Онлайн сигурност: а ако загубите телефона с кодовете си?

Направили сте нещата както трябва. Различни пароли, двуфакторно удостоверяване навсякъде, отключване с пръстов отпечатък.

После телефонът ви пада от балкона, открадват го в метрото или свършва във водата.

За няколко секунди току-що сте загубили втория фактор за всичките си профили. Поща, банка, документи в облака, служебни акаунти: всичко е заключено, а процедурите за възстановяване на всяка от тези услуги изискват достъп до някоя от останалите.

Това е сляпото петно на масовата цифрова сигурност. Тя разглежда надълго защитата от нападатели и почти никога непрекъсваемостта на достъпа, тоест въпроса, който вълнува човек, който се подготвя. Тази статия разглежда и двете: какво реално защитава и какво ви позволява да се върнете, когато носителят на самоличността ви изчезне.

Честната класация на заплахите

Да започнем с отстраняването на онова, което заема по-голямата част от общия разговор.

Какво реално ви заплашва, по ред на вероятност: повторното използване на пароли, фишингът, загубата или кражбата на устройството и отвличането на телефонния ви номер.

Какво не ви заплашва: държавен нападател, който се интересува лично от вас. И не, търговският VPN не ви прави анонимни: той просто премества доверието от вашия интернет доставчик към издателя на VPN-а. Полезен е в непозната публична Wi-Fi мрежа и безполезен срещу четирите заплахи по-горе. Цифровата сигурност на гражданина не се решава там, точно както подготвеността не се решава със зрелищно оборудване.

Действие 1: уникална парола за всяка услуга

Това е единствената мярка, която сама по себе си решава първата заплаха от списъка. Механизмът е прост: изтича база данни в някаква услуга, идентификационните ви данни се пробват автоматично навсякъде другаде и една-единствена повторена парола отваря цялата верига.

Единственото приложимо решение е мениджър на пароли. Никой не помни петдесет различни пароли; всеки може да запомни една-единствена, дълга, която отваря сейфа.

Често пренебрегвано следствие: главната парола трябва да се помни, а не да се съхранява. Дълга, лична фраза, която пишете редовно. Това е единственото нещо от цялата статия, което трябва да пазите в главата си.

И непосредственото допълнение: проверете адресите си в известните бази с изтекли данни (безплатна услуга, мигновен резултат) и сменете каквото излезе. Споменахме това още в одита на собствената ви експозиция.

Действие 2: излизане от SMS

Това е нещото, което се промени най-много през последните две години, а широката публика не го е последвала.

Кодът, получен по SMS, дълго се смяташе за надежден втори фактор. Вече не е такъв и органите по киберсигурност днес го класифицират сред присъщо уязвимите методи, които да се пазят като крайна мярка.

Механизмът се нарича SIM swapping и не предполага никакво хакване на телефона ви. Нападателят събира няколко данни за вас (име, адрес, дата на раждане, често от изтекли бази или от социалните ви мрежи), обажда се на оператора ви, представяйки се за вас, твърди, че е изгубил телефона си, и прехвърля номера ви върху SIM карта, която контролира. Вашият телефон остава без мрежа. Той получава вашите SMS-и, тоест вашите кодове.

Това не е сценарий от филм: измамата рязко нарасна, а появата на eSIM намали нужното време до няколко минути.

С какво да го заместите, от най-простото към най-надеждното:

Приложение за удостоверяване, което генерира кодовете на вашето устройство. Безплатно, налично навсякъде, веднага по-добро от SMS.
Passkeys, вече вградени в мобилните системи и в основните услуги. Те автоматично проверяват самоличността на сайта, което прави фишинга практически неработещ.
Физически ключ за сигурност за най-критичните ви профили: основна поща и банка. Това е единственият фактор, който никой телефонен оператор не може да прехвърли.

Капанът, който почти всички оставят отворен: да активирате надежден метод, без да изключите резервния вариант по SMS. Ако профилът ви все още приема възстановяване по телефонен номер, сигурността ви струва колкото тази на оператора ви, независимо колко изтънчено е останалото.

И една безплатна мярка при оператора ви: поискайте заключване на преносимостта или код, изискван за всяка операция по линията ви. Пет минути телефонен разговор.

Действие 3: планът за възстановяване

Ето ни в сърцевината на темата, и в това, което съдържанието по сигурност разглежда най-зле.

Силната сигурност създава нов риск: да заключите себе си отвън. Подготвеният човек би трябвало да смята загубата на телефона за вероятен сценарий, далеч по-вероятен от целенасочена атака, и да го е решил предварително.

