2FA (двухфакторная аутентификация) — общее название всего, что биржи добавляют к паролю. За этим словом скрывается то, что у 2FA есть как минимум четыре уровня, и по реальной стойкости самый слабый и самый сильный различаются на два порядка.
Четыре уровня
Уровень 1 · Коды по SMS. Самый распространённый вариант: на телефон приходит шестизначный код. И самый слабый. Подмена SIM-карты — когда злоумышленник уговаривает оператора перевыпустить вашу SIM на свою карту — обходит его полностью. По данным ФБР, только в 2021 году в США поступило 1611 жалоб на подмену SIM с ущербом более 68 млн $.
Уровень 2 · TOTP-приложения. Google Authenticator, Authy, встроенный генератор кодов в 1Password, Яндекс Ключ. Шестизначный код меняется каждые 30 секунд, а секрет хранится на устройстве. Надёжнее SMS, потому что посередине нет оператора, но фишинговый сайт всё равно может переслать код дальше в реальном времени — наборы для фишинга против пользователей бирж именно так и работают.
Уровень 3 · Аппаратные ключи безопасности. YubiKey, Solo Key, Token2. Работают на FIDO2 и WebAuthn: браузер отдаёт подтверждение только настоящему домену, поэтому пересылка через фишинговый сайт не срабатывает на уровне самого протокола. Многие крупные биржи поддерживают этот уровень — проверьте в настройках безопасности своей.
Уровень 4 · Ключ доступа (passkey). То же семейство протоколов, что и у аппаратных ключей, но секрет хранится на самом устройстве (Secure Enclave в iPhone, TEE в Android, связка ключей macOS) и синхронизируется через «Связку ключей iCloud» или менеджер паролей Google. Самое заметное за десятилетие улучшение удобства в защите аккаунтов.
Что от чего защищает
От пересылки кодов через фишинговый сайт защищают только уровни 3 и 4. От подмены SIM — уровни со второго по четвёртый. SMS-коды формально дают «два фактора», а на деле — единую точку отказа, которая зависит от колл-центра оператора связи.
Как выбрать
Если на бирже лежит немного, так что и потерять не страшно: TOTP плюс распечатанные коды восстановления в ящике стола. Если больше — аппаратный ключ или ключ доступа. YubiKey 5C NFC стоит 58 $ в официальном магазине Yubico; купите два — основной и запасной в несгораемом сейфе. Ключ доступа бесплатен, если у вас уже есть iPhone или современный Android.
Каким бы ни был ваш капитал, откажитесь от SMS-кодов сегодня же на всех биржевых аккаунтах. Дополнительное чтение: Правда о двухфакторной защите, Подмена SIM-карты, YubiKey.