Niyə əməliyyatlarda iki faktorlu avtorizasiyadan istifadə etmək lazımdır?

Login və parol uzun müddət xilas deyil: fişinq, məlumat bazası sızması və zərərli proqram mütəmadi olaraq hesab məlumatlarını oğurlayır. İki faktorlu avtorizasiya (2FA) ikinci yoxlama addımını - müstəqil cihazda kod və ya təsdiq əlavə edir. Şifrə oğurlansa belə, təcavüzkarın əməliyyatı təsdiqləməsi üçün heç bir şey yoxdur. Maliyyə xidmətlərində, onlayn kazinolarda və birjalarda 2FA icazəsiz silinmələrdən və oğurluqlardan ən yaxşı «qalxandır».

2FA pulu necə qoruyur

Fişinqdən: parol saxta saytda daxil edilmişdir - ikinci amil olmadan bir haker girmir və nəticəni təsdiqləmir.

Şifrələrin seçilməsindən: hətta «güclü» şifrə də sıza bilər; 2FA onu təcavüzkar üçün praktiki olaraq faydasız edir.

Rekvizitlərin dəyişdirilməsindən: 2FA olmadan email, telefon, ödəniş ünvanları/kartları dəyişdirmək daha çətindir.

«Sakit» nəticələrdən: əksər xidmətlər əməliyyat üçün ikinci amil tələb edir - nəticə/tərcümə keçmir.

2FA növləri: seçmək üçün nə

1. SMS kodları

Rahat, heç bir proqram.

− SIM-in tutulmasına/təkrarlanmasına, gecikmələrə, rouminqə həssasdır.

Harada uyğundur: əsas minimum, başqa seçim olmadıqda.

2. TOTP proqramları (30 san.) - Google Authenticator, Authy, 1Password, Microsoft Authenticator və s.

Offline kodları, telekom operatorundan asılı deyil; yüksək etibarlılıq.

− Ehtiyat/seed kodlarını diqqətlə saxlamaq lazımdır.

Əksər istifadəçilər üçün optimal.

3. Tətbiqdə Push təsdiqləri

Bir basma, daha az səhv.

− «Tüklərdən yorğunluq» riski (vərdişlə avtomatik təsdiq).

Cihazın biometrikası ilə birlikdə yaxşı.

4. Aparat açarları (FIDO2/U2F: YubiKey və analoqlar)

Maksimum qorunma, fişinq müqaviməti; kodsuz işləyir.

− dəyəri, özünüzlə olmalıdır; ehtiyat açarı qurmaq vacibdir.

Artan risklər və böyük məbləğlər üçün seçim.

💡 Prioritet sxem: Aparat açarı ≥ TOTP> Push> SMS.

Düzgün konfiqurasiya (həm təhlükəsiz, həm də «ağrı» olmadan)

1. Bir anda iki yerdə 2FA daxil edin:

hesabda (giriş/kritik dəyişikliklər), əməliyyatlarda (çıxış, ödəniş rekvizitlərinin dəyişdirilməsi).

2. Ehtiyat edin:

backup kodlarını oflayn anbarda saxlayın (parol meneceri/möhürlənmiş vərəq);
TOTP üçün - seed/QR saxlayın və ya ikinci telefon/profil bağlayın;
FIDO açarları üçün - iki açar (əsas + ehtiyat) açın.
3. Ağ ünvan/kart siyahılarını (whitelist) daxil edin: çıxış yalnız əvvəlcədən təsdiqlənmiş rekvizitlərə aiddir.
4. 2FA olmadan girişi qadağan edin: xidmət imkan verirsə, hər yeni cihaz/brauzer üçün 2FA tələb edin.
5. Cihazın biometrikası ilə 2FA-nı bağlayın: Print/Face ID.
6. Təhlükəsizlik xəbərdarlıqları: giriş, şifrə dəyişikliyi/2FA, çıxış cəhdləri barədə xəbərdarlıqları daxil edin.

Anti-fişinq və 2FA-da «gigiyena»

Heç vaxt dəstək işçilərinə kodları verməyin - buna real ehtiyac yoxdur.

