В этом посте немного позанудствую о двухфакторной авторизации, неудобстве и рисках, которые она добавляет. А заодно расскажу небольшую историю, в которой двухфакторная авторизация сыграла со мной злую шутку.
Хоть и редко, но всё же периодически в крипто-чатах наблюдаю вопросы-рассуждения новичков, касающихся того, а есть ли в кошельке или системе двухфакторная авторизация? Если нет, то как вы вообще живёте, как можно доверять кошельку или системе, где отсутствует такая вещь, как двухфакторная авторизация в привычном в последнее время понимании, через телефон или почту?
Полагаю, что всё таки большинство людей, имеющих дело с криптой, понимают всю абсурдность этих вопросов. Но так как вопрос о нехватке в крипте двухфакторной авторизации через почту/телефон возникает снова и снова, что я видел в чатах неоднократно собственными глазами, то позволю себе думать, что такой ликбез кому то может быть полезен. Кроме того, возможно, моя история покажется занятной.
Получается, что сейчас многие люди воспринимают двухфакторную авторизацию как некую "норму", "благо", "безопасность", а отсутствие двухфакторной авторизации как противоположность, то есть "отклонение от нормы", "нехватку безопасности". И даже среди приходящих в крипту (а это всё же определённый фильтр), находятся такие, которые не просто делают выбор в пользу централизованных бирж, ради удобства жертвуя безопасностью депозитов и собственной безопасностью, а которые вообще не понимают принципиальной разницы между доступом к своей крипте в блокчейне и аккаунтом в банке.
Ликбез — почему в крипте не место двухфакторной авторизации
В крипте, по задумке, приватный ключ обеспечивает безопасность вашего депозита. При создании кошелька вы получаете приватный ключ (или его альтернативы: фразу, файл с паролем и прочие), и далее самостоятельно несёте ответственность как за его сохранность, с одной стороны, так и за то, чтобы он не попал не в те руки, с другой стороны. При этом, не возможен в принципе никакой сервис по восстановлению для тех случаев, когда "забыл пароль".
Если есть такой продукт, в котором кто то может восстановить вам доступ к кошельку, то это тот случай, про который в мире крипты говорят "не ваши ключи — не ваши монеты". То есть, если называть всё своими именами, вы должны полагать, что существует некто столь честный, внимательный, великодушный и услужливый, кто сохранит ваши ключи в сохранности, но только для вас, и никогда, никогда-никогда не воспользуется вашими средствами.
Самое главное, что могу сказать любителям двухфакторки: если идея личной ответственности за приватные ключи вам кажется сомнительной, то и крипта, которая держится на этом принципе, и предлагает реализацию именно этого принципа как продукта, видимо, скоро рухнет, если это такой плохой принцип. Бегите из крипты поскорее!
Так что же за обещанная история?
Всё началось с того, что для покупки интересующих меня альткойнов, я пользовался одной из топовых барж. Что это за биржа, в данной истории не играет никакой роли. Точно такая же история могла произойти практически на любой бирже.
Пользовался биржей в таком режиме: раз в несколько месяцев заводил депозит в одной монете, тут же менял, и выводил в другой монете.
Естественно, ФИО и необходимые для регистрации данные были указаны от балды (чтобы избежать опасностей, связанных с предоставлением персональных данных, о которых я уже писал). Вторым фактором авторизации была проверка через ящик электронной почты на openmailbox.org. Теперь этого сервиса уже нет.
Разумеется, я помнил о том, что сервисы не вечны, и перед тем как закидывать монеты на биржу, заходил в свой почтовый ящик. Тем самым удостоверяясь в том, что сервис существует, и у меня есть к нему доступ. Но увы, это меня не спасло. Однажды я зашёл в почтовый ящик, закинул монеты на биржу, произвёл обмен, начал процедуру вывода, и понял, что войти то в ящик я вошёл, а вот получить, прочитать письмо не могу. То есть, почтовый сервис находился в таком состоянии, что интерфейс пользователя как то отображался, но фактически уже не работал.
Так и остался мой депозит на том аккаунте биржи.
Для тех, кто понимает, как работает крипта, но видит в ней также место и для KYC с двухфакторкой. Какая же мораль?
Что могли бы сказать сторонники KYC и двухфакторной авторизации об этой истории?
Предполагаю, что сказали бы они следующее:
- Двухфакторная авторизация это проверенный, отлично работающий механизм, и в данном случае он отработал как и положено.
- А проблему ты создал себе сам. Во-первых, решив избегать KYC. Во-вторых, указывая недостоверные данные при регистрации на бирже. Если бы не это, то обратился бы в службу поддержки, подтвердил свою личность, и восстановил бы контроль над своим депозитом.
И, находясь в своей парадигме мира, они будут, по-своему, правы.
Что же с моей точки зрения?
Во-первых, я полагаю, что такие случаи, как в изложенной выше истории, долгосрочно потенциально несут меньшие риски, по сравнению с предоставлением персональных данных сейчас в сфере криптовалют биржам обменникам и прочим.
Во-вторых, в моём понимании, значительная доля угроз депозиту, размещённому на централизованной бирже, находится не снаружи, а именно внутри биржи, со стороны владельцев и админов (о потенциальном скаме и произволе со стороны владельцев и админов биржи, прикрывающихся принципами KYC я рассуждал всё в той же уже упомянутой выше статье). А если значительная угроза внутри, а не снаружи, то и многофакторная авторизация значительно утрачивает свою ценность. Всё равно на своей кухне, внутри биржи, как захотят, так и порешают вопрос с депозитом клиента. Варианты правовой защиты и обращения в суд, извините, всерьёз не рассматриваю для себя и большинства клиентов бирж.
В третьих, при том, что монеты на бирже и не храню, угроза того, что мой аккаунт на бирже взломают, что это пройдёт незамеченным, и что мои монеты смогут похитить именно в те минуты, когда они будут присутствовать на бирже, и вовсе снижается практически до нуля. Как и ценность двухфакторной авторизации в случае такого режима использования биржи, как у меня.
В то же время, второй фактор добавляет риски потерять депозит. И не только для таких любителей no-KYC, как я. Такая ситуация как у меня с утратой контроля над почтой может быть просто поводом для биржи (или админов), чтобы обратить внимание на клиента, и, прикрываясь заботой о клиенте, присвоить монеты. Как вариант, даже если вы проходили KYC, а потом утратили почтовый ящик, нет никаких гарантий того, что вы ещё раз пройдёте проверку, и получите свой депозит.
В этом посте о положительных сторонах двухфакторной авторизации говорить не буду. Не потому, что их совсем нет. А потому, что с ними как раз всё ясно, и говорить тут нечего.
