Отключить код вконтакте. Настройка приложения для генерации кодов. ВКонтакте: быстрое восстановление пароля недоступно. Почему? Что делать
Не так давно мы опубликовали статью, как защитить учетную запись ВКонтакте от взлома хакеров и мошенников. К сожалению, многие пользователи социальных сетей даже не задумываются о способах защиты своих аккаунтов, пока не станут жертвами злоумышленников.
Одним из самых действенных способов усложнить взломщику чужих аккаунтов жизнь — это включить подтверждение входа ВКонтакте. После ввода логина и пароля сервис запросит специальный пароль из смс или приложения на смартфоне, который достаточно сложно заполучить хакеру.
Сегодня мы подробнее разберем, как включить двухфакторную аутентификацию ВКонтакте.
Как взламывают ВКонтакте?
Одна из моих подруг в социальной сети, Алиса Селезнева, добавила друзей в беседу с просьбой проголосовать за нее в конкурсе по ссылке. На первый взгляд ничего необычного – многие девушки участвуют в разнообразных конкурсах, обещающих разнообразные призы и часто обращаются к своим друзьям с просьбами отдать им свой голос или заветный лайк.
Но в нашем случае взломщик, укравший личность моей подруги, слишком торопился. Он добавил всех друзей из списка контактов взломанного аккаунта в одну беседу. Как часто Вы создаете беседу со всеми-всеми своими друзьями, родственниками, коллегами и соседями?
Кстати, если в поисковой строке вставить любое другое имя, то и имя в списке конкурсантов также изменится.
При нажатии на любую ссылку открывается окно с просьбой авторизоваться в социальной сети ВКонтакте. А вот и настоящая цель злоумышленника. Ненастоящее окно авторизации говорит о том, что настоящая цель этого фишингового сайта – заполучить Ваши логины и пароли для входа.
Данный метод взлома очень и очень простой. Злоумышленник пока еще не пытается в личной беседе уговорить Вас перевести ему немного денег, не договаривается о встрече, попутно прося положить денег на счет телефона для созвона или не пытается получить Ваши личные фотографии для шантажа. Большинство действий происходит автоматически, а в результате на руках у взломщика оказывается база логинов и паролей невнимательных пользователей.
Защищаемся от взлома при помощи подтверждения входа ВКонтакте
Двухфакторная авторизация или аутентификация – метод проверки личности пользователя при помощи дополнительного кода. Данный код приходит на телефон по смс, генерируется в специальном приложении или приходит на почтовый ящик. Чтобы получить данные коды, взломщик должен иметь физический доступ к телефону жертвы. Данная мера позволяет значительно обезопасить свою учетную запись и уберечь себя от взлома.
Как включить двухфакторную аутентификацию ВКонтакте?
Давайте разберем, как включить двухфакторную аутентификацию ВКонтакте на примере версии для компьютеров.
Но что делать, если wifi на телефоне есть, а сеть плохо ловит и смс с кодом подтверждения не приходит? Для этого нужно включить возможность входить в социальную сеть через специальное приложение.
Вот и все – приложение настроено!
В заключение
Теперь, при каждом входе в социальную сеть с незнакомого или нового устройства у Вас попросят ввести пароль, сгенерированный в приложении или пришедший по смс. Ввести несколько цифр займет меньше минуты, и это низкая цена за собственную безопасность.
Здравствуйте!
Сегодня заметил Вконтакте в «Мои настройки» новый пункт в разделе безопасности, который называется «Подтверждение входа». И сейчас мы рассмотрим более детально, что это из себя представляет и стоит ли включать эту функцию?
Подтверждение входа обеспечивает дополнительный уровень защиты Вашей страницы ВКонтакте. Вы можете защитить свою страницу с помощью мобильного телефона.
Суть проста: Включаем опцию, настраиваем. Вконтакте запоминает последний браузер, с которого Вы входили на страницу, как только браузер меняется — на страницу Вы не попадете, пока не введете спец.коды, которые сгенерируете или же не подтвердите вход SMS-кодом.
Описание и этапы подключения.
Заходим в «Мои настройки».
Нажимаем кнопку «Подключить». Если подвести курсор к вопросительному знаку, то мы увидим описание функции:
После нажатия на кнопку появится окно с описанием, где можно подробнее прочитать о нововведении:
Соглашаемся и приступаем к настройке. Подтверждаем свой мобильный телефон.
