Резервные коды 2FA: как сделать резервную копию двухфакторной аутентификации, чтобы она никогда не заперла вас (или вашу семью)

Что такое резервные коды 2FA и почему они важны?

Паролей давно недостаточно. Они утекают при взломах, повторяются на разных сайтах, их подбирают, выуживают фишингом или покупают. Двухфакторная аутентификация — то решение, которое действительно работает: даже с вашим паролем на руках злоумышленнику всё равно нужен шестизначный код, который ваш телефон генерирует заново каждые тридцать секунд, или физический ключ, который есть только у вас. Если аккаунт вам дорог, на нём должен быть этот второй замок.

Но второй замок сосредотачивает всё в одном устройстве. Секретные ключи, стоящие за этими кодами, обычно живут только в приложении-аутентификаторе на вашем телефоне. Потеряйте телефон, разбейте его или умрите, оставив его заблокированным, — и коды пропали. Даже тот, у кого есть все ваши пароли, через него не пройдёт.

Для этого и существуют резервные коды. Когда вы включаете двухфакторную аутентификацию, большинство сервисов выдают набор одноразовых кодов восстановления. Google, например, выдаёт десять восьмизначных кодов; каждый работает один раз, а генерация нового набора отменяет старый. Другие сервисы используют похожую схему под названиями «коды восстановления», «аварийные коды» или «скретч-коды». Как бы они ни назывались, это единственный путь обратно, который не зависит от устройства, которого у вас может не оказаться.

Какие бывают три вида 2FA и как делается резервная копия каждого?

Не все вторые факторы отказывают одинаково, поэтому и резервные копии у них разные. Полезно знать, какой вид использует каждый из ваших аккаунтов.

• Коды по SMS и эл. почте

  Код приходит в SMS или на почту. Копировать здесь как таковое нечего, зато терять есть что: номер телефона могут перехватить, пока вы живы, а после смерти договор обычно расторгают, и номер со временем отдают другому. Считайте SMS самым слабым вариантом, всё равно храните коды восстановления аккаунта и убедитесь, что тот, кто будет заниматься вашими делами, знает, на какой номер и адрес приходят коды.

• Приложения-аутентификаторы (TOTP)

  Приложения вроде Google Authenticator, Authy, Microsoft Authenticator, 2FAS и Aegis хранят секрет для каждого аккаунта и превращают его в новый код каждые тридцать секунд. Копировать нужно именно секрет. Google Authenticator умеет синхронизировать коды с вашим аккаунтом Google и экспортировать их как QR-изображения; Authy синхронизирует зашифрованные резервные копии, защищённые паролем резервной копии, который он не сможет восстановить за вас. Менеджеры паролей, такие как 1Password и Bitwarden, могут хранить те же секреты рядом с паролем, так что одно зашифрованное хранилище несёт оба фактора (на некоторых тарифах это платная функция). Какое бы приложение вы ни использовали, одноразовые коды восстановления сервиса остаются вашей страховкой, если откажут и приложение, и его синхронизация.

• Аппаратные ключи безопасности и passkeys

  Ключ безопасности вроде YubiKey хранит свой секрет внутри железа, и в этом смысл: его нельзя считать или скопировать. Сама Yubico советует купить запасной ключ и зарегистрировать его во всех аккаунтах одновременно с основным, потому что незарегистрированный запасной потом бесполезен. Passkeys похожи по духу, но живут в программах; синхронизация Apple через Связку ключей iCloud и аналоги от Google и менеджеров паролей переносят их между вашими собственными устройствами. Ни ключ, ни passkey нельзя передать члену семьи как файл, поэтому для таких аккаунтов коды восстановления и зарегистрированный запасной ключ важны ещё больше.

Как сделать резервную копию кодов 2FA сегодня?

Выделите час. Работа скучная, но её нужно сделать как следует один раз, а потом лишь быстро дополнять при добавлении аккаунта.

• Перечислите аккаунты с 2FA

  Откройте приложение-аутентификатор и выпишите каждый аккаунт из него, затем добавьте те, что используют SMS или ключ безопасности. Почта, банк, оператор связи, менеджер паролей и облачное хранилище идут первыми: от них зависят восстановления всего остального.

• Скачайте коды восстановления для каждого

  В настройках безопасности каждого аккаунта найдите резервные коды или коды восстановления и сохраните набор. Если вы когда-либо использовали часть из них, сгенерируйте новый набор, чтобы ваша копия была полной. Рядом с каждым набором отметьте дату.

