Привет! В предыдущей статье мы рассмотрели и я, как и обещал, сегодня расскажу вам о встроенной двухуровневой системе безопасности ВК, позволяющей почти на 100% предотвратить кражу пароля и вход с вашей странички посторонними пользователями.

Первым делом вам нужно зайти на свою страницу на сайте VK.COM и в левом меню выбрать “мои настройки”. В самом верху нужно выбрать вторую вкладку “безопасность”:

Для начала настроим ПОДТВЕРЖДЕНИЕ ВХОДА. Подтверждение входа обеспечивает надёжную защиту от взлома: для входа на страницу следует ввести одноразовый код, полученный по SMS или иным подключённым способом.

Для активации нужно нажать на кнопку “подключить”. Вас перебросит на всплывающее окно с информационной брошюрой. Подтверждение входа с помощью телефона. Подтверждение входа обеспечивает дополнительный уровень защиты Вашей страницы ВКонтакте. Вы можете защитить свою страницу с помощью мобильного телефона.
Внимание: когда подтверждение входа включено, услуга восстановления пароля по номеру телефона становится недоступной. Поэтому настоятельно рекомендуем привязать к странице актуальный e-mail, указать истинные имя и фамилию и загрузить свои настоящие фотографии в качестве главных, прежде чем продолжить настройку.

Проверка Вас не утомит: для получения доступа к своему аккаунту с нового браузера или устройства достаточно ввести код подтверждения всего один раз.

Даже если злоумышленник узнает Ваш логин, пароль и использованный код подтверждения, он не сможет попасть на Вашу страницу со своего компьютера.

Вам остается лишь нажать на кнопку “Приступить к настройке”, находящейся в правом нижнем углу экрана. Появится еще одно окно, предлагающее вам ввести свой текущий пароль от странички вконтакте.

Подтверждение действия. Для подтверждения действия Вам необходимо заново ввести пароль от Вашей страницы.

Введите ваш пароль в предназначенное для ввода поле и нажмите на кнопку “Подтвердить”. Если вы ввели его правильно – появится еще одно окно, в котором вам предложат получить КОД ПОДТВЕРЖДЕНИЯ на мобильный номер, привязанный к страничке ВК.

Подтверждение действия. Для подтверждения действия мы вышлем на Ваш мобильный телефон бесплатное SMS-сообщение с кодом.

Если указан не тот номер – жмите на кнопку “изменить” и привяжите новый. Если все ОК – жмите на кнопку “получить код”. На ваш телефон в течении 5 секунд должен прийти 5-ти значный цифровой код от адресата VKcom.
VK 56732 – код для активации подтверждения входа на страницу.

Вводите его в специальное поле и жмите на кнопку “отправить код”:

Как только нужны код будет введен, будет активирована настройка подтверждения входа.

Подтверждение входа. Проверка подтверждения входа успешно активирована.

Не забудьте распечатать резервные коды. Они позволят Вам подтверждать вход, когда у Вас нет доступа к телефону, например, в путешествии.

При желании можно поставить галочку в поле “запомнить текущий браузер”. Это даст дополнительную защиту от несанкционированного доступа.

Затем жмите “завершить настройку”.

Теперь нужно перейти к более тонким настройкам. Все там же, на вкладке “безопасность” нужно получить резервные коды и распечатать их или сохранить в надежном месте.

Резервные коды для подтверждения входа. У Вас есть ещё 10 кодов, каждым кодом можно воспользоваться только один раз. Распечатайте их, уберите в надежное место и используйте, когда потребуются коды для подтверждения входа.
1. 0562 0104
2. 6747 5654
3. 3004 5587
4. 5521 8277
5. 1491 1308
6. 6061 3403
7. 2282 4633
8. 7984 0853
9. 4645 4558
10. 2779 8441
Вы можете получить новые коды, если они заканчиваются. Действительны только последние созданные резервные коды.

Вы можете нажать на кнопку “распечатать коды”. Тут же сгенерируется страница, которую можно отправлять на печать.

Храните коды в надежном месте и используйте их для
подтверждения входа, когда у Вас нет при себе телефона.
Каждым кодом можно воспользоваться только один раз.
Вы можете всегда получить новые резервные коды в
настройках на Вашей странице ВКонтакте.

