Чому не варто використовувати SMS для двофакторної аутентифікації
SMS – найнебезпечніший спосіб отримання коду для авторизації у профілі
Коротка відповідь така:
На відміну від додатків для двофакторної аутентифікації, SMS можуть перехопити через шкідливі програми у смартфоні або вразливість у самій системі передачі повідомлень. Також отримання кодів через SMS перестає бути зручним, коли немає мобільного зв’язку, і вам не надходять повідомлення
Пояснимо докладніше:
Двофакторна аутентифікація – це додатковий захист вашого акаунта, який вимагає підтвердження особи з використанням двох факторів: пароля та додаткового коду. Код є унікальним і діє лише декілька хвилин, що робить його повторне використання неможливим. Ви можете отримати його через SMS або спеціальний додаток-аутентифікатор. Більше про двофакторну аутентифікацію та про її налаштування ви можете дізнатися у нашому матеріалі.
Проте отримання коду через SMS – це ненадійний варіант. Наприклад, ці цифри можуть підглянути, якщо у вас увімкнено показ повідомлень на заблокованому екрані. Якщо ваш смартфон викрали, то для уникнення вводу пароля вашу SIM-картку можуть вставити в інший телефон і отримати код. Іноді зловмисники вдаються до певних махінацій та роблять дублікат чужої картки в оператора мобільного зв’язку, тож всі повідомлення будуть надходити до них. Також не варто нехтувати тим, що ваші SMS можуть перехопити – протокол, за яким передаються повідомлення, має вразливості, а самі SMS не шифруються. Якщо на вашому смартфоні є якийсь вірус або шкідлива програма, шахраї так само можуть отримати доступ до ваших повідомлень.
Крім того, що такий спосіб аутентифікації є небезпечним, він ще й незручний. Ви не можете отримати повідомлення, якщо у вас немає мобільного зв’язку вашого оператора, що актуально для людей за кордоном та на тимчасово окупованих територіях. Також деякі сайти не дозволяють використовувати SMS в якості другого фактора, а Twitter(Х) взагалі прибрав цю можливість для українців.
Більш надійним та зручним методом двофакторної аутентифікації є використання додатків-аутентифікаторів, наприклад, Microsoft Authenticator або Google Authenticator. Вони самостійно генерують коди для всіх прив’язаних акаунтів, а також працюють навіть без мобільного зв’язку.
Рекомендуємо прочитати статтю про те, який другий фактор краще обрати при налаштуванні двофакторної аутентифікації.