2FA (двофакторна автентифікація) — загальна назва всього, що біржі додають до пароля. За нею ховається те, що у 2FA є щонайменше чотири рівні, і між найнижчим і найвищим — різниця у стійкості на два порядки.
Чотири рівні
Рівень 1 · SMS-коди. Найпоширеніший варіант: на телефон приходить шестизначний код. І найслабший. Підміна SIM-картки — коли зловмисник умовляє оператора (Київстар, Vodafone, lifecell) перевипустити SIM-картку з вашим номером для нього — повністю його обходить. А кібератака на «Київстар» у грудні 2023 року, що на кілька днів залишила абонентів без зв'язку, показала, наскільки вразливою буває сама телекомунікаційна інфраструктура.
Рівень 2 · Застосунок-автентифікатор (TOTP). Google Authenticator, Authy, вбудовані одноразові коди в 1Password чи Microsoft Authenticator. Шестизначний код, що змінюється кожні 30 секунд; секрет для нього зберігається на вашому пристрої. Надійніше за SMS, бо оператора в ланцюжку немає, але фішинговий сайт усе ще може перехопити код і тут же ним скористатися — фішингові набори, націлені на користувачів бірж, саме так і роблять.
Рівень 3 · Апаратні ключі безпеки. YubiKey, Solo Key, Token2. Працюють на FIDO2 / WebAuthn: браузер передає підтвердження лише справжньому домену, тож перехоплення через фішинговий сайт ламається на рівні протоколу. Чимало великих бірж підтримують цей рівень; чи підтримує ваша, дивіться в налаштуваннях безпеки акаунта.
Рівень 4 · Ключ доступу (passkey). Та сама родина протоколів, що й апаратні ключі, але секрет зберігається на самому пристрої (Secure Enclave в iPhone, TEE в Android, зв'язка ключів macOS) і синхронізується через «Зв'язку ключів iCloud» або Менеджер паролів Google. Найбільше покращення зручності в безпеці акаунтів за останнє десятиліття.
Що від чого захищає
Від перехоплення через фішинговий сайт захищають лише рівні 3 і 4. Від підміни SIM-картки — рівні з 2-го по 4-й. SMS-2FA формально дає «два фактори», а на практиці — єдину точку відмови, прив'язану до кол-центру мобільного оператора.
Як обрати
Якщо на біржі лежить зовсім небагато, така сума, через яку ви не втратите сон: застосунок-автентифікатор плюс роздруковані коди відновлення в шухляді. Якщо більше — апаратний ключ або ключ доступу. YubiKey 5C NFC в офіційному магазині Yubico коштує $58; купіть два — основний і резервний у вогнетривкому сейфі. Ключ доступу безкоштовний, якщо у вас уже є iPhone або сучасний Android.
Незалежно від суми: сьогодні ж відмовтеся від SMS-2FA на всіх біржових акаунтах. Що почитати далі: Правда про 2FA, Підміна SIM-картки, YubiKey.