Настройка выполнена, запоминаем текущий браузер и переходим к следующему шагу.
Пароли приложений. Здесь мы можем сами создать пароль для мобильного приложения Вконтакте. К сожалению, эта опция доступна пока что только для Android-смартфонов . На данный момент iPhone и Windows Phone данной функцией не обладают , но можно добавить руками.
Меню паролей приложений выглядит таком образом:
Вводим название приложения и создается пароль.
Чтобы не запутаться, что и куда вводить — внимательно читайте текст на формах и записывайте, что предлагают.
Все. Теперь Вконтакте запоминает браузер, с которого был осуществлен вход в последний раз. Также можно управлять сеансами, как и с IP-адресами.
Хочу отметить тот факт, что при включении данной опции — быстрая смена пароля не работает . Если Вы потеряете пароль, то необходимо будет делать полное восстановление, а это: Подтверждение по E-mail и по телефону. Но особой роли это не играет.
Давайте же проверим в деле данную опцию. Пробуем зайти через другой браузер. После ввода данных открывается окошко, где необходимо ввести сгенерированные коды, которые можно взять в настройках, если нет доступа к телефону (ниже будет описание) или же получить код через SMS и ввести его:
Зачем и для чего нужно — все написано на форме. Когда коды заканчиваются — можно сгенерировать новые и желательно распечатать или сохранить где-нибудь в надежном месте.
На мой взгляд функция необходимая и ее желательно включить. Даже если Вы где-то оставите свой пароль по неосторожности, то Вашей страницей без Вашего же ведома воспользоваться не смогут.
Оговорюсь, что перед тем, как приступить к работе над статьей, все свои наблюдения я изложил на HackerOne. Ни один из описанных багов Вконтакте не признали. Но когда перед публикацией статьи я решил сделать подтверждающие скриншоты, оказалось, что один из багов все-таки был исправлен. То, что к моим словам прислушались, не может не радовать. Жаль только, что ребята даже “спасибо” не сказали.
Итак, ошибка №1. Статичный секретный ключ.
Чтобы подключить к своему аккаунту приложение для генерации OTP, пользователь вводит пароль, после чего перед ним открывается страница с секретным ключом, необходимым для выпуска программного токена. Пока все правильно.
Но если по какой-либо причине пользователь не активировал программный токен сразу (например, отвлекся на важный звонок, или просто передумал и вернулся на главную страницу), то когда через некоторое время он все-таки решит получить токен, ему опять предложат тот же секретный ключ.
Усугубляет ситуацию еще и то, что в течение получаса после ввода пароля, даже если вы перешли на главную страницу или вышли из аккаунта, а потом снова вошли, перед показом QR кода с секретом повторно пароль не запрашивается.
Чем это опасно?
Токен Вконтакте, как и любой другой TOTP токен работает по достаточно простому принципу: генерирует одноразовые пароли по алгоритму на основании двух параметров - времени и секретного ключа. Как вы сами понимаете, единственное, что нужно для компрометации второго фактора аутентификации - это знать СЕКРЕТНЫЙ КЛЮЧ.
Подобная уязвимость оставляет злоумышленнику две лазейки:
- Если пользователь отойдет от компьютера, у злоумышленника будет достаточно времени, чтобы скомпрометировать его секретный ключ.
- Завладев паролем пользователя, злоумышленник легко может подсмотреть его секретный ключ наперед.
Решить вопрос элементарно просто. Секретный ключ должен менятся каждый раз после обновления страницы, как это происходит, например, в Facebook.
Ошибка №2. Новый токен после перевыпуска использует тот же секретный ключ.
На момент публикации статьи этот недостаток был устранен.
Ситуация, описанная выше, усугубляется тем, что при повторном выпуске токена, Вконтакте не предложит вам новый секретный ключ. По сути, к вашей странице привязывается 1 секретный ключ и сменить его вы уже не сможете.
Чем это опасно?
Если вы узнали, что ваш секретный ключ скомпрометирован (например, при первом выпуске токена, как описано в первом пункте), двойная аутентификация Вконтакте больше вам не нужна. Смело отключайте второй фактор и подберите пароль посильней. Перевыпустить токен с новым секретом не представляется возможным.
Если Вы потеряли телефон, на котором был установлен токен, можете сделать то же самое. Тот, к кому в руки попал ваш смартфон, сможет спокойно использовать его для входа в ваш аккаунт. Осталось узнать только пароль. При этом вся суть двухфакторной аутентификации теряется. Понятно, что если пользователь заметит дискредитацию своего аккаунта, он может связаться с суппортом, но на это будет потрачено драгоценное время, которого у него может не быть.
