2FA і ключі доступу для криптоакаунтів

Для 2FA на криптобіржі чи іншому криптоакаунті використовуйте ключ доступу (passkey) або апаратний ключ безпеки, якщо сервіс їх пропонує, застосунок-автентифікатор, якщо не пропонує, а SMS-коди — лише в крайньому разі. Різниця у фішингу: ключ доступу чи ключ безпеки прив’язаний до справжнього сайту й просто не спрацює на фальшивому, а шестизначний код можна ввести на підробленій сторінці так само легко, як на справжній.

Двофакторна автентифікація за надійністю

SMS-коди — найслабші. Код, надісланий повідомленням, можна вкрасти через підміну SIM-картки (SIM swap), коли зловмисник переконує вашого мобільного оператора перенести ваш номер на його SIM-картку. Власники криптовалюти — улюблена ціль цієї атаки. SMS краще, ніж нічого, але вони не повинні охороняти те, що вам було б дуже шкода втратити.

Застосунки-автентифікатори (TOTP) — добре. Застосунок кожні 30 секунд генерує новий шестизначний код із секрету, що зберігається на вашому телефоні. Оператор не залучений, тож підміна SIM-картки не спрацює. Одного вкраденого пароля вже недостатньо, але фальшивий сайт усе одно може попросити код і передати його справжньому протягом цих 30 секунд. Збережіть коди налаштування офлайн: якщо телефон загубиться, саме вони повернуть вам доступ.

Апаратні ключі безпеки — надійно. Маленький USB- або NFC-ключ, яким ви торкаєтеся пристрою, щоб увійти, за стандартом FIDO2. Ключ перевіряє, який сайт питає, тож схожий домен нічого не отримає. Зареєструйте два ключі й тримайте запасний у безпечному місці.

Ключі доступу — надійно і простіше. Ключ доступу (passkey) — та сама ідея FIDO, яку зберігає ваш телефон, комп’ютер або менеджер паролів, а відкриваєте ви його відбитком пальця, обличчям чи PIN-кодом пристрою. Він може повністю замінити пароль, прив’язаний до домену справжнього сайту, і на фальшивій сторінці нема чого вводити. FIDO Alliance пояснює, як вони працюють. Якщо сервіс пропонує ключі доступу, користуйтеся ними.

Налаштування, що важать не менше

• Білий список адрес для виведення. Багато бірж дозволяють виводити кошти лише на адреси, які ви додали раніше, часто з періодом очікування для нових. Якщо хтось проникне в акаунт, він не зможе одразу надіслати монети собі.
• Ваша пошта. Листи для скидання паролів приходять на пошту, тож їй потрібен такий самий захист: надійний унікальний пароль і ключ доступу або ключ безпеки.
• Антифішинговий код. Деякі біржі дозволяють задати слово, яке з’являється в кожному справжньому листі від них. Лист без нього — не від них.
• Унікальні паролі. Користуйтеся менеджером паролів і всюди ставте різні паролі, щоб один зламаний сайт не відчинив решту.
• API-ключі. Якщо ви створювали API-ключі біржі для бота чи трекера, видаліть ті, якими вже не користуєтеся, і ніколи не давайте ключу права на виведення.

Налаштування по порядку

• Спершу пошта. Дайте поштовій скриньці надійний унікальний пароль і ключ доступу або ключ безпеки, бо через неї проходить кожне інше скидання.
• Потім кожна біржа. Додайте ключ доступу або ключ безпеки, якщо їх пропонують, інакше — застосунок-автентифікатор.
• Збережіть резервні коди, які показує кожен сервіс, на папері, разом з іншими офлайн-копіями.
• Приберіть SMS як запасний спосіб, коли надійніший метод запрацює, якщо сервіс це дозволяє.
• Увімкніть білий список адрес для виведення і додайте адреси власних гаманців.

Від чого 2FA не захищає

2FA захищає акаунти: біржі, пошту, трекери. Для гаманця, який ви контролюєте самі, вона нічого не дає: там єдиний ключ, що має значення, — сід-фраза, і ось як її зберігати. І вона не завадить вам схвалити переказ, до якого вас підштовхнули обманом; про ці трюки — у посібнику поширені криптошахрайства.

Цей посібник пояснює, як усе працює. Це не фінансова, інвестиційна чи податкова порада. Знайшли помилку? Напишіть на hi@perly.io, і ми виправимо.