• Экспортируйте секреты аутентификатора

  Большинство приложений могут экспортировать свои аккаунты в виде одного или нескольких QR-изображений либо синхронизировать их с аккаунтом или хранилищем. Если ваше приложение поддерживает экспорт, сделайте скриншот каждого показанного QR-изображения на том же телефоне. Вместе они составляют полную восстанавливаемую копию вашего второго фактора: установите любое приложение-аутентификатор, отсканируйте их — и все коды вернутся. Если экспорта нет (например, в Authy), ближайшая замена — его собственная зашифрованная синхронизация, поэтому запишите пароль резервной копии рядом с остальными кодами восстановления.

• Обращайтесь с копией как с живыми ключами

  Экспортируйте только на оборудовании, которое контролируете. Сразу уберите скриншоты из галереи, удалите их из «Недавно удалённых» и проверьте, не подхватила ли их уже облачная синхронизация фото. Любой, у кого есть эти изображения, может генерировать ваши коды.

Где безопасно хранить резервные коды 2FA?

Обычные места — как раз те, что подводят. Скриншоты в папке загрузок, коды, отправленные самому себе по почте, текстовый файл на рабочем столе: незашифрованные, разбросанные и спустя годы никому не найти. Резервные коды должны жить в одном месте, которое зашифровано, останется у вас после потери телефона и до которого однажды сможет добраться человек, которому вы доверяете.

• Хранилище менеджера паролей

  Самый практичный дом для большинства людей. Положите коды восстановления каждого аккаунта в заметки соответствующего логина, а если ваш менеджер поддерживает, храните там же и секрет TOTP. Одно хранилище, один мастер-пароль, всё в паре. Слабое место — восстановление самого хранилища: PDF Emergency Kit от 1Password (с его Secret Key) и коды 2FA самого менеджера нуждаются в доме за пределами хранилища.

• Бумага в надёжном месте

  Распечатанные коды в запечатанном конверте, в домашнем сейфе или банковской ячейке переживают любой отказ устройства. Цена в том, что бумага устаревает: каждый новый аккаунт или перевыпущенный набор означает новую распечатку.

• Не в том аккаунте, который они защищают

  Коды восстановления для почты никогда не должны лежать только в этой почте. Коды для менеджера паролей никогда не должны лежать только в этом хранилище. Каждый набор должен быть доступен без того, что он открывает.

Что станет с моей 2FA после смерти?

Ничего, и в этом проблема. Приложение-аутентификатор продолжает генерировать коды на телефоне, который никто не может разблокировать. Ключ безопасности лежит в ящике, зарегистрированный в аккаунтах, которые никто не может назвать. SMS приходят на номер, который оператор закроет через несколько месяцев. Каждый аккаунт, который вы тщательно защитили, остаётся защищённым — теперь от людей, которых вы хотели бы впустить.

Один список паролей этого не решает. Ваш партнёр может прекрасно знать пароль от почты и всё равно остановиться на втором шаге; то же с банком, облачными фотографиями и продлением домена. У платформ есть процедуры восстановления для ближайших родственников, но они медленные, различаются по компаниям и странам и обычно дают ограниченный доступ или не дают его вовсе. Практический путь тот же, которым вы воспользовались бы сами после потери телефона: коды восстановления и экспортированные секреты в руках человека, который знает об их существовании. Парольная сторона того же вопроса разобрана в нашем руководстве о паролях после смерти.

Как передать доступ к 2FA семье?

Какой бы способ вы ни выбрали, он должен пройти три проверки: коды остаются нечитаемыми для всех сегодня, они доходят до нужного человека потом, и этот человек знает, как ими пользоваться. Запечатанный конверт проходит первую и проваливает третью, если не добавить инструкции. Что бы вы ни выбрали, добавьте по абзацу на каждый аккаунт: что это, какой второй фактор он использует, где коды и что делать в первую очередь.

• Экстренный доступ в менеджере паролей

  Несколько менеджеров позволяют назначить доверенный контакт, который может запросить доступ к вашему хранилищу; Emergency Access в Bitwarden предоставляет его после заданного вами времени ожидания, если вы не отклоните запрос, и входит в платные тарифы. Если коды восстановления и секреты TOTP лежат в хранилище, это передаёт оба фактора за один шаг. Способ зависит от того, что этот человек сохранит свой аккаунт активным и что менеджер всё ещё существует, поэтому дополните его бумажной копией данных восстановления самого хранилища.