Вот как будет выглядеть напечатанная страница с кодами:

Теперь вернемся опять на вкладку БЕЗОПАСНОСТЬ и поговорим о приложениях для генерации кодов. Этой функцией удобно пользоваться с мобильных телефонов и планшетов. Щелкните по кнопке “Приложение для генерации кодов (включить)”.

Откроется окно с настройками.

Настройка приложения для генерации кодов. Приложения для генерации кодов подтверждения двухэтапной аутентификации позволяют получать коды даже без подключения к сети и сотовой связи.
Воспользуйтесь любым приложением для генерации кодов двухэтапной аутентификации. Например, Google Authenticator для iPhone, Android, Authenticator для Windows Phone.

Просканируйте в приложении QR-код или введите секретный ключ, указанный ниже. Затем, чтобы подтвердить правильную настройку приложения, введите код подтверждения из приложения.

Возвращаемся вновь на вкладку “БЕЗОПАСНОСТЬ” и щелкаем по ссылке “Настроить пароли приложений”.

Пароли приложений.

У Вас ещё нет паролей приложений.

Теперь просто введите название на латинице и нажмите “создать пароль”. Откроется окно с вашим паролем для приложения.

Пароли приложений.

Ваш пароль для приложения SMMis:
10yj emew ekyc ydul

Введите только что созданный пароль в приложение вместо своего пароля.
Запоминать этот пароль не нужно. Ввести его потребуется только один раз.

Настройка завершена. Жмите на кнопку “ЗАКРЫТЬ”.

Пароли приложений.

Некоторые приложения пока не поддерживают аутентификацию с подтверждением входа. Если приложение выдает ошибку, связанную с паролем, Вам нужно создать для него специальный пароль и ввести его вместо обычного пароля от страницы. Для каждого приложения необходимо сгенерировать свой отдельный пароль. Пароли приложений вводятся всего один раз, Вам не нужно их запоминать.

При желании можно создать новый и удалить старый.

Теперь поговорим о подтверждении браузера. Можно снять подтверждение:
– с текущего браузера
– на остальных устройствах

Текущий браузер это тот, с помощью которого была открыта соц. сеть вконтакте в момент включения подтверждения входа.

После удаления браузера из проверенных Вам потребуется ввести новый код подтверждения при следующем сеансе работы.

Если хотите удалить – жмите на кнопку “удалить из проверенных”. Появится надпись – “Статус проверенного с данного браузера снят”.

Если речь идет про другие устройства, тот тут алгоритм аналогичный.

Коды подтверждения на других устройствах

После сброса всех проверенных устройств Вам необходимо будет снова ввести коды подтверждения на всех устройствах и браузерах, за исключением текущего.

Сброс также завершит активные сеансы и удалит пароли приложений.

Жмите на кнопку “сбросить”, если хотите их обнулить. Появится надпись “Коды на других устройствах сброшены”.

Для того, чтобы отключить подтверждения входа, нужно нажать по соответствующей кнопке на вкладке безопасность.

Вам придется ввести текущий пароль от своей страницы ВК. Если ошибетесь при вводе, то появится надпись “Указан неверный пароль.”. Вы можете всегда задать новый. Как только вы введете верный пароль – функция подтверждения входа будет отключена.

Теперь поговорим об истории активности. История активности показывает информацию о том, с каких устройств и в какое время Вы входили на сайт. Если Вы подозреваете, что кто-то получил доступ к Вашему профилю, Вы можете в любой момент прекратить эту активность.

Соответственно если вы подозреваете, что забыли выйти у друга дома из вконтакте или кто-то еще сидит с вашей странички, то это легко проверить и одним кликом мыши выйти со всех страниц, кроме той, что открыта в вашем браузере.

Жмите на кнопку “показать историю активности” и если вы увидите входы с других браузеров и IP, то стоит нажать на кнопку “завершить все сеансы” и сменить пароль от страницы:

И последний рубеж защиты – это защита передаваемых данных:

Если вы сидите с публичной вайфай сети или не уверены в надежности подключения, то просто поставьте галочку – “Всегда использовать защищенное соединение (HTTPS)” и нажмите на кнопку “сохранить”.

