Двухфакторная аутентификация и сайдлоад-приложения

АвторScarlet iOS Team Обновлено

Двухфакторная аутентификация (2FA) – одна из самых эффективных мер безопасности, и она становится особенно важной, когда вы занимаетесь сайдлоадингом приложений. Использование приложений вне App Store создаёт несколько особых моментов, связанных с 2FA: от того, как некоторые инструменты сайдлоадинга взаимодействуют с вашим Apple ID, до того, как работают приложения-аутентификаторы при установке через сайдлоадинг. В этом руководстве собрано всё, что вам нужно знать.

Почему 2FA особенно важна при сайдлоадинге

Сайдлоадинг расширяет поверхность атаки вашего iPhone. Если вредоносное приложение похитит ваши учётные данные для важного аккаунта, 2FA выступает в роли критически важного дополнительного барьера: злоумышленнику нужен не только ваш пароль, но и доступ к устройству аутентификации. Без 2FA на важных аккаунтах скомпрометированных учётных данных достаточно, чтобы атакующий получил доступ. С 2FA ему понадобится ещё и одноразовый код.

Именно поэтому включение 2FA на всех важных аккаунтах должно быть обязательным условием, а не запоздалой мерой, для всех, кто занимается сайдлоадингом приложений.

Типы 2FA и уровни их безопасности

2FA по SMS

Самая распространённая форма, но и самая слабая. SMS-коды можно перехватить с помощью атак с подменой SIM-карты (SIM-swapping), когда злоумышленники убеждают вашего оператора связи перевести ваш номер телефона на их SIM-карту. Тем не менее это лучше, чем отсутствие 2FA вообще, но по возможности стоит перейти на более надёжный вариант.

Приложения-аутентификаторы TOTP

Приложения на основе одноразовых паролей с привязкой ко времени (Time-based One-Time Password), такие как Google Authenticator, Authy или 1Password, генерируют коды локально на вашем устройстве без связи с сервером. Эти коды меняются каждые 30 секунд, и перехватить их гораздо сложнее, чем SMS. Это рекомендуемый базовый уровень защиты для большинства аккаунтов.

Аппаратные ключи безопасности

Физические устройства (например, YubiKey), которые должны физически присутствовать при аутентификации. Самая надёжная из доступных форм 2FA. Особенно полезны для почты, банковских и аккаунтов разработчиков. Некоторые модели YubiKey поддерживают NFC, что делает их удобными в использовании с iPhone.

Passkeys

Система passkey от Apple встраивает надёжную аутентификацию прямо в устройство, полностью заменяя пароли для поддерживаемых сервисов. Passkeys устойчивы к фишингу: они синхронизируются через iCloud Keychain, и у вредоносного приложения просто нет пароля, который можно было бы украсть и использовать повторно.

Как инструменты для sideloading взаимодействуют с вашим Apple ID

Это важный момент, который нужно понимать. Некоторые сервисы для sideloading запрашивают ваш Apple ID и пароль, чтобы подписывать приложения от вашего имени. Если вы используете такой сервис:

  • У вас запросят код двухфакторной аутентификации (2FA) при входе в систему
  • После аутентификации у сервиса могут остаться долгоживущие учётные данные, для использования которых повторный ввод 2FA не требуется
  • Вы доверяете сервису не злоупотреблять вашими учётными данными

Scarlet iOS подписывает приложения с помощью общего сертификата, а не вашего Apple ID, поэтому пароль от Apple ID он не запрашивает. Обратная сторона в том, что Apple может в любой момент отозвать этот общий сертификат. Если сервис для sideloading запрашивает ваш Apple ID, задумайтесь, оправдывает ли выгода предоставление этому сервису доступа к вашей учётной записи. Для более рискованных сервисов стоит завести отдельный Apple ID, который будет использоваться только для sideloading.

Sideload-приложения для аутентификации

Некоторые пользователи устанавливают через sideloading приложения-аутентификаторы, которых нет в App Store: например, определённое TOTP-приложение, сопутствующее приложение для аппаратного ключа или решение для самостоятельно развёрнутой аутентификации. Если вы делаете это, учтите следующее:

Резервные коды обязательны

Если вы установили через sideloading приложение-аутентификатор и оно перестало работать (например, из-за отзыва сертификата), вы можете потерять доступ к учётным записям, использующим его для 2FA. Всегда сохраняйте резервные коды при настройке 2FA в любом сервисе. Храните эти резервные коды в надёжном месте без подключения к сети.

Экспортируйте свои TOTP-ключи (seeds)

Большинство приложений-аутентификаторов позволяют экспортировать TOTP-ключи: секретные данные, на основе которых генерируются коды. Периодически экспортируйте их и храните в надёжном месте. Если ваше приложение перестанет работать, вы сможете импортировать их в другой аутентификатор.

Используйте несколько устройств или резервный метод

Не полагайтесь исключительно на установленный через sideloading аутентификатор для важных учётных записей. Держите под рукой резервный метод аутентификации (дополнительное устройство, аппаратный ключ или резервные коды).

Особая защита вашего Apple ID

Ваш Apple ID – это главный ключ к вашему устройству iOS. Он должен иметь максимально надёжную защиту с двухфакторной аутентификацией:

  • Убедитесь, что двухфакторная аутентификация Apple включена: Настройки → [Ваше имя] → Вход и безопасность → Двухфакторная аутентификация
  • Проверьте доверенные устройства: доверенные номера телефонов находятся в разделе «Вход и безопасность», а доверенные устройства перечислены внизу экрана [Ваше имя]
  • Удалите все устройства или номера телефонов, которые вы не узнаёте
  • Используйте надёжный уникальный пароль, который не применяется больше нигде

Рекомендации по 2FA для каждого аккаунта при использовании сайдлоадинга

  • Apple ID: встроенная двухфакторная аутентификация Apple (обязательна)
  • Почтовый аккаунт: аппаратный ключ или TOTP-приложение, поскольку почта служит способом восстановления доступа ко всем остальным аккаунтам
  • Банк: тот вариант, который предлагает ваш банк, плюс регулярная проверка на несанкционированный доступ
  • Социальные сети: как минимум TOTP-приложение
  • Менеджер паролей: TOTP-приложение плюс набор резервных кодов, надёжно сохранённый в офлайне

Что делать, если коды 2FA не работают

Коды TOTP зависят от того, правильно ли установлено время на вашем iPhone. Если коды не работают:

  1. Проверьте, что время на iPhone устанавливается автоматически: Настройки → Основные → Дата и время → Автоматически: включено
  2. Если вы используете TOTP-приложение, найдите в его настройках опцию «синхронизировать время» или «исправить время»
  3. Перезапустите приложение-аутентификатор
  4. При необходимости используйте резервные коды в качестве экстренной меры

Подведём итоги

2FA и сайдлоадинг не противоречат друг другу: они работают вместе, создавая безопасный опыт использования. Включите надёжную двухфакторную аутентификацию на всех важных аккаунтах, будьте осторожны с инструментами для сайдлоадинга, которые запрашивают ваш Apple ID, и держите наготове резервные методы аутентификации на случай сбоя в работе сайдлоаднутого приложения-аутентификатора.

Более подробные практики безопасности вы найдёте в нашем руководстве по безопасности сайдлоадинга iOS, а также о том, как защитить свою конфиденциальность при использовании сторонних магазинов приложений.

Безопасный сайдлоадинг начинается с надёжной основы: начните работу со Scarlet iOS уже сегодня.

Похожие записи