Приложения 2FA на Android, iOS, Windows и macOS для  безопасности на криптовалютных биржах и не только

Если вы используете двухфакторную аутентификацию с одноразовыми кодами, сгенерированными приложением, например с помощью Google Authenticator, то его уже не обязательно использовать. За последнее десятилетие появилось множество альтернатив, превосходящих оригинальное предложение Google по удобству и функциональности.

Первоначально было доступно всего несколько приложений для аутентификации, но сейчас их несколько десятков, поэтому легко растеряться в выборе. В этой статье мы обсудим 6 наиболее известных приложений, классифицированных в соответствии с соответствующими операционными системами.

Теперь давайте подробно рассмотрим каждое приложение-аутентификатор, выделив его преимущества, недостатки. Далее познакомимся с процессом прохождения аутентификацию на крипто бирже, и позаботимся о резервной копию.

1. Google Authenticator

Операционные системы: Android, iOS

Если вы оказались в этом посте, то, скорее всего, вы уже знаете о Google Authenticator и ищете ему альтернативу. Однако не упомянуть об этом приложении было бы как минимум странно — все-таки оно до сих пор остается невероятно популярным. Кроме того, аутентификатор Google удобно рассматривать как базовый вариант, по сравнению с которым другие программы имеют те или иные достоинства и недостатки.

Google Authenticator — это достаточно удобный инструмент аутентификации, который устраняет необходимость синхронизации токенов в облаке. С помощью этого приложения пользователи могут легко экспортировать все введенные токены в виде одного QR-кода и легко импортировать их на новое устройство. В версии для iOS недавно появился поиск по тегам и защита входа в систему с помощью Touch ID/Face ID, но в версии для Android эти функции отсутствуют. Следует отметить, что Google Authenticator не предоставляет возможности скрыть сгенерированные коды, что может создавать неудобства при использовании в общественных местах. Кроме того, стоит отметить, что аутентификаторы Android блокируют возможность делать снимки экрана.

Достоинства:

• Не требует создания аккаунта
• В iOS-версии вход в приложение защищен Face ID / Touch ID
• Простой интерфейс и минимум настроек
• Позволяет экспортировать и импортировать весь набор токенов в виде одного большого QR-кода
• В iOS-версии есть поиск по токенам
• Есть бэкап/синхронизации через облако

Недостатки:

• В Android-версии нет защиты входа в приложение
• Не скрывает коды
• Из-за легкости экспорта токенов больше рисков в случае, если разблокированное приложение попадет в чужие руки

2. Microsoft Authenticator

Операционные системы: Android, iOS

Microsoft Authenticator часто предпочитают в качестве альтернативы Google Authenticator из-за его широкой популярности. Приложение Microsoft предлагает несколько дополнительных функций, таких как возможность скрывать коды на экране, безопасный доступ к приложению как на iOS, так и на Android, а также возможность сохранять токены в облаке. Это особенно выгодно для управления учетными записями Microsoft, поскольку устраняет необходимость вводить код вручную; достаточно простого нажатия на кнопку подтверждения входа.
Однако следует учитывать и недостатки. Во-первых, в версиях приложения для Android и iOS используются несовместимые системы облачного резервного копирования, что делает неудобным перенос токенов между устройствами с разными операционными системами.

Во-вторых, Microsoft Authenticator требует значительно больше места для хранения по сравнению с Google Authenticator: около 150-200 МБ против 15-20 МБ.

Достоинства:

• Вход в приложение защищен ПИН-кодом, отпечатком пальца или Face ID
• Бэкап/синхронизация через облако
• Скрывает коды
• Может работать без аккаунта (если не включать бэкап в облако)
• Существенно упрощает вход в учетную запись Microsoft
• В iOS-версии есть поддержка Apple Watch

Недостатки:

• В Android-версии для бэкапа/синхронизации нужно войти в аккаунт Microsoft
• Системы бэкапа/синхронизации для iOS и Android несовместимы друг с другом
• Нет экспорта/импорта токенов
• Занимает неприлично много места в памяти — 150-200 Мбайт
  

3. Яндекс.Ключ.

