В цифровую эпоху проблема кражи аккаунта становится всё более актуальной как для тех, кто начинает своё знакомство со всемирной паутиной, так и для тех, кто знаком с ней несколько дольше. Методы подбора пароля совершенствуются, словари брутфорсеров пополняются, и казавшийся вчера надежным и безопасным пароль "Mi23_@poRq^34", сегодня подбирается за несколько часов на не самом современном компьютере.

Как же обеспечить защиту аккаунта от кражи.

Настройки безопасности
Для обеспечения максимальной защиты аккаунта необходимо использовать всего две настройки:
1. привязка к железу
2. двухфакторная авторизация

В случае, если ваши пароли для игры и форума были скомпрометированы(похищены), эти настройки не дадут злоумышленникам попасть в игру или на форум.

Привязка к IP является дополнительным способом защиты, но практически теряет свою актуальность при наличии двухфакторной авторизации.

Двухфакторная авторизация
Если с привязкой к железу и IP всё должно быть понятно, то о двухфакторной авторизации поговорим чуть подробнее.

Двухфакторная авторизация - это метод защиты аккаунта с дополнительным подтверждением владельца. Другими словами, для авторизации необходимо ввести не только свои логин и пароль, но и дополнительный цифровой код (одноразовый пароль).

И так, первым делом устанавливаем приложение на мобильный телефон. Мы выбрали Google Authenticator, который доступен для большинства современных платформ - Android, iOS, JavaME, BlackBerry OS. При желании можно найти аналогичные приложения и для Windows Phone. Затем переходим в раздел безопасности в профиле, вкладка "Двухфакторная авторизация". На этой странице можно ознакомиться с основными рекомендациями по использованию двухфаккторной авторизации и включить её, что мы и делаем.

На следующем шаге система генерирует слуйчайный секретный ключ. Этот ключ уникален для вашего аккаунта, никогда и никому его не показывайте и не передавайте. Именно его и необходимо занести в установленное приложение. Сделать это можно двумя способами: либо отсканировав QR код, либо руками добавив в настройках.

С первым вариантом должно быть всё ясно, нажимаем "настроить аккаунт", далее "сканировать штрихкод", всё, ключ готов к использованию. При ручном добавлении необходимо ввести ключ самостоятельно с соблюдением регистра букв, а в поле 2d (см. скрин ниже) выбрать "по времени" ("time based" на скрине)

Т.к. генерация одноразового пароля основана в том числе и на текущем времени, необходимо, чтобы разница во времени на вашем устройстве и наших серверах была не более 10-15 секунд без учета часового пояса, в противном случае двухфакторной авторизацией пользоваться будет затруднительно, если вообще возможно. Для соблюдения этого нужно убедиться в точности времени на устройстве, либо, что лучше, выставить автоматическую синхронизацию времени. Помните: одноразовые пароли действительны только 30 секунд и срабатывают только один раз (оправдывая свое название).

Чтобы убедиться, что вы сделали всё верно, последним шагом надо ввести однаразовый пароль для подтверждения включения двухфакторной авторизации. Если всё прошло успешно, то на этом настройка заканчивается. Если одноразовый пароль не подходит, убедитесь, что время на устройстве достаточно точное, вы успеваете ввести одноразовый пароль до истечения его времени действия (оставшееся время показывает соответствующий индикатор справа), если вы вводили ключ вручную, проверьте правильность ввода.

О мерах безопасности и надежности
Центральным звеном, как понятно из статьи, является секретный ключ. В целях безопасности он отображается только один раз во время включения двухфакторной авторизации. После этого в профиле, как и в программе для генерации одноразовых паролей, посмотреть его больше нельзя.
Поэтому относительно секретного ключа есть два варианта:
1. Рекомендуемый для всех - нигде его не сохранять ни в каком виде. Если он нигде больше не сохранен, его не могут получить третьи лица, ваш аккаунт в полной безопасности. В случае утери настроек для приложения (не важно по каким причинам), отключать двухфакторную авторизации на странице авторизации и снова включать через настройки.
2. Для тех, кто пользуется программами типа KeePass и аналогичными (все данные в которых шифруются по вашему паролю). Ключ можно сохранять в них и восстанавливать при необходимости в приложениях. Т.е. этот вариант для тех, кто точно уверен, что может обеспечить отсутствие свободного доступа к ключу. Оптимальным вариантом является использование таких программ на мобильных телефонах с бэкапами в каком-либо облаке.

Перехватывать же одноразовые пароли бессмысленно, как уже говорилось выше, они срабатывают один раз и то в течение определённого времени. Но это не значит, что можно сообщать их кому-либо ещё: если вы сами не воспользовались текущим паролем и отправили его третьему лицу, есть вероятность, что он успеет ввести этот пароль до истечения времени действия.

В виду всех этих обстоятельств, получить доступ можно только имея физически в руках ваш телефон, что практически невозможно ("практически" оставим лучшим друзьям, которые "что-то делали, когда я выходил в соседнюю комнату на пять минут").

Но все эти рекомендации не означают, что нужно пренебрегать защитой паролей.
Помните: чем меньше злоумышленник знает о вашем аккаунте, тем сложнее ему получить к нему доступ. Двухфакторная авторизация только усложняет доступ к аккаунту, но не является 100% гарантией защиты. Всегда остается небольшой шанс хищения секретного ключ, особенно, если вы его где-либо сохранили. Да и методы социальной инженерии никто не отменял.

Поэтому никогда и никому не давайте свой пароль, не отключайте двухфакторную авторизацию по чьей-либо просьбе, не передавайте секретный ключ и не сообщайте одноразовые пароли. Для друзей и знакомых существует временный доступ.