Приложение-аутентификатор или аппаратный ключ безопасности: сравнение

Приложение-аутентификатор выдаёт шестизначные коды, которые вы вводите сами. Аппаратный ключ безопасности — небольшое устройство, подключаемое по USB или через NFC, которое подтверждает вход криптографически, без ввода чего-либо вручную. Обе схемы добавляют второй фактор к паролю, но защищают от разных угроз.

Чтобы сравнение было честным, нужно смотреть не на «надёжность вообще», а на конкретные сценарии: фишинг, кража телефона, потеря устройства, работа в поездке.

Полезно ответить на вопрос, от кого вы защищаетесь. От случайного взлома по утёкшему паролю хватит обоих способов. От целенаправленной фишинговой рассылки лучше ключ. От кражи устройства важно, где хранится второй фактор и насколько защищён сам экран блокировки.

Самое существенное различие — устойчивость к фишингу. Код TOTP человек вводит глазами и руками, поэтому его можно ввести и на поддельной странице, а злоумышленник в реальном времени передаст его настоящему сервису. Пока код действителен, этого достаточно для входа.

Аппаратный ключ работает иначе. Ответ ключа привязан к адресу сайта, с которым идёт обмен, поэтому на поддельном домене подтверждение просто не сработает. Пользователю не нужно самому распознавать подделку: проверку делает протокол.

Это не делает ключ всесильным: он не помогает, если аккаунт скомпрометирован другим способом или восстановление доступа настроено слабо.

TOTP поддерживает огромное число сервисов и не требует покупки отдельного устройства. Приложение уже стоит на телефоне, а настройка занимает минуту. Недостаток — необходимость каждый раз доставать телефон и вводить код.

Аппаратные ключи быстрее в ежедневной работе: касание или вставка в порт. Но их поддерживают не все сервисы, и не любое приложение на телефоне умеет с ними работать одинаково удобно. Разъём тоже имеет значение: ключ должен подходить к вашим компьютерам и телефонам либо поддерживать бесконтактное подключение.

По сложности настройки TOTP проще, ключ требует внимательности при регистрации на каждом сервисе.

Потерянный телефон с секретами TOTP и потерянный ключ создают похожую проблему: нужен запасной путь. Для ключей обычно советуют зарегистрировать минимум два устройства и хранить второе отдельно. Для TOTP полезны резервные коды и сохранённые копии секретов.

Стоит помнить о цепочке восстановления: если её конец — SMS на старый номер или вопрос с простым ответом, сильный второй фактор теряет смысл. Атакующему достаточно найти самое слабое звено.

Физический ключ можно украсть, но без пароля он бесполезен. Телефон с приложением при слабой защите экрана даёт больше возможностей для злоупотребления.

Со стороны аппаратного ключа подготовка проста: у вас уже есть второй ключ и зарегистрированный запасной вариант, поэтому новый компьютер или телефон можно подключить к аккаунту без лишних действий. Ключ не привязан к устройству, а значит, переезд не превращается в проблему.

Для TOTP всё сложнее. Перед заменой телефона нужно решить, как переносить секреты: приложение может позволять экспорт или зашифрованную резервную копию, а иногда проще заново привязать каждый аккаунт по QR-коду. Второй способ надёжнее, но требует времени и доступа к каждому сервису.

В любом случае не стирайте старый телефон, пока не убедитесь, что вход по новой схеме работает везде, где он был нужен.

Для большинства аккаунтов достаточно TOTP при условии, что вы внимательно проверяете адрес страницы. Для почты, от которой зависят все остальные сервисы, для рабочих административных доступов и для людей, чаще других сталкивающихся с целевым фишингом, ключ безопасности оправдан.

Практичная схема: ключ на самые важные аккаунты, приложение на остальные, резервные коды на бумаге в надёжном месте.

Полезная привычка: раз в год проверять запасные способы входа. Резервные коды на бумаге, второй ключ в ящике и актуальный номер в профиле нужны именно тогда, когда основной способ недоступен, и лучше узнать об их неисправности заранее.