Основи двофакторної аутентифікації: повний гід 2026

Навіть ідеально унікальний пароль з високою ентропією може бути скомпрометований через фішинг, кейлогери, атаки "людина посередині" або витоки на стороні сервера. Дослідження Google 2019 року показало, що додавання номера телефону для відновлення (базовий другий фактор) заблокувало 100% автоматизованих бот-атак, 99% масових фішингових атак та 66% цілеспрямованих атак. Більш досконалі методи MFA, такі як апаратні ключі, заблокували 100% усіх трьох типів атак.

Двофакторна аутентифікація (2FA), також відома як багатофакторна аутентифікація (MFA), вимагає підтвердження ідентичності двома різними типами доказів: щось, що ви знаєте (пароль), щось, що ви маєте (телефон, апаратний ключ) або щось, чим ви є (відбиток пальця, обличчя).

Три основних методи 2FA у 2026 році: одноразові паролі на основі часу (TOTP) через застосунки-аутентифікатори, апаратні ключі безпеки FIDO2/WebAuthn та SMS або голосові коди.

TOTP (Time-based One-Time Password) застосунки генерують новий 6-значний код кожні 30 секунд на основі спільного секрету, встановленого при налаштуванні. Код обчислюється локально на вашому пристрої — інтернет-з'єднання не потрібне. Популярні TOTP-застосунки: Google Authenticator, Microsoft Authenticator, Authy та Aegis (open-source для Android).

Для налаштування TOTP сервіс показує QR-код зі спільним секретом. Ваш застосунок-аутентифікатор сканує цей код і зберігає секрет. Відтоді застосунок генерує коди, що відповідають очікуванням сервера.

Обмеження TOTP: 30-секундне вікно означає, що коди короткий час вразливі до фішингу в реальному часі. TOTP також не перевіряє ідентичність сайту — ви можете ввести код на фішинговому сайті. Тут апаратні ключі забезпечують кращий захист.

Апаратні ключі FIDO2/WebAuthn (YubiKey, Google Titan, SoloKeys) забезпечують найнадійнішу доступну споживчу 2FA. При реєстрації ключ генерує унікальну криптографічну пару ключів. При вході ключ підписує виклик сервера, що включає домен сайту. Це прив'язування до домену робить апаратні ключі імунними до фішингу.

YubiKey 5 серії підтримує USB-A, USB-C, NFC та Lightning, охоплюючи практично кожен пристрій. Google Titan Keys пропонують USB-A/USB-C та Bluetooth. SoloKeys надають ключі FIDO2 з відкритим кодом. Ціни від $25-75 за ключ.

Для повного захисту придбайте щонайменше два ключі: зареєструйте обидва з кожним сервісом, використовуйте один щодня та зберігайте інший у безпечному місці як резерв.

Розгортання апаратних ключів швидко розширюється. Google, Microsoft, Apple, GitHub, Cloudflare, Facebook та більшість великих сервісів тепер підтримують ключі FIDO2.

SMS-2FA надсилає одноразовий код на ваш номер телефону. Хоча це краще, ніж відсутність 2FA, SMS має задокументовані вразливості. SIM-swapping — коли зловмисник переконує оператора перевести ваш номер на свою SIM-картку — є найсерйознішою загрозою. У 2024 році ФБР повідомило про понад $68 мільйонів збитків від SIM-swap атак.

Вразливості протоколу SS7 дозволяють технічно досвідченим зловмисникам перехоплювати SMS без фізичного доступу до вашого телефону.

Попри ці слабкості, SMS-2FA драматично краща за відсутність 2FA. Якщо сервіс пропонує лише SMS-MFA, увімкніть її. Переважна більшість компрометацій акаунтів спрямована на акаунти без другого фактору взагалі.

Пріоритет 1 — Акаунти електронної пошти: ваш email — точка відновлення майже для кожного іншого акаунту. Скомпрометована пошта означає, що зловмисник може скинути паролі всюди.

Пріоритет 2 — Фінансові акаунти: банкінг, інвестиційні платформи, криптобіржі та платіжні сервіси. Ці акаунти містять прямий доступ до ваших грошей.

Пріоритет 3 — Хмарне сховище та робочі акаунти: Google Workspace, Microsoft 365, Dropbox, iCloud.

Пріоритет 4 — Соціальні мережі: Facebook, Instagram, Twitter/X, LinkedIn. Ці акаунти використовуються для атак соціальної інженерії та як OAuth-провайдери.

Пріоритет 5 — Покупки та стримінг: Amazon, Netflix, Spotify. Увімкніть MFA на будь-якому акаунті зі збереженими платіжними даними.

При увімкненні 2FA більшість сервісів надають набір одноразових резервних кодів (зазвичай 8-10 кодів). Це ваш екстрений метод доступу при втраті 2FA-пристрою. Поводьтеся з ними як з мастер-паролем — вони фактично є обходом вашого другого фактора.

Зберігайте резервні коди у менеджері паролів як безпечну нотатку. Якщо менеджер також захищений MFA, забезпечте незалежний шлях відновлення (резервні коди на папері у сейфі або резервний апаратний ключ).

Плануйте ієрархію відновлення: критичні акаунти потребують щонайменше два незалежних методи відновлення.

Використання одного номера телефону для 2FA та відновлення акаунту. Якщо зловмисник здійснить SIM-swap, він отримає доступ і до ваших 2FA-кодів, і до механізму відновлення.

Відсутність резервних кодів або резервного методу аутентифікації. Якщо телефон загублений, вкрадений або зламаний, вам потрібен альтернативний спосіб доступу.

Скріншоти QR-кодів при налаштуванні TOTP. QR-код містить секрет, що генерує ваші OTP-коди. Скріншот у фотоплівці може бути доступний будь-якому додатку з дозволами на фото.

Підтвердження несподіваних push-повідомлень. Зловмисники надсилають повторні спроби входу, сподіваючись на підтвердження від втоми — це називається MFA fatigue або push bombing. Ніколи не підтверджуйте повідомлення, які ви не ініціювали.