Двофакторна автентифікація: чому важливий другий крок

Оновлено: 28.10.2026

Пароль — це щось, що ви знаєте, і його можна дізнатися: підглянути, виманити фішингом, підібрати, витягти з чужої зламаної бази, де ви використали той самий. Двофакторна автентифікація (2FA) додає до входу другий доказ іншого типу — щось, що ви маєте (телефон, апаратний ключ) або чим є (відбиток, обличчя). Зловмиснику з вашим паролем цього бракує, і вхід не вдається. Але не всі другі фактори однаково стійкі, і деякі з них можна обійти тим самим фішингом. Ця стаття пояснює, як працюють різні методи, який обрати й як не втратити доступ до власних акаунтів.

Що насправді перевіряє другий фактор

Після введення пароля сервіс вимагає другий крок. Варіанти — від найслабшого до найсильнішого:

SMS-код. Сервіс надсилає код на номер телефона. Краще, ніж нічого, але найслабший варіант: SMS не шифруються, номер можна перевипустити на іншу SIM-картку через оператора (SIM swapping) або перехопити через вразливості мобільних мереж, а код можна виманити фішингом у реальному часі.

Одноразові коди з застосунку (TOTP). Google Authenticator, Aegis, Microsoft Authenticator, менеджери паролів. При налаштуванні сервіс показує QR-код із секретом; застосунок і сервер обидва обчислюють з цього секрету й поточного часу шестизначний код, що змінюється кожні 30 секунд. Секрет не покидає пристрою, мережа не потрібна, оператор не задіяний. Слабкість — фішинг: якщо ви введете код на підробленому сайті, зловмисник за 30 секунд використає його на справжньому.

Push-підтвердження. На телефон приходить запит «Це ви входите?» з кнопкою «Так». Зручно, але вразливе до «втоми від запитів»: зловмисник з паролем шле десятки запитів, доки людина не натисне «Так» помилково чи від роздратування. Кращі реалізації вимагають ввести число з екрана входу.

Апаратні ключі й ключі доступу (FIDO2/WebAuthn, passkeys). Ключ (YubiKey, Titan) або вбудований у телефон/ноутбук модуль зберігає закриту частину пари ключів і підписує запит на вхід. Підпис прив’язаний до домену сайту: на підробленому домені ключ просто не спрацює, тож фішинг неможливий за конструкцією. Це єдиний метод, стійкий до фішингу. Passkeys — той самий стандарт без окремої залізяки, з синхронізацією через акаунт Apple/Google/менеджер паролів; вони можуть повністю заміняти пароль.

Що обрати

• Для пошти, банків, менеджера паролів, основних акаунтів Apple/Google/Microsoft: апаратний ключ або passkey; TOTP як резерв.
• Для всього іншого: TOTP у застосунку. Уникайте SMS, якщо є альтернатива.
• SMS — лише де немає іншого вибору; і тоді поставте в оператора PIN на перевипуск SIM.
• Майте два ключі або passkey на різних пристроях для критичних акаунтів: втрата єдиного дорівнює втраті доступу.

Як не заблокувати себе

Найпоширеніша реальна проблема 2FA — не злам, а втрата другого фактора: розбитий телефон без резервної копії застосунку автентифікації. Запобігання:

1. При увімкненні 2FA сервіс видає коди відновлення — збережіть їх у менеджері паролів і роздрукуйте в надійне місце. Це ваш вхід, коли телефон зник.
2. Використовуйте застосунок автентифікації з зашифрованою резервною копією або експортом (Aegis, 2FAS, Authy, менеджери паролів). Google Authenticator тепер синхронізує через акаунт Google.
3. Для головних акаунтів зареєструйте два фактори: ключ + застосунок, або два ключі.
4. Періодично перевіряйте, що резервна копія відкривається на іншому пристрої.
5. При зміні телефона переносьте автентифікатор до того, як стерти старий.

Як увімкнути 2FA і зберегти коди відновлення

• Увімкніть 2FA спершу на пошті — через неї скидаються паролі до всього іншого.
• Далі: банки, менеджер паролів, акаунти Apple/Google/Microsoft, соцмережі, робота.
• Обирайте ключ або passkey там, де є; TOTP — там, де нема; SMS — лише вимушено.
• Збережіть коди відновлення офлайн одразу при налаштуванні.
• Ніколи не вводьте код 2FA на сторінці, куди прийшли за посиланням з листа чи повідомлення; відкрийте сайт самі.
• Не підтверджуйте push-запити, які не ви ініціювали, — і змініть пароль, якщо вони приходять.

Часті запитання

Чи 2FA робить пароль неважливим?

Ні. Пароль лишається першим бар’єром, а деякі способи відновлення обходять другий фактор. Унікальний сильний пароль плюс 2FA — це два незалежні замки.

Чи можуть зламати TOTP?

Секрет захищений, коди перебрати нереально. Реальні атаки — фішинг у реальному часі й шкідливі програми на пристрої. Ключі FIDO2 закривають перший вектор.

Passkey — це заміна 2FA чи паролю?

І те, й інше: він поєднує «маю» (пристрій із ключем) і «є»/«знаю» (біометрія або PIN для розблокування) в одній дії, стійкій до фішингу.

Пароль можна дізнатися, ключ треба вкрасти фізично; друга задача на порядки складніша — саме на цьому й тримається двофакторна автентифікація.

Коротко: двофакторна автентифікація вимагає при вході другого доказу іншого типу, і без нього вкрадений пароль не працює. SMS — найслабший метод, коди із застосунку — добрий стандарт, апаратні ключі й passkeys — єдині стійкі до фішингу. Увімкніть 2FA спершу на пошті й критичних акаунтах, збережіть коди відновлення офлайн і зареєструйте резервний фактор, щоб не втратити доступ разом із телефоном.