Защита учётной записи
Раздел справочника: пароли, двухфакторная аутентификация и цифровая гигиена
Защита аккаунта
Практическое руководство по двухфакторной аутентификации, гигиене паролей и базовым правилам безопасности. Разберём, что действительно защищает вход, а что лишь создаёт видимость защиты.
Что действительно защищает вход
Защита учётной записи держится на трёх опорах: длина и уникальность пароля, второй фактор входа и аккуратность в браузере. Если выпадает одна опора, остальные работают хуже. Уникальный пароль не спасёт, когда его вводят на поддельной странице. Второй фактор не поможет, если код подтверждения диктуют «сотруднику поддержки». А привычка входить с чужого устройства сводит на нет и то, и другое.
Ниже — порядок действий, который разумно пройти один раз и затем поддерживать. Он не требует специальных программ и не занимает много времени. Важно другое: пройти его до того, как что-то пойдёт не так.
Если вы только начинаете разбираться с доступом, полезно сначала прочитать материал о том, как работает Tor и скрытые сервисы, а затем вернуться к этой странице.
Работа за компьютером в холодном дневном свете: то, что происходит на экране, не всегда видно рядом стоящему.
Проверьте себя: где сейчас слабое место
Пять вопросов, на которые стоит ответить честно. Это не тест с оценкой — просто способ увидеть, какой шаг делать первым.
Один пароль на нескольких сайтах
Если где-то произошла утечка, тот же пароль сразу становится ключом ко всем остальным входам. Начните с разделения паролей по важности.
Второй фактор не включён
Один пароль без второго шага держится на одном секрете. Даже простая проверка кодом из приложения заметно усложняет чужой вход.
Коды подтверждения приходят в сообщениях
Код в сообщении зависит от оператора связи. Если тот же код можно получить в приложении, выберите приложение.
Восстановление доступа не настроено
Если доступ пропадёт, восстановление будет опираться на то, что вы подготовили заранее: резервные коды, второй адрес, отдельное устройство.
Вход с чужих устройств
Публичный компьютер и чужая сеть оставляют следы, которые вы не контролируете. Лучше планировать вход только со своих устройств.
Порядок первой настройки
Пять шагов, которые разумно пройти подряд. Каждый занимает несколько минут, но вместе они меняют то, как выглядит вход для постороннего.
Наведите порядок в паролях
Начните с почты и всего, что связано с доступом к другим сервисам. Для каждого места — свой пароль, достаточно длинный, чтобы его нельзя было угадать по личным данным.
Шаг 1
Подключите менеджер паролей
Менеджер хранит длинные пароли и подставляет их только на нужном адресе. Запомнить придётся один основной пароль вместо десятков.
Шаг 2
Включите двухфакторную аутентификацию
Второй фактор добавляет шаг, который трудно пройти без вашего устройства. Начните с почты, затем пройдите по остальным важным входам.
Шаг 3
Сохраните резервные коды
Резервные коды выдают один раз, при включении второго фактора. Держите их отдельно от устройства, на котором стоит приложение.
Шаг 4
Проверьте устройства и сессии
Просмотрите список устройств, с которых открывался доступ. Незнакомые сессии стоит закрыть, а пароль после этого — сменить.
Шаг 5
Как выглядит попытка забрать доступ
Две ситуации, которые легко перепутать. Разница не в оформлении страницы, а в том, кто первым просит данные.
Обычный вход
Вы сами открываете нужный адрес и вводите пароль на нём. Второй фактор запрашивает ваше устройство, а не человек.
Никто не торопит и не просит код в переписке. Ссылку вы набрали или сохранили сами.
Если что-то смущает, вы просто закрываете страницу и заходите позже с того же устройства.
Попытка подделки
Ссылку присылают первым сообщением и просят войти по ней. Адрес отличается одной буквой или другим окончанием.
Появляется причина спешить: «доступ скоро истечёт», «нужно подтвердить сейчас». Код просят прислать в ответном сообщении.
После ввода данных страница может выглядеть рабочей — но вы уже отдали пароль и код постороннему.
Подробнее о том, как отличить поддельное зеркало от настоящего, читайте в разделе Фишинг и поддельные зеркала. Правила проверки самих адресов собраны в разделе Проверка ссылок и зеркал.
Три привычки на каждый день
Настройка делается один раз, а эти привычки работают постоянно. Они не требуют усилий, но именно они закрывают большинство повседневных рисков.
Менеджер паролей
Пусть длинные пароли помнит программа
Менеджер паролей хранит уникальные пароли для каждого адреса и подставляет их только там, где нужно. Вам остаётся один основной пароль — его стоит сделать длинным и не использовать больше нигде.
Гигиена паролей
Основной пароль не вводят нигде, кроме самого менеджера.
Второй фактор
Держите код на отдельном устройстве
Приложение с кодами удобнее сообщений: код действует считанные секунды и не остаётся в переписке. Если для входа используют телефон, приложение для кодов лучше держать на другом устройстве.
Двухфакторная аутентификация
Код из сообщения — минимальный вариант, код из приложения — предпочтительный.
Браузер
Что стоит знать про отпечаток браузера
Отпечаток браузера — это набор характеристик, по которым сайты узнают устройство. Полностью скрыть его не получится, но лишние расширения и вход с чужих устройств делают картину заметнее.
Отпечаток браузера
Чем меньше случайных надстроек, тем предсказуемее и спокойнее обычный вход.
Частые вопросы
Разбор частых ситуаций
Если ваш случай здесь не описан, напишите нам — подскажем, с чего начать.
Чем код из приложения лучше кода в сообщении? Открыть
Код в сообщении проходит через оператора связи и остаётся в переписке, поэтому его проще перехватить или выпросить. Приложение генерирует код на самом устройстве, он действует короткое время и нигде не сохраняется. Если сервис предлагает оба варианта, выбирайте приложение.
Что делать, если код запрашивает незнакомый человек? Открыть
Ничего не сообщать и не подтверждать. Код подтверждает именно ваш вход, поэтому он не нужен никому другому, как бы убедительно ни звучала причина. Закройте переписку, зайдите в учётную запись сами и смените пароль, если данные уже были введены.
Можно ли пользоваться входом с чужого компьютера? Открыть
Лучше не стоит. На чужом устройстве остаются следы ввода, а проверить, нет ли там лишних программ, вы не можете. Если другого выхода нет, после такого входа смените пароль со своего устройства и завершите все сессии.
Как часто менять пароли? Открыть
Постоянный график смены не так важен, как уникальность и длина. Меняйте пароль, если он повторялся где-то ещё, если вы вводили его на незнакомой странице или если в списке устройств появилась сессия, которую вы не узнаёте.
Что делать, если доступ уже потерян? Открыть
Пройдите восстановление по тем способам, которые вы настроили заранее, и сразу после восстановления смените пароль и завершите посторонние сессии. Если восстановление опирается только на сообщение, а доступа к номеру нет, задача усложняется — поэтому резервные коды стоит сохранить заранее.
Начните с почты, остальное подождёт
Почта обычно связана со всем остальным: через неё восстанавливают доступ к другим сервисам. Если защитить только её, вы уже уберёте самый удобный путь для постороннего. Дальше — по одному входу за раз, без спешки.