Двофакторна автентифікація (2FA) — це вхід, який вимагає двох різних доказів того, що обліковий запис ваш. Пароля замало: до нього додається щось, чого зловмисник фізично не має — код із застосунку, апаратний ключ або відбиток пальця. Як улаштована сама перевірка особи, ми пояснили у статті Автентифікація: що це.
Пошуковий запит «що таке двофакторна аутентифікація» веде до того самого поняття: різниця лише в передаванні грецького кореня, як правильно писати — ми розібрали окремо.
Що таке двофакторна автентифікація і як вона працює
Докази особи ділять на три категорії: те, що ви знаєте (пароль), те, що маєте (смартфон, апаратний ключ), і те, чим ви є (біометрія). Йдеться саме про поєднання доказів із різних категорій. Пароль плюс секретне запитання двома факторами не є: обидва належать до знання, і витік однієї бази відкриває їх разом.
На практиці вхід виглядає так:
- Ви вводите пароль — сервіс перевіряє його за збереженим відбитком.
- Сервіс просить підтвердження: шестизначний код із застосунку, натискання у сповіщенні або дотик до апаратного ключа.
- Лише після обох кроків видається маркер сеансу, з яким ви працюєте далі.
Двофакторна автентифікація — це не про складність пароля, а про незалежність доказів. Викрасти перший доказ можна віддалено, з будь-якої точки світу. Щоб отримати другий, потрібен доступ до вашого пристрою — а це вже зовсім інша задача.
Навіщо потрібна двофакторна автентифікація
Другий доказ закриває чотири найпоширеніші сценарії:
- Витік бази з паролями. Секрет опиняється у відкритому доступі, але сам по собі він уже марний.
- Автоматичний підбір. Масові атаки перебирають мільйони комбінацій із чужих витоків — вони розраховані рівно на один доказ.
- Повторне використання пароля. Зламали дрібний форум — не постраждали пошта й банк.
- Класичний фішинг. Ви ввели пароль на підробленій сторінці, але без підтвердження зловмисник не заходить.
Саме тому другий доказ став базовою рекомендацією для пошти, банківських і робочих сервісів — як його увімкнути, ми показали покроково. Починати варто з поштової скриньки: через неї відновлюють доступ до всього іншого, тож зламана пошта тягне за собою решту записів.
Чого 2FA не робить: чесно про межі
Захист не абсолютний, і про це чесно попереджають самі розробники стандартів. Є щонайменше чотири способи обійти другий крок:
- Підміна SIM-картки. Код із SMS перехоплюють, переоформивши номер на себе. Тому SMS — найслабший варіант підтвердження.
- Фішинг через проксі. Підроблений сайт у реальному часі передає введені дані на справжній сервіс, а вкрадений маркер сеансу дає зловмиснику доступ уже без вас. Проти цього надійно працюють лише апаратні ключі: підпис прив'язаний до адреси справжнього сайту, і на підробці він не спрацює.
- Втома від сповіщень. Атакувальник надсилає десятки запитів на підтвердження вночі, поки хтось не натисне «Дозволити» — просто щоб телефон замовк.
- Шкідливе програмне забезпечення. Якщо пристрій уже заражений, маркер сеансу крадуть після успішного входу — і жоден додатковий крок тут не допоможе.
Висновок не «не вмикайте», а «вмикайте з розумом»: обирайте застосунок або апаратний ключ замість SMS і ніколи не підтверджуйте вхід, якого ви не робили. Порівняння варіантів — у матеріалі про другий крок підтвердження.
Біометрія і безпарольний вхід: куди все рухається
Відбиток чи обличчя на смартфоні працюють інакше, ніж здається: біометричний зразок не летить на сервер. Він лише розблоковує секретну половину криптографічної пари, яка зберігається в захищеному сховищі пристрою, — і вже вона підписує запит сервісу.
Звідси й безпарольний вхід (passkeys): один жест поєднує два докази — володіння пристроєм і біометрію. Такий сценарій стійкий до фішингу, бо підпис прив'язаний до адреси справжнього сайту, і зручніший за коди. Сервісів із такою підтримкою більшає, але поки що вона є не скрізь, тож класична схема «секрет плюс підтвердження» лишається основною.
2FA і MFA: у чому різниця
MFA (багатофакторна автентифікація) — ширше поняття: два докази або більше. 2FA — її найпоширеніший окремий випадок. У компаніях MFA для віддаленого доступу, пошти та адміністративних панелей — стандартний захід контролю доступу в системі управління інформаційною безпекою, а не питання смаку: без нього одна вдала фішингова розсилка відкриває периметр. У політиці варто фіксувати не лише сам обов'язок, а й перелік винятків та компенсаційних заходів для них — інакше винятки тихо стають правилом.
Розмовні назви — «двоетапна перевірка», «двофакторна авторизація», «верифікація входу» — у більшості інтерфейсів позначають те саме; чому вони не тотожні термінологічно, ми пояснили окремо.
Що робити, якщо запит на підтвердження прийшов несподівано
Сповіщення «підтвердіть вхід», якого ви не ініціювали, означає одне: ваш перший доказ уже в чужих руках. Порядок дій простий:
- Не підтверджувати — і не відхиляти автоматично, а спершу прочитати, який сервіс і звідки запитує.
- Змінити пароль до цього сервісу, а також скрізь, де ви його повторювали.
- Переглянути активні сеанси в налаштуваннях безпеки й завершити всі, крім поточного.
- Перевірити пристрій антивірусом — якщо запити повторюються після зміни секрету, справа може бути в зараженні.
Не варто ігнорувати й нічні серії запитів: це не збій, а спроба дотиснути вас утомою. Заразом перевірте, чи не фігурує ваша поштова адреса у відомих витоках — публічні сервіси перевірки показують це безкоштовно.
Де вмикати 2FA першою чергою в компанії
Захист від масової атаки визначається найслабшим входом, тож 2FA. Автентифікація з двома доказами потрібна передусім там, де вхід відкриває решту:
- корпоративна пошта — точка відновлення паролів до всіх інших сервісів;
- віддалений доступ і VPN — периметр, який зловмисник шукає першим;
- адміністративні панелі та хостинг — тут ціна одного входу найвища;
- фінансові й облікові системи — прямі гроші та персональні дані.
Окрема пастка — технічні та сервісні записи, які «не можна» захистити другим кроком. Для них використовують не пароль, а ключі й обмеження за адресою й правами: якщо додатковий доказ технічно неможливий, компенсуйте його звуженням доступу.