Ошибка № 3. Отключение второго фактора без запроса одноразового пароля.
Здесь все понятно из названия. При отключении второго фактора, достаточно ввода пароля, OTP не запрашивается.
Чем это опасно?
Если для отключения двойной аутентификации Вконтакте достаточно только ввода пароля, теряется сама суть двухфакторной аутентификации. А суть двухфакторной аутентификации заключается в том, что недостатки одного фактора перекрываются преимуществами другого. В vk.com это фактор знания (пароль) и фактор владения (телефон). Это было придумано для того, чтобы компрометации одного из факторов не было достаточно для получения доступа к аккаунту. Если у злоумышленника есть ваш пароль, для взлома аккаунта ему не будет хватать одноразового пароля, и наоборот, если он завладел вашим телефоном, то ему нужно будет дополнительно узнать пароль.
Здесь же получается, что достаточно узнать пароль пользователя, чтобы попросту отключить второй фактор аутентификации. По сути, это превращает двухфакторную аутентификацию Вконтакте в однофакторную.
Вконтакте предлагает своим пользователям очень удобную функцию “Снять подтверждение с текущего браузера”. Я уверен, что функция пользуется популярностью и пользователи отключают подтверждение, как минимум, дома, и на работе. Более того, у большинства пользователей пароли сохранены в браузерах, где их можно легко просмотреть и скопировать.
Представим такую ситуацию, ваш коллега решил над вами подшутить. Пока вас не было на рабочем месте, он зашел к вам на компьютер, посмотрел в браузере сохраненные пароли, вошел в VK и отключил 2FA. Теперь он сможет заходить в ваш аккаунт до тех пор, пока вы не заметите перемен, что может произойти совсем не скоро. Вы и раньше не вводили одноразовый пароль на тех устройствах, которыми чаще всего пользуетесь, значит для вас ничего не поменяется. А шутник-коллега получит полный доступ к вашему аккаунту, и никто не знает к чему это может привести.
Если бы не был исправлен баг с перевыпуском токена, когда при повторном выпуске токена секретный ключ не менялся, ситуация могла бы стать еще интересней! Ваш коллега, уже зная пароль, мог бы отключить 2FA, после чего опять подключить двухфакторную аутентификацию, увидел бы при этом секретный ключ, выпустил бы себе токен, идентичный вашему, и мог бы читать ваши сообщения до тех пор, пока жив ваш аккаунт.
Выводы
При подключении двухэтапной аутентификации к аккаунту Вконтакте, появляется памятка, которая гласит “Даже если злоумышленник узнает Ваш логин, пароль и использованный код подтверждения, он не сможет попасть на Вашу страницу со своего компьютера."
К сожалению, выяснилось, что это не совсем правда. При определенных обстоятельствах посторонний сможет узнать чужой токен Вконтакте или даже полностью отключить второй фактор, зная ваш пароль. Жду ваших мнений.
Мы с вами уже говорили про взлом страницы вконтакте (см. ). Злоумышленники могут узнать ваш логин, и подобрать пароль (см. ). И тогда им удасться зайди на вашу страницу.
Чтобы этого не случилось, вконтакте была введена дополнительная мера безопасности — двойная авторизация (двухфакторная). Смысл этой функции в том, что после введения , вам необходимо еще указать секретный код, полученный через смс или иным способом. Таким образом, вероятность взлома снижается в разы. Даже если злоумышленники знают ваши учетные данные, у них не будет кода, чтобы войти на страницу.
Сейчас я покажу вам, как активировать двойную авторизацию вконтакте, и настроить приложение для генерации кодов .
Как включить двухфакторную авторизацию вконтакте?
Идем на свою страницу, и переходим в раздел «Настройки» .
Открываем вкладку «Безопасность» . Здесь в разделе «Подтверждение входа» , нажимаем кнопку «Подключить» .
Откроется форма — в ней нажмите кнопку «Приступить к настройке» .
Вас попросят заново ввести пароль от страницы (см. ). Сделайте это и нажмите кнопку «Подтвердить» .
Получите код на ваш телефон, и укажите его в форме. Затем нажмите кнопку «Отправить код» .