Соединение по безопасному протоколу означает, что все Ваши данные передаются в зашифрованном виде, так что злоумышленники не смогут их перехватить. Безопасное соединение необходимо включать при использовании ненадежных каналов связи, например, бесплатных или публичных WiFi-сетей.Внимание! Защищенное соединение может замедлять работу сайта, поэтому его стоит использовать только в небезопасных сетях.

Вот в принципе и все настройки безопасности, которые нам предлагает вконтакте. Если остались вопросы – задавайте их в комментариях.

Крупнейшая социальная сеть ВКонтакте ввела на сайте двухэтапную авторизацию. Теперь, по желанию пользователя, помимо ввода логин-пароля, он может защитить свой аккаунт вводом PIN-кода. Пин- код Вконтакте обеспечит лучшую защиту ваших данных от взлома. Как активировать и правильно настроить функцию «Подтверждение Входа» VK. А также как правильно пользоваться данной функцией — вы сможете узнать, прочитав нашу статью.

Что такое PIN-код для VKontakte?

Итак, введем вас в курс дела. Разработчики всерьез озаботились проблемой защиты личных данных своих пользователей VK уже давно. Поначалу взломать страницу было проще простого, но со временем методы защиты становились все более сложными. А теперь в битве взломщиков против Контакта произошел серьезный перевес в сторону последнего.

После привязки аккаунта к номеру мобильного телефона, разработчикам удалось значительно уменьшить волну вскрытия страниц. Вскоре те же разработчики оптимизировали все наработанное годами — вводом Пин-кода для ВК. Теперь каждый, кто имеет аккаунт VKontakte, может настроить функцию пин-кода. Тем самым пользователь получает как-бы двойную защиту своего аккаунта.

Для авторизации помимо заполнения полей логина и пароля, нужно будет вводить специальный код, который будет присылаться вам через бесплатное смс сообщение. Естественно, это смс будет привязано к номеру вашего мобильного оператора. Если вы не хотите возиться с смс сообщениями, то вы сможете воспользоваться специальным приложением для смартфона — генератором кодов для ВКонтакте. Так же настоятельно рекомендуется скопировать себе список резервных кодов, которые можно будет использовать в случае отсутствия под рукой телефона. Следует сразу успокоить некоторых «ленивых» пользователей — PIN-код приходит только по вашему запросу и только после Вашей активации этой функции.

Как включить подтверждение входа PIN-кодом?

Для того что бы подключить «Подтверждение входа» в Контакте, вам нужно на своей страничке зайти в меню «Мои Настройки». Во вкладке «Общее» — найдите группу настроек «Безопасность Вашей страницы» . Напротив пункта «Подтверждение входа», необходимо нажать на кнопку «Подключить» .

Теперь при входе в свой аккаунт ВК вам будет предложено «Введите код». Что, собственно говоря, вам и следует сделать.

Сообщение: «Произведена попытка входа в ваш аккаунт с IP»

Pin-код будет действовать только один раз. Один вход — один пин-код. Даже если «злым людям» удастся заполучить ваш PIN-код и логин с паролем от «ВКонтакте», то воспользоваться ими они не смогут. А вы получите в виде всплывающего окна сообщение «Произведена попытка входа в ваш аккаунт с IP в котором будет содержаться IP-адресс компьютера, с которого пытались незаконно войти в ваш аккаунт.

В таком случае паниковать не следует, т.к. Контакт уже предупредил попытку взлома вашей страницы. А вы сможете вычислить и наказать попавшегося на горячем человека по IP адрессу его компьютера.

«Запомнить браузер» ВКонтакте или как отключить ввод пин-кода

Если вы не хотите использовать функцию ввода пина, так как, к примеру, вы находитесь дома и входите со своего ПК. То вам следует воспользоваться функцией «Запомнить браузер», для её активации просто нужно поставить галочку в всплывшем окошке. Функция позволит вам запомнить место и ваш родной браузер с которого вы авторизуетесь и вам больше не потребуется ввод пин-кода для данного браузера на вашем PC. В любой момент вы сможете обнулить все настройки либо на текущем устройстве, либо на всех проверенных устройствах.

