Passkey, TOTP чи SMS: як захистити акаунт біржі

Перед початком

Використовуйте passkey для входу на біржу, якщо вона його підтримує, і заздалегідь підготуйте резервний доступ. Якщо passkey немає, застосунок-аутентифікатор зазвичай буде кращим початком, ніж SMS: його коди не залежать від контролю над вашим номером. Водночас фішингова сторінка може викрасти код із застосунку. У цьому посібнику порівнюємо варіанти й перевіряємо відновлення до того, як ви втратите телефон.

Інструкції стосуються особистих акаунтів централізованих бірж. Для початку потрібні доступ до прив’язаної пошти та справний телефон або комп’ютер із блокуванням екрана. Також може знадобитися сумісний апаратний ключ безпеки. Звіряйтеся з офіційною довідкою біржі: вхід, підтвердження виведення й відновлення можуть вимагати різних перевірок.

Як працює кожен спосіб

Біржа надсилає SMS із кодом на ваш номер. Зловмисник, який отримає цей номер через шахрайську заміну SIM-картки або перенесення номера, може читати такі повідомлення. Фальшива сторінка входу також здатна перехопити SMS-код і передати його справжній біржі.

Застосунок-аутентифікатор створює коди із секрету, збереженого під час налаштування. Тут ідеться про TOTP, тобто одноразові паролі, які залежать від часу. Застосунок може генерувати їх без мобільного зв’язку. QR-код налаштування містить дані для створення відповідних кодів, тому не надсилайте його в чат і не зберігайте в загальній папці зі скриншотами. Власник копії секрету може створювати такі самі коди.

Passkey використовує криптографію з відкритим ключем. Біржа зберігає відкритий ключ, а пристрій чи менеджер облікових даних керує закритим. Ви дозволяєте його використання через PIN-код або відбиток пальця. За коректної реалізації система прив’язує підтвердження до потрібного сервісу: інший фішинговий домен не отримає відповідь, придатну для справжньої біржі.

Passkey може замінювати пароль або брати участь у додатковій перевірці. Тому порівняння «passkey чи 2FA» потребує уточнення: двофакторна автентифікація описує перевірку факторів, а passkey означає технологію облікових даних. Прочитайте, як її застосовує ваша біржа.

Що означає стійкість до фішингу

Рядок про апаратний ключ стосується FIDO2/WebAuthn, а не кожного токена, що показує цифри. NIST пояснює: одноразові коди, які вводять вручну, не є стійкими до фішингу, бо підставний сайт може передати їх справжньому сервісу. Стійкість до фішингу описує протокол автентифікації, а не захист від будь-якого викрадення акаунта.

Перевірте відновлення перед зміною входу

Відкрийте біржу через офіційний застосунок або збережену закладку. Перелічіть способи входу та перевірте порядок відновлення. З’ясуйте, чи приймає біржа інший зареєстрований ключ, чи видає резервні коди та чи вимагає перевірки особи, коли основний спосіб недоступний.

Прочитайте про строки очікування й обмеження операцій в офіційній довідці. Чужий досвід відновлення не визначає строк для вашого акаунта. Зберігайте робочий спосіб, доки не перевірите заміну.

Захистіть і прив’язану пошту. Перевірте пароль, захист входу та дані відновлення. Зловмисник із доступом до скриньки може розпочати окрему процедуру відновлення акаунта біржі навіть за надійного основного способу входу.

Налаштуйте й перевірте passkey

1. Оновіть систему та браузер. Увімкніть блокування екрана й використовуйте особистий пристрій, який контролюєте.
2. Відкрийте налаштування безпеки біржі та знайдіть passkey. Звіряйте кроки з поточною офіційною довідкою платформи.
3. Виберіть місце зберігання. Система може запропонувати менеджер облікових даних, телефон чи сумісний апаратний ключ. Перевірте, чи синхронізується вибраний варіант між пристроями.
4. Завершіть системне підтвердження. Переконайтеся, що біржа показує новий спосіб, і за можливості дайте йому зрозумілу назву.
5. Залиште поточну робочу сесію відкритою. Перевірте новий вхід в іншому профілі браузера чи на довіреному пристрої. Для цього не використовуйте публічний комп’ютер.
6. Зареєструйте та перевірте резерв. Після цього перегляньте старі способи, зокрема SMS, з урахуванням правил біржі.