Настройка приложения для генерации кодов
Следующий шаг — настройка приложения для генерации кодов. Вам предлагают установить приложение, которое позволит генерировать коды для входа, даже без подключения к сети сотовой связи.
Используйте Google Authenticator для Iphone и смартфонов на базе андроид. И Authenticator — для телефонов в Windows Phone. Установите соответствующее приложение на ваш гаджет.
Вот так выглядит окно с QR кодом, и секретным кодом в ВК.
Теперь запустите установленное приложение, и сканируйте указанный код.
Теперь вставьте полученный код из приложения, и нажмите кнопку «Подтвердить» .
Приложение для генерации кодов успешно настроено!
Вы будете перемещены во вкладку «Безопасность» . Теперь здесь можно сделать следующие операции.
- Сменить номер телефона (см. );
- Показать список резервных кодов;
- Настроить приложение для генерации кодов;
- Настроить пароли приложение;
- Отключить двух этапную аутентификацию вконтакте.
Видео урок: двухфакторная авторизация вконтакте
Заключение
Вконтакте - самая крупная социальная сеть в странах СНГ - ежемесячно сервис посещает более 955 миллионов пользователей. Аккаунты Вконтакте используются для авторизации на огромном количестве сервисов и сайтов. Кроме того, относительно недавно пользователи сети получили возможность отправлять денежные средства прямо с помощью сообщений.
Высокая популярность “Вконтакте” делает ее привлекательной площадкой для злоумышленников. В этих условиях очень важно обеспечить максимальную безопасность для своей учетной записи. Дополнительную защиту аккаунта можно получить, настроив двухфакторную аутентификацию (2FA).
Как включить двухфакторную аутентификацию для аккаунта “Вконтакте”
- Войдите в вашу учетную запись и перейдите на страницу Настройки . Затем выберите вкладку Безопасность .
- Самая верхняя секция называется Подтверждение входа . Нажмите ссылку "Подключить".
- Откроется всплывающее окно, информирующее о том, что при включении двухфакторной аутентификации для доступа к вашему аккаунту будет использоваться номер мобильного телефона. Нажмите кнопку Приступить к настройке .
- В следующем окне нужно проверить свой номер телефона или указать новый номер, после чего нажмите кнопку Получить код .
- На номер телефона будет выслан код подтверждения. Введите данный код в поле ниже, а потом нажмите кнопку Подтвердить и Завершить настройку .
- На этом настройка завершена. Теперь при попытке входа в вашу учетную запись с неизвестного устройства на телефон будет приходить SMS-сообщение с кодом доступа.
В секции Подтверждение входа , нажав по ссылке Резервные коды вы сможете сгенерировать и сохранить аварийные коды, которые можно использовать при отсутствии доступа к мобильному устройству.
В качестве второго этапа аутентификации, вместо SMS-сообщение можно использовать одноразовые коды, сгенерированные в приложении-аутентификаторе, работающем по алгоритму TOTP. Чтобы активировать данный способ аутентификации, предварительно установите на ваше мобильное устройство приложение для аутентификации, например, Google Authenticator или Authy , и проделайте простые действия:
- В секции Подтверждение входа рядом с опцией Приложения для генерации кодов нажмите ссылку "Включить".
- По соображениям безопасности будет запрошен текущий пароль от вашей учетной записи. Введите корректный пароль и “Подтвердить”.
- На следующем экране появится QR-код, которые нужно просканировать с помощью мобильного приложения. Если вы изображение не распознается сканером, то вручную введите в приложение 16-значный секретный ключ.
- Введите 6-значный одноразовый код, сгенерированный в приложении. После этого аутентификация через приложение будет настроена.
После успешного выполнения двухфакторной проверки в браузере, вы можете запомнить данный браузер, чтобы не больше не вводить второй фактор при входе в аккаунт на данном устройстве.
В случае необходимости, вы сможете сбросить коды на всех доверенных устройствах или только на текущем устройстве. В этом случае во время следующей попытки авторизации будет снова запрошен код подтверждения.
Если кто-либо попытается войти в ваш аккаунт, то вы получите всплывающее предупреждение об этом.
Как отключить двухфакторную аутентификацию в аккаунте Вконтакте
В любой момент вы можете отключить двухфакторную аутентификацию для учетной записи “Вконтакте”. Однако, помните, что в данном случае для доступа к вашему аккаунту злоумышленнику достаточно будет знать пароль. Для отключения двухфакторной аутентификации, проделайте следующие шаги:
- Зайдите в меню