ВАЖНО! Просто отключить данную функцию подтверждения входа PIN-кодом вы не сможете. Вам следует при первом входе с вашего браузера на компьютере, ноутбуке, смартфоне или телефоне, внести один раз PIN-код и обязательно поставить галочку против «Запомнить браузер». После этого вам не потребуется каждый раз вводить пин-код при входе в VK с этих устройств.

В случае если ваша SIM-карта будет утеряна, либо выйдет из строя, а функция подтверждения PIN-кодом будет активирована, вы сможете воспользоваться формой восстановления через email. Введение двухэтапной авторизации позволит защитить ваши личные данные, а ваш аккаунт будет всегда под защитой «службы безопасности» VK.

Практика двойного ввода уже успешно используется во многих крупных социальных сетях, таких как Twitter, Facebook, Google. Многие интернет банки также пользуются PIN-кодом подтверждения. И вот наконец то VK.com тоже усилил защиту наших с Вами личных данных.

«ВКонтакте всегда заботится о Вашей безопасности» - с самых первых дней существования этот девиз был неотъемлемой частью этой соц. сети. И уже сегодня был сделан еще одни очень большой и значительный шаг для безопасности вашего аккаунта!

Подключение дополнительного способа проверки

Новая функция подтверждения входа позволит вам ещё больше защитить ваш аккаунт от "нежелательных" посетителей. Функция была добавлена относительно недавно и доступна всем пользователям. Давайте рассмотрим этапы подключения:

Активировать нашу функцию можно перейдя в «Мои Настройки », открываем вкладку «Общее », подгруппа настроек «Безопасность Вашей страницы ». Напротив пункта «Подтверждение входа » клацаем «подключить ».

Теперь мы защитили нашу страницу и активировали функцию. Отныне, правильного ввода пары логин&пароль будет не достаточно, чтобы зайти на вашу страницу. Будет необходимо ввести специальный код присланный вам с помощью СМС. Обратите внимание, что вам необходимо поставить галочки на соответствующих пунктах.

Присланный с помощью СМС сообщения код действительный лишь один раз, что обеспечивает максимальную защиту от подбора. То есть, даже если код перехватят или же «подсмотрят в телефоне» зайти уже будет невозможно. Обратите внимание на то, что функция «Приложение для генерации кодов» лично у меня не внушает доверия и вовсе является не удобной. Советую её отключить. Двигаемся дальше, уважаемые читатели.

Постоянное пользование проверенными устройствами

ВКонтакте позаботились о нервах людей и решили избавить нас от бесконечной проверки на доверенных устройствах. При авторизации у вас будет возможность запомнить данное устройство и избавить себя от тонны СМС"ок.

Хочу заметить, что в любое время у вас будет возможность "скинуть " авторизацию на всех устройствах и в случае чего зайдя на вашу страницу нужно будет ввести снова (новый) код. Это поможет нам обезопасить себя на новом уровне!

Я тебя по IP вычислю!
Теперь вы будете получать моментальное уведомление о том, что кто-либо пытался зайти на вашу страницу с помощью ввода пары логин&пароль. Соответствующее уведомление будет высвечиваться в традиционном стиле «уведомления ВКонтакте»

Больше информации

Оговорюсь, что перед тем, как приступить к работе над статьей, все свои наблюдения я изложил на HackerOne. Ни один из описанных багов Вконтакте не признали. Но когда перед публикацией статьи я решил сделать подтверждающие скриншоты, оказалось, что один из багов все-таки был исправлен. То, что к моим словам прислушались, не может не радовать. Жаль только, что ребята даже “спасибо” не сказали.

Итак, ошибка №1. Статичный секретный ключ.

Чтобы подключить к своему аккаунту приложение для генерации OTP, пользователь вводит пароль, после чего перед ним открывается страница с секретным ключом, необходимым для выпуска программного токена. Пока все правильно.

Но если по какой-либо причине пользователь не активировал программный токен сразу (например, отвлекся на важный звонок, или просто передумал и вернулся на главную страницу), то когда через некоторое время он все-таки решит получить токен, ему опять предложат тот же секретный ключ.

Усугубляет ситуацию еще и то, что в течение получаса после ввода пароля, даже если вы перешли на главную страницу или вышли из аккаунта, а потом снова вошли, перед показом QR кода с секретом повторно пароль не запрашивается.

