Приложение-аутентификатор или SMS что безопаснее для MFA

Как это работает

CISA ранжирует методы MFA по устойчивости: FIDO/security key сильнее приложений, а SMS/email-коды относятся к более слабым вариантам. Если phishing-resistant способ недоступен, приложение с number matching обычно предпочтительнее простого SMS. Настройки безопасности открывайте только через известный адрес сервиса или официальное приложение. Ссылка из письма, SMS или push не должна быть маршрутом к вводу пароля или recovery-кода.

Совет: Открывайте настройки безопасности через сохранённый адрес или официальное приложение, не через неожиданное сообщение.

Порядок настройки без лишних изменений

1. Открыть настройки security аккаунта и перечислить все доступные методы.
2. При наличии выбрать fido/webauthn или passkey как более устойчивый вариант.
3. Для приложения предпочесть number matching или totp простому push без контекста.
4. Оставить sms только когда более сильные методы недоступны или нужен резерв.
5. Сохранить recovery-коды отдельно и проверить восстановление до потери телефона.

Важно: Любой MFA обычно лучше одного пароля, поэтому не отключайте второй фактор только из-за отсутствия идеального метода.

Как понять, что настройка сработала

Проверьте, какие методы реально поддерживает сервис, и не удаляйте рабочий резерв до тестового входа новым способом. Для приложения убедитесь, что push показывает контекст или number matching, а TOTP сохраняется в доверенном аутентификаторе. SMS оставляйте как запасной вариант только если политика сервиса это требует.

Что выбрать в типичных ситуациях

• Метод. Уровень
• FIDO/WebAuthn. Phishing-resistant
• Authenticator + number matching. Сильный промежуточный вариант
• TOTP. Полезно, но код можно выманить
• SMS/email. Слабее других распространённых методов

Перед сохранением профиля

• Открыть настройки security аккаунта и перечислить все доступные методы
• Проверен ключевой параметр: MFA
• Проверьте, какие методы реально поддерживает сервис, и не удаляйте рабочий резерв до тестового входа новым способом
• Сохранить recovery-коды отдельно и проверить восстановление до потери телефона

Предупреждение: Приложение-аутентификатор тоже бывает разным: простой push без контекста уязвим к MFA-fatigue, number matching снижает этот риск, TOTP не подтверждается одним нажатием.

Как выбрать более сильный второй фактор

Если сервис предлагает несколько методов, не сводите выбор к «приложение против SMS». Наиболее устойчивы к фишингу FIDO/WebAuthn и security keys; среди приложений лучше варианты с number matching или TOTP, чем слепое подтверждение push. SMS оставляйте как запасной метод, если более сильный недоступен. Перед удалением старого способа проверьте новый вход и восстановление на отдельном устройстве.

Ограничения и крайние случаи

Приложение-аутентификатор тоже бывает разным: простой push без контекста уязвим к MFA-fatigue, number matching снижает этот риск, TOTP не подтверждается одним нажатием. Но CISA ставит phishing-resistant FIDO/WebAuthn выше этих методов; SMS — запасной вариант, а не эталон.

Не забудьте про recovery

Сильный второй фактор не компенсирует слабую процедуру восстановления. Проверьте резервную почту, телефон, recovery-коды и список зарегистрированных устройств. Злоумышленник будет искать самый простой обход, а не обязательно атаковать основной MFA.

Смена телефона и резервный вход

При смене телефона не откладывайте проверку резервного входа. Второй фактор полезен только пока вы сами можете восстановить доступ без обращения к злоумышленнику или старому номеру. Храните recovery-коды офлайн или в отдельном защищённом месте и периодически удаляйте устаревшие зарегистрированные устройства.

Что учитывать

Приложение-аутентификатор тоже бывает разным: простой push без контекста уязвим к MFA-fatigue, number matching снижает этот риск, TOTP не подтверждается одним нажатием. Но CISA ставит phishing-resistant FIDO/WebAuthn выше этих методов; SMS — запасной вариант, а не эталон.

Источники и проверка

Фактическая часть сверена по первичным источникам (в т.ч. Require Multifactor Authentication). Пример и формулировки — редакция N1RO на 2026-09-22.

• Require Multifactor Authentication
• Implementing Number Matching in MFA Applications