендует иметь запасной вариант на случай, если основной второй этап будет недоступен ^[4].
6. Защитите свой номер телефона. CISA советует установить PIN-код у мобильного оператора ^[2]. ФБР рекомендует никогда не сообщать свой PIN-код или пароль тем, кто звонит без предупреждения ^[6].
7. Никогда не подтверждайте запрос, который вы не инициировали. Неожиданные push-запросы могут быть попыткой push-бомбинга ^[1].

Следите за тревожными признаками. По данным ФБР, внезапная потеря мобильного сигнала или SMS-связи может указывать на подмену SIM-карты. В этом случае немедленно свяжитесь с оператором и смените пароли от аккаунтов ^[6].

Что меняется в 2FA?

Официальные рекомендации смещаются от кодов к методам, устойчивым к фишингу. Рекомендации NIST 2025 года требуют, чтобы сервисы уровня доверия AAL2 предлагали хотя бы один вариант, устойчивый к фишингу ^[3]. NIST также отмечает, что может пересмотреть ограниченный статус кодов через телефонную сеть по мере изменения угроз ^[3]. В апреле 2026 года NCSC заявил, что будет рекомендовать ключи доступа везде, где сервис их поддерживает, а 2SV — там, где нет ^[5].

Для большинства людей практичный путь на 3 ноября 2026 года состоит из трёх шагов. Включите 2FA везде, где она предлагается. По возможности замените SMS приложением-аутентификатором. Затем переведите самые важные аккаунты на ключи доступа или ключ безопасности. Каждый шаг закрывает класс атак, который более слабый метод оставляет открытым ^[1][5].