Kodu daxil etməzdən əvvəl domeni yoxlayın; fişinq saytları tez-tez «görünüş üçün» 2FA soruşur.

Operatordan SMS ünvanını kəsin; şəxsi ziyarət/pasport olmadan SIM dəyişdirilməsi qadağasını qoşun.

Smartfonunuzda lok ekranı quraşdırın və şifrələyin - telefonunuzu itirmək təcavüzkara giriş imkanı verməməlidir.

TOTP üçün rezervasiya edin: Yeni telefona köçürmə ən çox istifadə olunan giriş itkisidir.

Tez-tez səhvlər və onlardan necə qaçmaq olar

Səhv	Nə təhdid edir	Necə düzgün
Yalnız SMS buraxıldı	SIM-swap/müdaxilə	TOTP və ya FIDO2 gedin, rezerv kimi SMS buraxın
Heç bir backup kodları	Telefon itkisi = bloklama	Dərhal yükləyin/çap edin, oflayn saxlayın
Bir aparat açarı	Itki/qırılma = uzunmüddətli bərpa	İki açar + alternativ TOTP konfiqurasiya
Təsdiq push «avtomat»	Başqasının əməliyyatının təsdiqi	Ekrandakı məbləği/metodu/yeri yoxlamaq, biometrikanı daxil etmək
whitelists yoxdur	«Sol» ünvana/karta çıxış	Etibarlı rekvizitlərin siyahılarını və onların dəyişdirilməsinin gecikməsini daxil edin

Kriptovalyutalar və kazinolar/maliyyə xidmətləri üçün xüsusiyyətlər

Kriptovalyutası: giriş, çıxış, adres əlavə, API açarları üçün 2FA daxil edin; address-whitelist və dəyişiklik gecikməsi istifadə edin (cooldown).

Online kazinolar/bukmeykerlər: 2FA + geri çəkilmə təsdiqi yoxlamaları sürətləndirir və əl holdinqləri ehtimalını azaldır.

Banklar/cüzdanlar: push/biometry və ya 3DS2 üstünlük; veb kabinetinə daxil olmaq üçün - TOTR/açar.

İkinci amili itirsəniz nə etməli

1. Backup kodları və ya ehtiyat açarı istifadə edin.

2. Yoxsa, KYC-dən keçin: aktual sənədləri əvvəlcədən saxlayın.

3. Bərpadan sonra şifrəni dəyişdirin, 2FA-nı yenidən yaradın, whitelist və aktiv sessiyaları yoxlayın.

2FA mini çek siyahısı (1 dəqiqə)

TOTP və ya FIDO2 əlavə edin (hər ikisi daha yaxşıdır).
Backup kodlarını oflayn saxla.
2FA-nı çıxış/köçürmələrə və rekvizitlərin dəyişdirilməsinə daxil edin.
Giriş/əməliyyat bildirişlərini daxil edin.
Whitelist ünvanları/kartları aktivləşdirin və onları dəyişdirmək üçün gecikmə.

FAQ (qısa)

Giriş üçün yalnız 2FA kifayətdirmi?

Yox. Əməliyyatları (çıxarış/köçürmələr) və rekvizitlərin dəyişdirilməsini təmin edin.

Hangisi daha etibarlıdır - SMS və ya proqram?

TOTP tətbiqi və ya hardware açarı. SMS - əsas ehtiyat.

Hardware açarı tələb olunur?

Məcburi deyil, lakin ən yaxşı qorunma səviyyəsini verir. Böyük məbləğlər üçün - çox tövsiyə olunur.

2FA - böyük effektlə sadə hərəkət: müstəqil yoxlama əlavə edir və pul və hesaba əsas hücum vektorlarını «kəsir». TOTP və ya FIDO2 konfiqurasiya edin, ehtiyat kodları saxlayın, kritik əməliyyatlarda 2FA-nı aktivləşdirin və whitelists istifadə edin - belə ki, əməliyyatlar zamanı real risklərin 90% -ni aradan qaldıracaqsınız.