Вопрос или проблема
При настройке своей учетной записи Android на своем телефоне меня спрашивают
Если хотите, вы можете добавить номер этого телефона в свою учетную запись ….
..например, ваш номер будет использоваться для:
Сброса вашего пароля, если вы забудете его
…
Как это может быть безопасно? Если кто-то возьмет мой телефон и запросит сброс пароля, он будет отправлен прямо в их руки? По умолчанию содержимое уведомлений отображается на экране блокировки, и это будет включать короткое SMS для сброса пароля.
Теперь я понимаю, что физическая потеря вашего устройства никогда не является хорошим событием с точки зрения безопасности, но давайте посмотрим на некоторые меры, которые предусмотрены для защиты вас в случае, если ваше устройство попадет не в те руки:
- Пользователи поощряются к установке экрана блокировки во время настройки
- Пароль учетной записи никогда не хранится на устройстве, вместо этого используются токены
- По умолчанию отладка и разблокировка загрузчика отключены, и для их включения требуется разблокировка экрана
- Даже когда отладка включена, требуется разблокировка экрана, чтобы добавить нового клиента отладки
- Разблокировка загрузчика вызывает сброс до заводских настроек
Все вышеупомянутое кажется подрываемым тем фактом, что при настройках по умолчанию вы можете отобразить токен сброса пароля на экране блокировки.
Разве Google не настолько глупы? Что я здесь упускаю?
Да, это действительно компромисс учетной записи Google, если вы потеряли Android-устройство, которое не защищено (с шифрованием диска + экраном блокировки). Наилучшей практикой будет возможность удаленного стирания устройства. Когда вы осознаете, что потеряли устройство, вам следует немедленно войти в свою учетную запись Google на ПК, чтобы обновить настройки двухфакторной аутентификации. Вы ничего не упускаете, использование номера телефона/SMS для двухфакторной аутентификации не является хорошим решением, и я бы хотел, чтобы мы прекратили это требование.
Вы можете предпринять следующие шаги
- Скрыть содержимое уведомлений на экране блокировки.
- Использовать надежный пароль (предпочтительно) или биометрические данные для блокировки телефона.
- Установить блокировку SIM-карты, чтобы ваша SIM-карта не могла использоваться в другом телефоне без PIN-кода безопасности.
Скрытие чувствительных уведомлений на экране блокировки само по себе предотвратит сценарий, который вы упомянули. Вот полезная ссылка по этому поводу в Android SE.
Ответ или решение
Безопасность Android: Передача номера телефона Google
Введение
При настройке аккаунта Android на вашем смартфоне может возникнуть вопрос о добавлении номера телефона. В частности, вас могут предупредить, что номер будет использоваться, например, для сброса пароля в случае его утери. Однако возможность сброса пароля с использованием SMS вызывает некоторое беспокойство: что произойдет, если другое лицо получит доступ к вашему телефону? Давайте подробно рассмотрим, как это работает и какие меры безопасности могут помочь защитить вашу учетную запись.
Проблема безопасности
Как вы правильно заметили, если злоумышленник получит доступ к вашему телефону, он потенциально сможет запросить сброс пароля, который будет отправлен на этот же номер. Обратите внимание, что уведомления по умолчанию отображаются на экране блокировки, и это может поставить под угрозу вашу безопасность. Ваша забота не безосновательна: это действительно компромисс, который пользователи Android должны учитывать.
Меры безопасности от Google
Несмотря на возможные риски, Google внедрила несколько мер безопасности для защиты пользователей в случае, если устройство попадает в чужие руки:
-
Экранирование устройства: При первоначальной настройке пользователи поощряются к установке экрана блокировки.
-
Отсутствие хранения паролей: Пароль аккаунта не сохраняется на устройстве; вместо этого используются токены, что усложняет доступ к вашему аккаунту.
-
Ограниченный доступ для отладки: По умолчанию функции отладки и разблокировки загрузчика отключены, и для их активации требуется разблокировка экрана.
-
Сброс настроек при разблокировке загрузчика: Разблокировка загрузчика приводит к полной очистке устройства и сбросу его до заводских настроек.
Несмотря на имеющиеся меры, остается важным помнить, что даже виртуальные меры безопасности не защищают от всех угроз.
Решения для повышения безопасности
Чтобы минимизировать риски, связанные с использованием номера телефона для сброса пароля, можно предпринять следующие шаги:
-
Скрытие уведомлений на экране блокировки: Настройте устройство так, чтобы на экране блокировки не отображалось содержимое уведомлений. Это поможет предотвратить утечку информации о сбросе пароля.
-
Использование надежного пароля или биометрии: Настоятельно рекомендуется использовать сложный пароль или биометрические методы (отпечаток пальца, распознавание лица) для защиты устройства.
-
Настройка блокировки SIM-карты: Убедитесь, что для использования вашей SIM-карты в другом устройстве требуется PIN-код. Это добавит дополнительный уровень защиты.
Обсуждение 2FA и альтернатив
Использование номера телефона для двухфакторной аутентификации (2FA) уступает другим более безопасным методам, таким как использование аутентификаторов на устройствах или аппаратных ключей безопасности. SMS-2FA имеет ряд уязвимостей, и сообщество специалистов по безопасности призывает к переходу на более надежные методы аутентификации.
Заключение
Ваши опасения относительно использования номера телефона для сброса пароля в учетной записи Google обоснованы, и важно быть проактивным в обеспечении безопасности вашего устройства. С учетом различных мер безопасности, предупреждений и рекомендаций, таких как скрытие уведомлений и установка блокировки экрана, вы можете значительно повысить уровень защиты вашей учетной записи. Всегда рекомендуется быть бдительным, а также следить за новейшими методами защиты, чтобы оставаться в безопасности в цифровом мире.