WhatsApp превращает шестизначный PIN-код учетной записи в пароль

25 августа компания WhatsApp объявила о трёх изменениях в системе безопасности учётных записей. Одно из них, которое заметят большинство пользователей, находится в меню, которое они заполняли один раз и больше никогда не открывали: шестизначный PIN-код, используемый в рамках двухэтапной аутентификации. Теперь он превращается в пароль.

Шесть цифр можно угадать, а восемь символов — гораздо сложнее

Двухэтапная аутентификация — это тот уровень защиты, который срабатывает, когда кто-то другой получает доступ к вашему одноразовому SMS-коду. До сих пор это был шестизначный PIN-код. В собственном блоге WhatsApp необычно прямо говорится о том, как это работало на практике: «Если вы использовали 123456, сейчас самое время обновить его».

На смену ему приходит пароль. На скриншоте в объявлении WhatsApp изложены правила: не менее восьми символов, как минимум одна буква и одна цифра. Специальные символы допускаются, но не являются обязательными. Это не слишком высокий порог. Однако по сравнению с шестизначным кодом это всё же разница на порядок.

Эта мера защиты направлена против одной конкретной атаки. Любой, кто завладеет вашим номером телефона — пусть то посредством подмены SIM-карты, пусть то через старый номер, переданный кому-то другому, — также получит одноразовый код. Без второго барьера учётная запись будет утрачена в тот же миг.

Более одного ключа доступа — как для пользователей Android, так и для пользователей iPhone

По данным WhatsApp, более миллиарда человек настроили пароль-ключ. Пароль-ключ заменяет коды и PIN-коды отпечатком пальца, Face ID или блокировкой экрана. Нововведением является то, что для одной учетной записи можно установить более одного пароля-ключа. Раньше тем, кто пользовался одновременно телефоном на Android и iPhone, приходилось выбирать один из вариантов. Эта настройка находится в разделе «Настройки», «Аккаунт», «Пароли-ключи».

Пароли-ключи — это та часть, которая претерпела наибольшие изменения. Пароль может стать жертвой фишинга, как и SMS-код. Конфиденциальная часть пароля никогда не покидает устройство, поэтому обычный фишинг в данном случае бессилен. Однако это не устраняет все уязвимости: тому, кто взломает сессию, в которую вы уже вошли, не понадобится ни пароль, ни второй фактор аутентификации.

Android показывает, откуда поступает неизвестный звонок

Третье изменение касается исключительно Android. Когда звонит номер, которого нет в ваших контактах, WhatsApp теперь добавляет контекстную информацию: страну, к которой относится номер, а также указание на то, входят ли вы оба в какие-либо общие группы. На примере изображения в объявлении показан немецкий мобильный номер с пометкой «нет в ваших контактах» и «вы оба входите в 2 группы».

Эта функция направлена на борьбу с мошенническими звонками, в которых используется психологическое давление, связанное с нехваткой времени. WhatsApp формулирует это прямо: «Мошенники рассчитывают на срочность, поэтому, прежде чем ответить на звонок, уделите минутку внимания этой дополнительной информации». Речь идет о контексте, а не о системе обнаружения. Проверка фактического содержания сообщения — это отдельная проверка, которая также касается только незнакомых людей.

Что с этим делать

Эти три функции не появятся одновременно. WhatsApp описывает их в своём собственном сообщении как функции, над которыми компания «работает». Если сегодня в вашем приложении отсутствует опция пароля, это не означает, что что-то не работает.

Как только она появится, рекомендуется действовать в следующем порядке: сначала настройте пароль-ключ, а затем переключите двухэтапную аутентификацию на использование пароля. И выберите такой пароль, который вы действительно сможете вспомнить. WhatsApp запрашивает его редко — обычно при входе в систему с нового устройства, а именно в этот момент старое устройство может оказаться недоступным. О том, что ещё поможет в случае потери доступа, написано в отдельной статье.