SMS
Лучше, чем ничего, если сервис больше ничего не предлагает. Для почты и банков стоит выбрать вариант надёжнее.
Eberprot P / comparisons
Сравнения
Первое сравнение раздела — способы подтвердить вход в аккаунт. Краткий вывод: любой второй фактор лучше, чем только пароль; от фишинга лучше всего защищают аппаратные ключи и ключи доступа (passkeys), SMS — самый уязвимый вариант.
Сравнение основано на открытых стандартах (RFC 6238, FIDO2/WebAuthn) и рекомендациях NIST SP 800-63B. Конкретные сервисы поддерживают разные способы — проверяйте настройки своего аккаунта.
Критерии
- Устойчивость к фишингу: можно ли выманить код на поддельном сайте
- Зависимость от оператора связи и SIM-карты
- Работа без интернета на устройстве
- Сложность восстановления при потере устройства
- Удобство в повседневном входе
- Распространённость поддержки сервисами
Таблица сравнения
| Критерий | Только пароль | Код по SMS | Приложение (TOTP) | Аппаратный ключ / passkey |
|---|---|---|---|---|
| Устойчивость к фишингуОбъективный параметр | Нет | Нет: код можно ввести на поддельном сайте | Нет: код можно ввести на поддельном сайте | Да: подпись привязана к адресу настоящего сайта |
| Зависит от SIM и оператораОбъективный параметр | Нет | Да: уязвим к перевыпуску SIM мошенниками | Нет | Нет |
| Работает без интернета на устройствеОбъективный параметр | — | Нужна мобильная связь | Да: код считается по времени | Да |
| Восстановление при потереОценка редакции | Через сброс пароля | Простое: новая SIM на тот же номер | Нужны резервные коды или перенос | Нужен второй ключ или резервный способ |
| УдобствоОценка редакции | Высокое | Высокое | Среднее | Высокое после настройки |
| Поддержка сервисамиОценка редакции | Везде | Очень широкая | Широкая | Растёт, но не везде |
Кому что подойдёт
Приложение-аутентификатор
Разумный выбор по умолчанию: не зависит от оператора и работает без сети. Обязательно сохраните резервные коды.
Ключ доступа (passkey)
Удобно и устойчиво к фишингу, если сервис поддерживает. Синхронизируется через менеджер паролей или экосистему устройства.
Аппаратный ключ
Для самых ценных аккаунтов: почта, домены, рабочие учётные записи администраторов. Купите два ключа: основной и запасной.
На что обратить внимание
- Резервные коды храните отдельно от телефона — например, распечатанными
- Перед сменой телефона перенесите аутентификатор, иначе потеряете доступ
- Если сервис позволяет войти по SMS в обход более надёжного фактора, общая защита равна защите SMS
- Ни один фактор не поможет, если вы сами подтвердите вход по просьбе «службы поддержки»
Источники и проверка
- RFC 6238: TOTP — алгоритм одноразовых паролей на основе времени
- Спецификации FIDO Alliance (FIDO2/WebAuthn)
- NIST SP 800-63B: Digital Identity Guidelines
Интерфейсы программ и сервисов меняются. Мы указываем версии, на которых проверяли команды; на других версиях шаги могут отличаться.