Чому я повинен використовувати додаток Google Authenticator замість SMS?

Я використовую двофакторну автентифікацію Google, тому що я знаю, що доступ до мого облікового запису електронної пошти є скелетним ключем до всіх моїх інших облікових записів .

І ... це дуже дратує - я часто обмінююся комп’ютерами та іншими пристроями та використовую безліч нативних програм, які потребують доступу до моїх облікових записів google, але я знаю, що це найменше, що потрібно зробити, щоб захистити свою електронну пошту, оскільки це Єдине, що між мною і не роблять колодязів, які, можливо, хочуть скинути свій пароль на Netflix та передавати погані фільми, які можуть приглушити мої рекомендації.

Основний спосіб отримати необхідний код для входу (окрім пасажирського слова) для двофакторного аутентифікації Google - через додаток Google Authenticator, який можна встановити на свій телефон.

Але якщо у вас його не встановлено, або він не налаштований, або щось інше піде не так, вони надішлють вам код за допомогою SMS, який подається як більше резервного методу. Що підводить мене до мого питання. Припускаючи, що мені комфортно безпеку мого SMS-зв’язку:

Хіба SMS не є кращим способом отримання кодів, принаймні з точки зору зручності?

Якщо я відключу автентифікатор (запускає SMS-коди), коли мені потрібен код, він миттєво передається на мій телефон, без жодних дій від мене, і з’являється на будь-якому екрані, на якому я перебуваю. Я все.

Під час роботи Authenticator мені потрібно розблокувати телефон, відкрити автентифікатор, вибрати правильний код (у мене є два облікові записи Google), сподіваюся, що код не закінчиться (текст надсилає той, який "свіжий") тощо.

Я повністю розумію, що SMS дещо менш захищений: той, хто має мій телефон (і, мабуть, мій пароль), але не може розблокувати телефон, може бачити SMS-сповіщення, але не зміг відкрити Authenticator. Але це довгий постріл. Існує також той факт, що такі сервіси, як iMessage, передають SMS на інші пристрої, як-от Mac, iPad тощо. Але знову ж таки, припускаючи, що я добре контролюю доступ до свого SMS:

Чи є якась причина використовувати додаток Google проти просто отримувати тексти?

— Джейдлз
джерело

Відповіді:

Аутентифікатор працює навіть у тому випадку, коли у вас немає смартфонів для смартфона.

Я не знаю про вашого мобільного оператора, але я не довіряю моїй доставці SMS-повідомлень у будь-якому випадку, що нагадує своєчасний спосіб.

Крім того, він є більш безпечним, як ви зазначали.

— ель
джерело

У Google Authenticator є візуальний таймер зворотного відліку, тому ви завжди знаєте, коли буде змінено наступний код. Вибір правильного коду теж простий. У мене 6 облікових записів (2 Gmail) в Authenticator

— Kevan Sheridan

Це чудова відповідь - я про це не думав. Приймемо завтра, якщо припустити, що більше нічого не здасться, що здається більш актуальним. З цікавості ти знаєш, як це робити без зв’язку? Я припускаю, що це просто кешує купу кодів у додатку, тому вам достатньо заповнити деякий проміжок часу, хоча, мабуть, він також може генерувати їх у додатку (імовірно, на невизначений термін) у тому, що реплікується на стороні сервера.

— Джейдлз

Я не маю особливої думки про Google Secret Sauce ™. Що я читав про інші подібні системи, це те, що алгоритм використовує спільний ключ (чому вам потрібно було сканувати QR-код) і час генерувати шестицифрове число кожні 60 секунд.

— але

Google автентифікатор просто загортає надійний автогенерований пароль і генерує на основі часу (округлюється до наступних 30 секунд) або лічильника та надійного пароля одноразових паролів.

— Алло

Алгоритм дійсно простий, див. En.wikipedia.org/wiki/… . Автентифікатор за замовчуванням замінює лічильник часовою позначкою, але за бажанням ви можете використовувати лічильник у більшості програм автентифікатора, що допомагає, коли ваш годинник не синхронізований з годинником сервера.

— Алло

SMS - це найпоширеніший спосіб доставки OTP. Це зручно, оскільки майже у кожного є телефон, щоб вони могли легко отримувати SMS. У той же час, SMS вважається одним з найменш захищених методів отримання ОТП через ризик перехоплення або переадресації SMS-повідомлень. NIST вже не рекомендує двофакторні системи аутентифікації, які використовують SMS, через їхню багато непевності. Вони видали нові Керівні принципи цифрової ідентичності, закликаючи використовувати інші форми двофакторної аутентифікації.

Google Authenticator зберігає секретні ключі в захищених місцях пам'яті телефону. Якщо ваш телефон не вкорінений, то доступ до них може отримати лише Google Authenticator. Вони не можуть бути перехоплені або витягнуті. Отже, Google Authenticator є більш безпечним та надійним, ніж SMS.

— Християнин
джерело