Операционные системы: Android, iOS

Яндекс.Ключ. аналогичен Microsoft Authenticator, предлагая аналогичные функции без обязательной регистрации. Он упрощает вход в учетные записи Яндекса, заменяя пароли либо сканированием QR-кода, либо вводом уникального восьмибуквенного кода, сгенерированного аутентификатором. Включение двухфакторной аутентификации в Яндекс.Ключе также активирует «пароли приложений», которые могут потребовать повторной аутентификации на всех устройствах и почтовых клиентах.

Яндекс.Ключ предоставляет возможность сохранять токены в облаке, требуя входа в учетную запись. Вместо использования плиток иконок Яндекс.Ключ использует карусель, навигация по которой может быть неудобной при большом количестве токенов.

Достоинства:

• Может работать без аккаунта (если не включать бэкап в облако)
• Вход защищен собственным ПИН-кодом приложения
• Бэкап/синхронизация через облако
• Дополнительная защита токена «Яндекса» ПИН-кодом
• Код заменяет пароль для входа в аккаунт «Яндекс», а не дополняет его (также можно подтвердить вход сканированием QR-кода)

Недостатки:

• На экране всегда показывается только один токен
• Если токенов много, то искать нужный не очень удобно
• Код активного в данный момент токена невозможно скрыть (кроме токена аккаунта «Яндекс», который защищен ПИН-кодом)
• Для бэкапа/синхронизации нужно завести аккаунт
• Нет экспорта/импорта токенов
  

4. Twilio Authy

Операционные системы: Android, iOS

Twilio Authy предлагает значительное преимущество в виде комплексной мультиплатформенной поддержки. Приложение легко синхронизируется с различными операционными системами, обеспечивая совместимость. Однако одним недостатком является требование создания учетной записи, связанной с номером телефона, для эффективного использования приложения.

Интерфейс Authy заметно отличается от других аутентификаторов, поскольку вместо обычного списка используются вкладки. Одновременно отображается только один выбранный токен, а остальные представлены маленькими значками в нижней части экрана, что приводит к необходимости переключения между ними. Это может быть менее удобно при управлении большим количеством токенов. Кроме того, хотя настольная версия позволяет отображать токены в списке, эта функция по непонятным причинам отсутствует в мобильной версии.

Достоинства:

• Вход в приложение защищен ПИН-кодом, отпечатком пальца или Face ID
• Бэкап/синхронизация через облако
• Есть приложения для всех популярных ОС
• В iOS-версии есть поддержка Apple Watch
• Поиск по токенам

Недостатки:

• Вообще не работает без аккаунта, привязанного к номеру телефона
• На экране всегда показывается только один токен
• Если токенов много, то искать нужный не очень удобно
• Код активного в данный момент токена невозможно скрыть
• Нет экспорта/импорта токенов
  

5. WinAuth

Операционные системы: Windows

WinAuth в первую очередь ориентирован на геймеров и предлагает уникальный набор функций. Он обеспечивает поддержку пользовательских токенов для аутентификации в Steam, Battle.net и играх, разработанных Trion/Gamigo. Если вы ищете альтернативу Steam Guard, Battle.net Authenticator или Glyph Authenticator/RIFT Mobile Authenticator, WinAuth — это то решение, которое вы искали.

Помимо поддержки стандартных токенов, в том числе для Guild Wars 2 и других игр NCSoft (любопытно, что они перечислены отдельно разработчиками WinAuth), приложение также охватывает популярные платформы, такие как Google, Facebook, Instagram и Twitter. WinAuth включает защиту паролем как для входа в приложение, так и для отдельных токенов. По умолчанию коды скрыты, доступна возможность шифрования хранимых и экспортируемых данных.

6. Встроенный аутентификатор iOS и macOS

Операционные системы: iOS (встроен в систему), macOS (встроен в браузер Safari)
Начиная с iOS 15, операционная система iPhone включает встроенный генератор кода одноразовой двухфакторной аутентификации. Чтобы получить к нему доступ, перейдите в «Настройки» → «Пароли». Выберите сохраненную учетную запись или создайте новую, а затем в настройках учетной записи выберите опцию «Настроить код подтверждения». Вы можете отсканировать QR-код или вручную ввести секретный ключ. Альтернативно вы можете отсканировать QR-код аутентификатора непосредственно из приложения камеры и добавить токен в существующую запись в разделе «Пароли». Однако этот метод не позволяет создавать новые записи, что может быть неудобно.

