Apple зробила вхід по SMS більш безпечним в iOS 14

Цього року команда Apple, яка займається безпекою iOS, запропонувала змінити формат одноразових SMS-паролів, щоб зробити більш безпечним вхід за допомогою двофакторної авторизації. Реалізація функції не змусила себе довго чекати: Apple підтвердила, що зміни з'являться вже в iOS 14 і macOS Big Sur. З їх допомогою користувачам буде складно зайти на фішингові сайти, навіть якщо вони повністю імітують справжні. А все тому, що коди, надіслані по SMS для входу по двофакторній авторизації, будуть прив'язані до конкретного домену в інтернеті.

Безпека iOS 14

В iOS 14 і macOS Big Sur автоматичне заповнення коду двоетапної автентифікації буде пропонуватися тільки в тому випадку, якщо сайт, на якому пропонується ввести цей код, або додаток збігається з прив'язаним доменом. Припустимо, ви отримали код по SMS, пов'язаний з доменом twitter.com, щоб увійти в Твіттер. В iOS 14 і macOS Big Sur цей код можна буде автозаповнити тільки в офіційному додатку або на сайті Twitter.

Це ще один спосіб захисту від хакерів, які часто обманюють користувачів, створюючи підроблені (фішингові) сайти. Вони виманюють спочатку логін і пароль, а потім і код з двофакторної авторизації. Якщо код автоматично не буде заповнений на сайті, користувач зрозуміє, що перед ним не справжній сайт, а його підробка.

Наприклад, якщо ви отримали SMS-повідомлення, яке пов'язане з сайтом example.com, автозаповнення буде працювати тільки на цьому сайті, а також з будь-яким піддоменом або додатком, пов'язаним з example.com. Якщо в SMS згадується сайт на зразок example.net, заповнити код з двофакторної авторизації вже не вийде.

Тепер справа за розробниками - їм потрібно зробити прив'язку кодів до своїх доменів і додатків відповідно до документації Apple. Хоча звичайні коди двофакторної автентифікації будуть продовжувати працювати, Apple рекомендує розробникам оновити коди до нового стандарту.

Ще один спосіб, як шахраї виманюють логіни і паролі користувачів - фішингові листи. Користувачеві приходить лист нібито від Apple, він авторизується, і зловмисники отримують доступ до його Apple ID. Двофакторна авторизація може захистити від цього. У будь-якому випадку варто бути уважним, якщо витратити хоча б 30 секунд на вивчення листа, можна відразу виявити шахраїв. Тут ми розповіли, як можна це зробити.

При отриманні таких листів пересилайте їх на Ця електронна адреса захищена від спам-ботів. Вам необхідно увімкнути JavaScript, щоб побачити її..

Чи можна прибрати паролі?

Цього року Apple приєдналася до альянсу Fido - це організація, яка хоче домогтися позбавлення від паролів. Пропозиція Fido полягає в тому, що довірені пристрої повинні в майбутньому замінювати паролі. Це буде працювати так само, як двофакторна автентифікація (2FA) з використанням пристроїв Apple. Коли ви намагаєтеся увійти на новий пристрій Apple з вашим Apple ID, компанія відправляє код на довірений пристрій, і ви вводите цей код.

Хоча екосистема Apple обмежена власними пристроями, альянс хоче, щоб всі виробники приєдналися до цього руху. Тому ви також зможете авторизуватися на смартфоні Android, планшеті Android, Chromebook, Windows PC або будь-якому іншому довіреному пристрої. Інший член правління Fido, Nok Nok Labs, вже пропонує SDK для Apple Watch.