Чем это опасно?

Токен Вконтакте, как и любой другой TOTP токен работает по достаточно простому принципу: генерирует одноразовые пароли по алгоритму на основании двух параметров - времени и секретного ключа. Как вы сами понимаете, единственное, что нужно для компрометации второго фактора аутентификации - это знать СЕКРЕТНЫЙ КЛЮЧ.

Подобная уязвимость оставляет злоумышленнику две лазейки:

1. Если пользователь отойдет от компьютера, у злоумышленника будет достаточно времени, чтобы скомпрометировать его секретный ключ.
2. Завладев паролем пользователя, злоумышленник легко может подсмотреть его секретный ключ наперед.

Решить вопрос элементарно просто. Секретный ключ должен менятся каждый раз после обновления страницы, как это происходит, например, в Facebook.

Ошибка №2. Новый токен после перевыпуска использует тот же секретный ключ.

На момент публикации статьи этот недостаток был устранен.

Ситуация, описанная выше, усугубляется тем, что при повторном выпуске токена, Вконтакте не предложит вам новый секретный ключ. По сути, к вашей странице привязывается 1 секретный ключ и сменить его вы уже не сможете.

Чем это опасно?

Если вы узнали, что ваш секретный ключ скомпрометирован (например, при первом выпуске токена, как описано в первом пункте), двойная аутентификация Вконтакте больше вам не нужна. Смело отключайте второй фактор и подберите пароль посильней. Перевыпустить токен с новым секретом не представляется возможным.

Если Вы потеряли телефон, на котором был установлен токен, можете сделать то же самое. Тот, к кому в руки попал ваш смартфон, сможет спокойно использовать его для входа в ваш аккаунт. Осталось узнать только пароль. При этом вся суть двухфакторной аутентификации теряется. Понятно, что если пользователь заметит дискредитацию своего аккаунта, он может связаться с суппортом, но на это будет потрачено драгоценное время, которого у него может не быть.

Ошибка № 3. Отключение второго фактора без запроса одноразового пароля.

Здесь все понятно из названия. При отключении второго фактора, достаточно ввода пароля, OTP не запрашивается.

Чем это опасно?

Если для отключения двойной аутентификации Вконтакте достаточно только ввода пароля, теряется сама суть двухфакторной аутентификации. А суть двухфакторной аутентификации заключается в том, что недостатки одного фактора перекрываются преимуществами другого. В vk.com это фактор знания (пароль) и фактор владения (телефон). Это было придумано для того, чтобы компрометации одного из факторов не было достаточно для получения доступа к аккаунту. Если у злоумышленника есть ваш пароль, для взлома аккаунта ему не будет хватать одноразового пароля, и наоборот, если он завладел вашим телефоном, то ему нужно будет дополнительно узнать пароль.

Здесь же получается, что достаточно узнать пароль пользователя, чтобы попросту отключить второй фактор аутентификации. По сути, это превращает двухфакторную аутентификацию Вконтакте в однофакторную.

Вконтакте предлагает своим пользователям очень удобную функцию “Снять подтверждение с текущего браузера”. Я уверен, что функция пользуется популярностью и пользователи отключают подтверждение, как минимум, дома, и на работе. Более того, у большинства пользователей пароли сохранены в браузерах, где их можно легко просмотреть и скопировать.

Представим такую ситуацию, ваш коллега решил над вами подшутить. Пока вас не было на рабочем месте, он зашел к вам на компьютер, посмотрел в браузере сохраненные пароли, вошел в VK и отключил 2FA. Теперь он сможет заходить в ваш аккаунт до тех пор, пока вы не заметите перемен, что может произойти совсем не скоро. Вы и раньше не вводили одноразовый пароль на тех устройствах, которыми чаще всего пользуетесь, значит для вас ничего не поменяется. А шутник-коллега получит полный доступ к вашему аккаунту, и никто не знает к чему это может привести.

