Самая надежная защита от фишинга Google перевел всех своих сотрудников на аппаратные токены. За год ни у одного из них не украли аккаунт

Корпорация Google в начале 2017 года перевела всех своих сотрудников (а их больше 85 тысяч человек) на аппаратные токены — небольшие устройства, которые позволяют дополнительно защитить аккаунт пользователя от злоумышленников. С тех пор, рассказали представители компании американскому журналисту Брайану Кребсу, не было зафиксировано ни одной успешной кражи аккаунтов сотрудников.

Аппаратные токены обычно похожи на USB-флешки или брелоки. Они хранят в себе зашифрованную информацию и используются как замена других методов двухэтапной аутентификации.

Двухэтапная аутентификация предполагает, что пользователь сначала вводит пароль, который он знает, а затем код, который он получает альтернативным способом — например, по SMS или в приложении Google Authentificator (где новый код генерируется каждую минуту). В таком случае, даже если злоумышленник подсмотрит или украдет пароль пользователя, он не сможет войти в его аккаунт — потребуется еще доступ к телефону.

Тем не менее, у этих методов есть свои минусы. У инфраструктуры, на которой работают почти все сотовые телефоны, есть уязвимость, позволяющая хакерам перехватывать SMS-сообщения. К тому же сотрудники спецслужб и злоумышленники могут получать доступ к сообщениям через сотовых операторов — так, вероятно, в апреле 2016 года были взломаны аккаунты в Telegram российских активистов.

Использование приложений вроде Google Authentificator безопаснее — код не передается по сети, а генерируется на устройстве. Но и у этого метода есть свои минусы: злоумышленник может перехватить код на этапе настройки приложения или использовать социальную инженерию, чтобы заставить пользователя перейти на фишинговый сайт, похожий на настоящий — и ввести там как пароль, так и сгенерированный код.

Аппаратные токены лишены этих недостатков. Чтобы войти в свой аккаунт с нового устройства, пользователь должен ввести пароль, а затем вставить в USB-порт токен и нажать кнопку на нем (для телефонов и планшетов продаются версии с поддержкой Bluetooth). При этом токен отслеживает адрес сайта и вводит код только там, где должен — по всей видимости, именно это в первую очередь повлияло на то, что никому не удалось украсть аккаунты сотрудников Google.

Корпорация считает аппаратные ключи самым надежным способом защитить данные пользователей — например, это единственный метод двухфакторной аутентификации, используемый в программе «Дополнительная защита» (Advanced Protection Program) для журналистов и политиков («Медуза» писала об этой программе незадолго до запуска; здесь официальная информация от Google).

Простые пользователи тоже могут настроить защиту с помощью аппаратного токена. Для этого им понадобится само устройство — оно стоит несколько десятков долларов. Google опубликовал пошаговую инструкцию для пользователей компьютеров и телефонов; токены поддерживают и десятки других сервисов, включая Facebook, Twitter и компьютеры под управлением Windows и macOS (в них можно входить при помощи токена).

Брайан Кребс, узнавший об успешном внедрении физических ключей в корпорации Google, отмечает, что у токенов есть свой недостаток — пока они полноценно поддерживаются только браузерами Chrome и Opera. В Firefox поддержку можно включить на странице конфигурации, в браузере Edge от Microsoft она появится позже. Появится ли она когда-нибудь в Safari, неизвестно.