Плюсы и минусы использования менеджера паролей вместо приложения-аутентификатора

Чтобы защитить свои аккаунты в интернете, специалисты по безопасности уже много лет рекомендуют использовать двухфакторную аутентификацию (2FA). По мере того как всё больше людей подключают 2FA, возникает один и тот же вопрос: хранить коды подтверждения в менеджере паролей или в отдельном приложении-аутентификаторе?

В основе принципа двухфакторной аутентификации лежит простая идея: для входа в аккаунт нужны два независимых фактора. Менеджеры паролей предлагают один подход, а приложения-аутентификаторы — другой. У каждого есть свои компромиссы, которые не всегда очевидны с первого взгляда. Оба варианта предназначены для защиты ваших данных, но работают совершенно по-разному.

Двухфакторная аутентификация основана на простой идее: если кто-то украдёт ваш пароль, он всё равно не сможет войти в аккаунт без второго подтверждения вашей личности. Одни приложения отправляют одноразовый код в текстовом сообщении, другие показывают число на экране телефона, некоторые присылают код по электронной почте, а в других можно выбрать специальный код, сгенерированный приложением-аутентификатором.

Менеджер паролей, напротив, помещает оба фактора в одно хранилище, жертвуя некоторой изоляцией ради удобства. Ни один из подходов нельзя назвать неправильным: каждый отражает разные приоритеты — например, насколько вы готовы мириться с дополнительными действиями, как управляете устройствами и чего больше всего опасаетесь лишиться. Чтобы подобрать подходящий инструмент, нужно понять, как работают эти решения, чем отличаются и что нужно именно вам.

В большинстве современных менеджеров паролей есть множество инструментов, в том числе для аутентификации. Популярные решения, такие как 1Password и Bitwarden, могут генерировать и автоматически подставлять шестизначные одноразовые коды с ограниченным сроком действия — прямо рядом с именами пользователей и паролями. Хранить всё в одном месте действительно удобно.

Так можно без лишних усилий автоматически подставлять все данные, не щурясь на экран телефона и не торопясь вводить код до истечения срока его действия. Ещё одно преимущество — для тех, кто пользуется несколькими устройствами: менеджеры паролей синхронизируют коды 2FA между компьютером, браузером и мобильными приложениями, так что вы не останетесь без доступа.

Кроме того, менеджер паролей не даст потерять доступ к аккаунтам, если телефон потеряется или сломается. Все начальные ключи 2FA хранятся в зашифрованном хранилище вместе с паролями и защищены так же надёжно. Если нужно поделиться данными аккаунта с семьёй или командой, проще предоставить доступ к менеджеру паролей: тогда другим не понадобится доступ к приложению-аутентификатору на вашем телефоне.

Однако не всё так гладко: хранение 2FA в менеджере паролей имеет и недостатки. Настоящая двухфакторная аутентификация предполагает разделение первого фактора — пароля — и второго — одноразового кода. Если оба хранятся в одном месте, утечка мастер-пароля может сразу раскрыть всё. Кроме того, вредоносная программа в виде кейлоггера или опасного расширения браузера может перехватить и пароль, и код 2FA за один раз. Отдельный телефон с приложением-аутентификатором создаёт физический барьер между хранилищем паролей и кодами для входа, повышая безопасность. Совместное хранение этот барьер устраняет.

Автономные приложения, например Google Authenticator, обеспечивают более высокий уровень изоляции, поскольку работают без подключения к интернету. Здесь есть физическое разделение: второй фактор хранится на устройстве, отличном от того, где находятся пароли, поэтому вероятность кражи данных ниже.

Но за такую изоляцию приходится платить: шестизначные коды всё равно нужно копировать вручную. Кроме того, большинство приложений-аутентификаторов доступны только на мобильных устройствах, поэтому без телефона под рукой не обойтись. Исключение — некоторые решения с приложениями для компьютера или расширениями для браузера, например 2FA или 1Password. Также есть риск временно потерять доступ к аккаунтам, если телефон сломается или потеряется: придётся настроить новое устройство и восстановить облачные резервные копии, прежде чем вы снова сможете пользоваться кодами.

Гибридный подход объединяет лучшее из двух вариантов

Один из лучших способов упростить себе жизнь, не жертвуя безопасностью, — сочетать оба подхода. Большинство одноразовых кодов с ограниченным сроком действия можно спокойно хранить в менеджере паролей, но небольшое число кодов — например, для основного почтового аккаунта и самого менеджера паролей — лучше держать отдельно: на аппаратном ключе или в приложении-аутентификаторе. Тогда, даже если хранилище будет взломано, самые важные аккаунты останутся недоступны злоумышленникам.

Суть в том, чтобы использовать встроенную в менеджер паролей 2FA для повседневных сервисов с низким уровнем риска, например интернет-магазинов и подписок. Для электронной почты, банковских аккаунтов и самого менеджера паролей используйте отдельное приложение-аутентификатор или аппаратный ключ. Так вы сведёте неудобства к минимуму, а самые важные аккаунты останутся защищёнными, даже если менеджер паролей взломают.

В конечном счёте ни один из инструментов не идеален сам по себе. Лучший выбор зависит от того, что именно вы защищаете и насколько готовы переключаться между устройствами. Для большинства людей оптимальным решением, похоже, будет гибридный подход.