В офіційних прикладах Coinbase є passkey із резервним апаратним ключем або два апаратні ключі. Інші біржі можуть пропонувати інші поєднання. Доступність залежить від акаунта та підтримуваних пристроїв.

Для синхронізованого passkey перевірте захист відновлення менеджера облікових даних. Apple описує наскрізне шифрування iCloud Keychain і додаткові перевірки доступу до в’язки ключів. Не припускайте, що всі постачальники застосовують однакову модель. Облікові дані FIDO2, прив’язані до пристрою, зазвичай залишаються на фізичному ключі, тому заздалегідь зареєструйте придатний резерв.

Використовуйте аутентифікатор, якщо passkey недоступний

Установіть вибраний застосунок з офіційного магазину. У налаштуваннях біржі ввімкніть коди аутентифікатора, відскануйте QR-код і введіть поточний код для завершення. Переконайтеся, що біржа показує спосіб як активний.

Перевірте зберігання в самому застосунку. Одні налаштування залишають секрети на пристрої, інші синхронізують через акаунт. Google Authenticator підтримує обидва варіанти. Якщо ви користуєтеся ним без акаунта Google, коди треба переносити окремою дією. Перевірте перенесення, поки старий телефон працює.

Якщо код не підходить, перевірте автоматичне налаштування часу та правильність вибраного запису біржі. Не видаляйте запис як спосіб усунення помилки. Без секрету налаштування ви можете втратити робочі облікові дані.

Збережіть резервні коди біржі, якщо вони є. Тримайте їх у місці, доступному без телефона й без входу до самої біржі. Копія всередині акаунта, який вона повинна допомогти відновити, може виявитися недоступною саме тоді, коли знадобиться.

Відпрацюйте сценарій втрати телефона

Уявіть, що залишили телефон у таксі й хочете ввійти з домашнього комп’ютера. Чи має він доступ до синхронізованого passkey? Яке підтвердження попросить менеджер? Якщо облікові дані є лише на втраченому телефоні, яким зареєстрованим резервом ви скористаєтеся?

Перевірте резервний вхід, поки основний спосіб доступний. Переконайтеся, що можете відкрити налаштування безпеки. Не запускайте скидання акаунта заради тесту. Зберігайте резерв окремо: запасний ключ у чохлі телефона може зникнути разом із ним.

Після справжньої втрати дотримуйтеся інструкцій біржі та виробника пристрою. Коли повернете контроль, видаліть втрачені облікові дані, перегляньте сесії та зареєструйте заміну. Google описує видалення passkey втраченого пристрою з акаунта Google; ця процедура не замінює інструкції відновлення вашої біржі.

Перевірте виведення та сторонній доступ

З’ясуйте, що вимагає біржа для додавання адреси виведення, зміни пароля чи вимкнення автентифікації. Якщо є список дозволених адрес, прочитайте правила затримки та внесення змін, перш ніж на нього покладатися.

Перегляньте API-ключі й підключені застосунки. Видаліть непотрібний доступ і перевірте дозволи решти. Перегляд балансу та виведення коштів створюють різні ризики. Надавайте лише дозволи, потрібні сервісу для вашої задачі.

Якщо співрозмовник від імені підтримки просить коди, секрети налаштування чи віддалений доступ, завершіть розмову й перевірте запит через офіційний застосунок. Цей випадок ми розібрали в посібнику про підроблену підтримку.

Якщо ви вже передали код

З довіреного пристрою скористайтеся блокуванням акаунта чи переказів, якщо біржа це пропонує. Наприклад, Coinbase описує Security Lock, який завершує сесії та обмежує операції до розблокування. У вашої біржі може бути інша процедура.

Зверніться до офіційної підтримки й збережіть час, адресу фішингової сторінки та дані підозрілих операцій. Перевірте пошту і зміни способів входу. Якщо дозволили віддалений доступ, відновлюйте контроль з іншого довіреного пристрою. Додавання passkey після інциденту не скасує операції, які зловмисник уже виконав.