• Запечатанная записка у доверенного человека или нотариуса

  Распечатанные коды восстановления, изображения экспорта аутентификатора и короткая инструкция, запечатанные и оставленные у юриста или душеприказчика. Надёжно и без техники, но быстро устаревает, и приходится верить, что конверт не вскроют раньше времени.

• Кнопка мертвеца

  Сервис, который хранит ваши коды в зашифрованном виде и открывает их выбранным людям, только если вы перестаёте отмечаться. Он добавляет то единственное, чего нет у запечатанного конверта: автоматическую доставку, когда вас уже нет, чтобы передать его. О компромиссах см. чем кнопка мертвеца отличается от менеджера паролей.

Как PostMortem обращается с резервными кодами 2FA?

PostMortem — бесплатное приложение для iOS и Android, построенное как кнопка мертвеца. Вы создаёте контейнер сообщений, добавляете людей, которые должны его получить, и выбираете интервал отметок от часа до двенадцати месяцев. Вы отмечаетесь одним нажатием в приложении; напоминания приходят по эл. почте и push-уведомлением по мере того, как интервал подходит к концу. Если вы перестаёте отмечаться и интервал истекает, контейнер открывается для ваших получателей.

Для резервных копий двухфакторной аутентификации контейнер может хранить ваши учётные данные с кодами восстановления, записанными рядом с каждым паролем, текстовое сообщение с пояснением, какой аккаунт использует какой второй фактор, и до пяти прикреплённых файлов по 20 МБ, чего достаточно для QR-изображений, экспортированных из приложения-аутентификатора. Сообщения, пароли, имена и содержимое файлов шифруются на вашем телефоне алгоритмом AES-256 до загрузки и расшифровываются в браузере получателя; серверы PostMortem никогда не видят содержимое в открытом виде. Название контейнера, адреса получателей и график отметок остаются читаемыми, чтобы работали напоминания и доставка.

Для расшифровки нужна карта с ключом доступа — изображение в виде QR-кода, которое вы передаёте каждому получателю, пока живы. Именно эта карта превращает открытый контейнер в читаемые коды, поэтому хранить её нужно так же бережно, как сами коды. Поскольку контейнер ваш, та же копия будет у вас в день, когда вы настраиваете новый телефон. Подробнее о модели — в разделе как это работает и на странице безопасности.

Частые вопросы

• Что такое резервный код 2FA?

  Одноразовый код, который сервис выдаёт при включении двухфакторной аутентификации. Он заменяет обычный код с телефона или ключа, если это устройство потеряно. Каждый работает один раз; большинство сервисов позволяют в любой момент сгенерировать новый набор, что отменяет старый.

• Я потерял телефон с приложением-аутентификатором. Как мне войти обратно?

  Используйте коды восстановления, сохранённые при настройке 2FA, или восстановите приложение из облачной синхронизации либо экспорта на новом телефоне. Если ничего этого нет, у каждого сервиса есть своя процедура восстановления аккаунта, которая может занять дни и потребовать подтверждения личности.

• Что происходит с 2FA после смерти человека?

  Второй фактор продолжает работать против всех, включая семью, у которой есть пароли. Если коды восстановления или экспорт аутентификатора не были сохранены и переданы, единственный путь — процедура каждой платформы для ближайших родственников, которая различается по компаниям и странам и часто медленная или ограниченная. Это общая информация, а не юридическая консультация.

• Безопасно ли хранить коды 2FA в менеджере паролей?

  Для большинства людей да: зашифрованное хранилище безопаснее скриншотов и держит коды рядом с паролями, с которыми они в паре. Единственное правило: данные восстановления самого хранилища и его коды 2FA должны находиться за пределами хранилища.

• Как дать семье доступ к моей 2FA, не делясь ею сейчас?

  Используйте то, что остаётся запечатанным, пока не понадобится: экстренный доступ менеджера паролей с временем ожидания, запечатанную записку у нотариуса или кнопку мертвеца, которая открывает зашифрованные коды, только если вы перестаёте отмечаться. В любом случае добавьте письменные инструкции.

• Как часто обновлять резервные копии 2FA?

  Каждый раз, когда вы добавляете аккаунт в аутентификатор, используете код восстановления или перевыпускаете набор. Ежегодная проверка — разумный минимум; чек-лист цифрового наследия — хороший повод это сделать.