Если бы не был исправлен баг с перевыпуском токена, когда при повторном выпуске токена секретный ключ не менялся, ситуация могла бы стать еще интересней! Ваш коллега, уже зная пароль, мог бы отключить 2FA, после чего опять подключить двухфакторную аутентификацию, увидел бы при этом секретный ключ, выпустил бы себе токен, идентичный вашему, и мог бы читать ваши сообщения до тех пор, пока жив ваш аккаунт.

Выводы

При подключении двухэтапной аутентификации к аккаунту Вконтакте, появляется памятка, которая гласит “Даже если злоумышленник узнает Ваш логин, пароль и использованный код подтверждения, он не сможет попасть на Вашу страницу со своего компьютера."

К сожалению, выяснилось, что это не совсем правда. При определенных обстоятельствах посторонний сможет узнать чужой токен Вконтакте или даже полностью отключить второй фактор, зная ваш пароль. Жду ваших мнений.

Вконтакте - самая крупная социальная сеть в странах СНГ - ежемесячно сервис посещает более 955 миллионов пользователей. Аккаунты Вконтакте используются для авторизации на огромном количестве сервисов и сайтов. Кроме того, относительно недавно пользователи сети получили возможность отправлять денежные средства прямо с помощью сообщений.

Высокая популярность “Вконтакте” делает ее привлекательной площадкой для злоумышленников. В этих условиях очень важно обеспечить максимальную безопасность для своей учетной записи. Дополнительную защиту аккаунта можно получить, настроив двухфакторную аутентификацию (2FA).

Как включить двухфакторную аутентификацию для аккаунта “Вконтакте”

• Войдите в вашу учетную запись и перейдите на страницу Настройки . Затем выберите вкладку Безопасность .
• Самая верхняя секция называется Подтверждение входа . Нажмите ссылку "Подключить".

• Откроется всплывающее окно, информирующее о том, что при включении двухфакторной аутентификации для доступа к вашему аккаунту будет использоваться номер мобильного телефона. Нажмите кнопку Приступить к настройке .
• В следующем окне нужно проверить свой номер телефона или указать новый номер, после чего нажмите кнопку Получить код .
• На номер телефона будет выслан код подтверждения. Введите данный код в поле ниже, а потом нажмите кнопку Подтвердить и Завершить настройку .
• На этом настройка завершена. Теперь при попытке входа в вашу учетную запись с неизвестного устройства на телефон будет приходить SMS-сообщение с кодом доступа.

В секции Подтверждение входа , нажав по ссылке Резервные коды вы сможете сгенерировать и сохранить аварийные коды, которые можно использовать при отсутствии доступа к мобильному устройству.

В качестве второго этапа аутентификации, вместо SMS-сообщение можно использовать одноразовые коды, сгенерированные в приложении-аутентификаторе, работающем по алгоритму TOTP. Чтобы активировать данный способ аутентификации, предварительно установите на ваше мобильное устройство приложение для аутентификации, например, Google Authenticator или Authy , и проделайте простые действия:

1. В секции Подтверждение входа рядом с опцией Приложения для генерации кодов нажмите ссылку "Включить".
2. По соображениям безопасности будет запрошен текущий пароль от вашей учетной записи. Введите корректный пароль и “Подтвердить”.
3. На следующем экране появится QR-код, которые нужно просканировать с помощью мобильного приложения. Если вы изображение не распознается сканером, то вручную введите в приложение 16-значный секретный ключ.
4. Введите 6-значный одноразовый код, сгенерированный в приложении. После этого аутентификация через приложение будет настроена.

После успешного выполнения двухфакторной проверки в браузере, вы можете запомнить данный браузер, чтобы не больше не вводить второй фактор при входе в аккаунт на данном устройстве.

В случае необходимости, вы сможете сбросить коды на всех доверенных устройствах или только на текущем устройстве. В этом случае во время следующей попытки авторизации будет снова запрошен код подтверждения.

Если кто-либо попытается войти в ваш аккаунт, то вы получите всплывающее предупреждение об этом.

Как отключить двухфакторную аутентификацию в аккаунте Вконтакте

В любой момент вы можете отключить двухфакторную аутентификацию для учетной записи “Вконтакте”. Однако, помните, что в данном случае для доступа к вашему аккаунту злоумышленнику достаточно будет знать пароль. Для отключения двухфакторной аутентификации, проделайте следующие шаги:

1. Зайдите в меню