Резервните кодове. Всяка услуга, която активира двуфакторно удостоверяване, предлага списък с еднократни кодове за възстановяване. Почти никой не ги запазва. Разпечатайте ги за основните си профили (главна поща, банка, мениджър на пароли) и ги приберете при важните си документи, онези, които вече изброихте в чеклиста за 72 часа. На хартия, не в телефона: резервен код, съхраняван в устройството, което трябва да замести, не служи за нищо.

Резервен втори фактор. Втори ключ за сигурност, прибран другаде, или приложение за удостоверяване, инсталирано на второ устройство. Принципът е същият като при трите комуникационни средства от нашата радио паметка: единствено средство не е средство.

Резервен адрес, който не зависи нито от същото устройство, нито от същия доставчик.

И тестът. Веднъж годишно опитайте да влезете в основния си профил, симулирайки липсата на телефона. Неприятно е, отнема двадесет минути и е единственият начин да разберете дали планът ви издържа. Непроверена способност не е способност: същото изречение като за фенерчетата и радиостанциите ви, и тук важи също.

Действие 4: намаляване на разпиляното

Последният лост е работа по разчистване, без нищо за купуване.

Затворете профилите, които вече не използвате. Всеки спящ профил е още една база данни с вашите данни, която някой ден може да изтече.

Проверете какво знаят за вас основните ви профили и премахнете излишното: стари номера, стари адреси, забравени устройства, все още оторизирани.

Разделете употребите си. Един адрес за администрация и банка, друг за ежедневни регистрации. Това разделяне струва десет минути и значително усложнява работата по възстановяване на нападателя.

Заключете устройството както трябва. Дълъг код вместо шарка, активирано криптиране (по подразбиране при новите устройства) и приложени обновявания. Огромната част от компрометиранията минава през пропуски, известни и отстранени от месеци.

Ограниченията и класическата грешка

Какво ви дават тези четири действия: солидна устойчивост срещу реално вероятните заплахи и най-вече способността да се върнете в профилите си след загуба на носителя.

Какво не ви дават: анонимност, нито защита срещу решителен противник със сериозни средства. Ако това е вашият модел на заплаха, тази статия не е достатъчна.

Класическата грешка е да се бърка инструментариум с хигиена. Да трупате VPN, екзотичен браузър и криптиран месинджър, докато повтаряте същата парола на четиридесет сайта, е бронирана врата на къща с отворени прозорци. Редът има значение: първо уникални пароли, после излизане от SMS, след това план за възстановяване, накрая намаляване на повърхността.

Втората грешка е да искате да свършите всичко за една вечер. Обработете три профила (главна поща, банка, мениджър на пароли) и ще сте покрили основната част от риска. Останалото може да изчака следващия уикенд.

Откъде да започнете конкретно

Инсталирайте мениджър на пароли и запомнете дълга главна парола. Още тази вечер.
Обработете три приоритетни профила: главна поща, банка, мениджър. Уникална парола, втори фактор, различен от SMS.
Изключете резервния вариант по SMS за тези три и проверете, че не остава възможно възстановяване по номер.
Обадете се на оператора си и поискайте заключване на преносимостта.
Разпечатайте резервните си кодове и ги приберете при важните документи.
Тествайте възстановяване без телефон, веднъж, и запишете датата.

Заключение

Онлайн сигурността на гражданина изобщо не прилича на това, което се показва за нея. Тя не изисква екзотичен софтуер, нито техническа компетентност: четири действия, няколко часа общо и един принцип, който минава през целия този сайт: способност, която не сте изпробвали, не съществува.

И тя има измерение, което подготвеността прави очевидно, а останалият свят забравя: въпросът не е само дали нападател може да влезе. Въпросът е дали вие ще можете да се върнете в деня, в който предметът, съдържащ цифровия ви живот, падне във водата.

Една парола за всяка услуга. Никакъв SMS. Разпечатани кодове. Един тест годишно.

Придружаващ лист: Изтеглете PDF за печат (A4)

Източници и допълнително четене

Vectra AI: Скритите рискове на многофакторното удостоверяване по SMS (на френски): механизми за заобикаляне на SMS 2FA и документирани кампании за SIM swapping.
Как да се предпазите от SIM swapping (на френски): SMS-ът, класифициран като уязвим метод от органите по киберсигурност, и преходът към passkeys и FIDO2 ключове.
TechnoMind: Атаката SIM swapping (на френски): ход на атаката, роля на социалното инженерство спрямо операторите и препоръчани защити.
Digital Bunker: Защо SMS 2FA вече не е достатъчно (на френски): заключване на преносимостта, преминаване към приложение за удостоверяване и съхранение на резервните кодове извън телефона.
Psono: Двуфакторното удостоверяване по SMS не е сигурно (на френски): вектори на атака (SIM swap, SS7, фишинг) и устойчиви на фишинг алтернативи.
Efani: Как SIM swap заобикаля 2FA (на английски): възстановяването по номер като устойчиво слабо място, дори при passkeys.