Кроме того, встроенный аутентификатор теперь доступен в macOS через Safari версии 15 и более поздних версий. Чтобы получить к нему доступ, откройте Safari, выберите Safari → Настройки → Пароли в верхней строке меню. Выберите учетную запись или создайте новую, нажмите кнопку «Изменить» и выберите «Ввести ключ настройки» (опция QR-кода здесь недоступна). Токены автоматически синхронизируются через iCloud, что устраняет необходимость повторного создания на вашем Mac, если они уже созданы на вашем iPhone.

Хотя встроенный аутентификатор iOS/macOS теоретически поддерживает автозаполнение, он может работать некорректно. Эксперимент с аккаунтом в Твиттере и двухфакторной аутентификацией с использованием этого метода дал неоднозначные результаты. Хотя вход в приложение Twitter успешно подменил код аутентификации, он не появился при попытке входа на сайт Twitter в Safari как на платформах iOS, так и на macOS.

Достоинства:

• Есть в любом айфоне (начиная с iOS 15) и любом Маc (версия ОС не важна, Safari 15 и новее)
• Не требует создания отдельного аккаунта
• Можно добавить токен прямо из приложения камеры (но только в уже имеющуюся запись, при создании новой это не работает)
• Автозаполнение кодов
• Вход защищен Touch ID или Face ID
• Бэкап/синхронизация через iCloud

Недостатки:

• Аутентификатор спрятан в глубинах настроек iOS или Safari
• На экране показывается только один токен
• Не скрывает коды
• Рядом с кодом показывается пароль от аккаунта в открытом виде (на скриншотах они скрываются)
• Хранение 2FA-токенов и паролей в одном месте противоречит идее двухфакторной аутентификации
• Нет экспорта/импорта токенов

7. Как проходить аутентификацию на крипто бирже ?

Прежде всего нужно включить двухфакторную аутентификацию. К примеру, возьмем биржу Binance.

• Переходим в настройки профиля на Binance и находим соответствующий раздел (часто находиться в разделе "безопасность"), выбираем «включить верификацию с помощью Google Authenticator».
  Пусть название не сбивает с толку, большая часть сервисов почему-то игнорирует названия других верификаторов и все называет Google Authenticator.

Далее открываем, (выбранное вами приложение двухфакторной аутентификации, например Twilio Authy), на мобильном устройстве и сканируем QR-код с Binance.

• После этого, Binance попросит сохранить код (понадобится для восстановления), ввести его на следующей вкладке, указать пароль и шифр, который выдаст Twilio Authy.
• При всех следующих входах в аккаунт Binance, понадобиться вводить код с Twilio Authy.

8. Не забудьте сделать резервную копию

На заключение хотелось бы дать несколько рекомендаций. Прежде всего, не стоит ограничиваться использованием только одного приложения-аутентификатора. В зависимости от целей, один вариант может быть предпочтительным, в то время как для других задач лучше подойдет другой. Разумно сочетать различные варианты в соответствии с индивидуальными требованиями и потребностями.

Дополнительно, мы рекомендуем обратить особое внимание на вопросы безопасности: рекомендуется установить надежную блокировку устройства и обязательно включить механизм защиты для входа в приложение. Исключительно в случае использования аутентификаторов, таких как Google Authenticator, WinAuth, которые предоставляют возможность легко экспортировать токены, риски безопасности значительно возрастают. В подобных случаях потенциальный злоумышленник имеет возможность не только наблюдать одноразовый код, действительный в течение 30 секунд, но и полностью копировать все токены.

Так же важно учесть необходимость создания резервной копии токенов, особенно при использовании приложений, которые не позволяют просмотреть секретный ключ или QR-код, или экспортировать токены в файл (что относится к большинству приложений). Создание резервной копии станет полезным в случае утери смартфона или возникновения проблем с работой приложения после обновления. В большинстве случаев восстановление аутентификатора без наличия резервной копии становится гораздо более сложной задачей.

P.S.