Как настроить двухфакторную аутентификацию в PayPal

Опубликовано Anna Июл 3, 2019 | 4 коммент.

Двухфакторная аутентификация в PayPal появилась еще в 2007 году. Пользователь, который хотел защитить вход в PayPal, мог заказать аппаратный токен за 5 долларов прямо из личного кабинета. 

И хотя со временем компания отказалась от собственных аппаратных токенов в пользу SMS аутентификации, что порядочно снизило уровень защиты PayPal, сегодня ситуация опять меняется к лучшему:

1. С 2018 года кроме SMS аутентификации для входа в PayPal можно использовать MFA приложения (Google Authenticator, Protectimus Smart и тп). 
2. К PayPal опять можно подключать аппаратные токены. Единственный нюанс — подойдут только токены с возможностью прошивки.

Как включить двухфакторную аутентификацию в PayPal?

Шаг 1

Для активации двухфакторной аутентификации в PayPal войдите в меню настроек.

Шаг 2

Выберите вкладку “БЕЗОПАСНОСТЬ” (SECURITY).

Шаг 3

Найдите пункт “Двухэтапная проверка” (2-step verification) и нажмите на кнопку “Настройка” (Set Up)

Шаг 4

На данном этапе необходимо выбрать один из доступных способов двухфакторной аутентификации: SMS или 2FA приложение. Перепрошиваемые аппаратные токены подключаются к PayPal как MFA приложение.

• SMS. При выборе SMS аутентификации необходимо ввести реальный номер телефона, на который вам сразу придет сообщение с одноразовым кодом для подтверждения номера. Мы не рекомендуем использовать SMS аутентификацию, если у вас есть возможность установить 2FA приложение или заказать аппаратный токен для PayPal.
• 2FA приложение.  Выберите этот пункт, если хотите подключить приложение для генерации одноразовых паролей или прошиваемый аппаратный токен Protectimus Slim NFC.

Шаг 5

• Если у Вас еще не установлено приложение для генерации одноразовых паролей, установите бесплатное приложение Protectimus Smart OTP или любое другое приложение для двухфакторной аутентификации.
• Если вы хотите использовать аппаратный токен Protectimus Slim NFC, его нужно приобрести заранее. Это должен быть только прошиваемый TOTP токен. Процедура подключения прошиваемого аппаратного токена к PayPal ничем не отличается от подключения приложения для двухфакторной аутентификации. Для настройки токена понадобится Android смартфон с поддержкой NFC.

На этом этапе вы увидите QR код с секретным ключом. Просканируйте секретный ключ приложением для двухфакторной аутентификации или приложением Protectimus TOTP Burner, если Вы подключаете аппаратный токен. Секретный ключ также можно ввести в приложение вручную.

Детальная инструкция по прошивке секретного ключа в аппаратный токен для PayPal Protectimus Slim NFC доступна здесь.

Шаг 6

Чтобы завершить процесс настройки двухфакторной аутентификации в PayPal, сгенерируйте одноразовый пароль на своем токене и введите его в соответствующее поле.

Шаг 7

Создайте резервный токен. Если вы потеряете доступ к текущему токену, то сможете возобновить доступ к PayPal, используя резервный токен. Помните, что если на данном этапе вы выберите SMS аутентификацию, то общий уровень защиты PayPal аккаунта снизится, даже если на предыдущем этапе вы подключили аппаратный токен. Лучший вариант  — использовать аппаратный токен как основной способ аутентификации, а приложение как резервный, или наоборот.

Какой способ двухфакторной аутентификации в PayPal лучше?

Чтобы ответить на этот вопрос, мы расставили способы двухфакторной аутентификации, доступные в PayPal, от самого сильного к самому слабому. Вот что получилось: 

I место — Аппаратный токен

II место — 2FA приложение

III место — SMS аутентификация

Аппаратный токен

1. Аппаратные токены — это автономные изолированные устройства.
2. Токен никогда не подключается к интернету, поэтому его невозможно заразить вирусом.
3. Одноразовые пароли генерируются на самом устройстве, а не передаются по GSM каналам как SMS, поэтому одноразовый пароль невозможно перехватить.
4. Даже если вы потеряли токен, человек, который его найдет, не сможет получить доступ к вашей учетной записи. Во-первых, кроме токена ему нужен пароль, во-вторых, скорее всего, он даже не поймет кто владелец токена и с каким сервисом его использовали.

Главный недостаток аппаратного токена — его стоимость и то, что рано или поздно батарейка токена перестанет работать и вам необходимо будет купить новый токен.

| Читайте также: Одноразовые пароли: алгоритмы генерации и обзор основных видов токенов

2FA приложение

Приложения для двухфакторной аутентификации — это попытка объединить надежность аппаратного токена с удобством SMS аутентификации. По сути, подключая к PayPal Google Authenticator, пользователь получает автономное устройство для генерации одноразовых паролей прямо на своем смартфоне.

Такой PayPal аутентификатор намного надежней, чем двухфакторная аутентификация с помощью SMS. Но поскольку смартфон — это устройство с доступом в интернет, используя 2FA приложение для защиты входа в учетную запись PayPal, нужно помнить о следующих рисках:

1. При потере смартфона, вы рискуете одновременно потерять и логин с паролем и токен аутентификации.
2. Есть риск заражения мобильными вирусами, которые умеют вытягивать одноразовые пароли из 2FA приложений.

| Читайте также: Как работает двухфакторная аутентификация

SMS аутентификация

Прежде всего, нужно отметить, что SMS аутентификация — это лучше, чем ничего. Если у вас нет возможности установить приложение или заказать аппаратный токен, смело подключайте к PayPal 2FA с помощью SMS.

О недостатках SMS аутентификации было написано много. Основные риски можно разделить на три группы:

1. Возможность подмены SIM карты пользователя.
2. Возможность перехвата SMS сообщения посредством внедрения в инфраструктуру SMS провайдера или взлома плохо защищенных сотовых сетей.
3. Возможность перехвата SMS сообщения прямо с мобильного устройства пользователя посредством внедрения вируса.

Одним из самых громких случаев обхода SMS аутентификации стал взлом учетной записи работника Reddit. Злоумышленники умело воспользовались уязвимостями SMS аутентификации и скомпрометировали данные сотен тысяч пользователей соцсети.

Но на этих трех пунктах недостатки SMS аутентификации не заканчиваются. Немало проблем при прохождении SMS верификации в PayPal возникнет, если пользователь окажется в другой стране (в роуминге) или вне зоны доступа сети оператора.

| Читайте также: Голландские исследователи нашли еще одну критическую уязвимость SMS аутентификации

Часто задаваемые вопросы

Читайте также:

• Аппаратный или программный токен — какой выбрать
• Эволюция средств двухфакторной аутентификации
• Биометрическая аутентификация — плюсы и минусы
• Социальная инженерия: как это работает
• Вирус-шифровальщик – платить или нет
• Что такое фишинг и как не попасть в его сети
• Как защититься от взлома электронной почты
• Кража денег с банковских карт — самые распространенные способы
• Защита данных во время интернет-шопинга: 9 полезных советов