Резервные коды восстановления — зачем нужны и как хранить
Резервные коды восстановления — список одноразовых кодов, который сервис выдаёт при включении двухфакторной аутентификации. Каждый код пускает в аккаунт один раз вместо кода из приложения и гаснет после использования. Нужны, когда телефон с генератором потерян или сломан.
Определение
Резервные коды восстановления — аварийный вход, выданный заранее. Вы включаете двухфакторную аутентификацию, сервис показывает список из восьми-десяти строк вида 4k7m9x2q и просит сохранить. Каждая строка один раз заменяет код из приложения-генератора и затем вычёркивается навсегда.
Отличие от TOTP принципиальное. Код в приложении живёт 30 секунд и пересчитывается из секрета бесконечно — пока телефон с секретом у вас в руках. Резервный код не пересчитывается: он лежит на сервере захешированным до первого предъявления. Расходник, а не генератор.
Резервная почта и контрольный вопрос возвращают доступ к паролю — через поддержку и ожидание от суток. Список кодов срабатывает сразу. Тем и ценен в ночь перед вылетом.
Как работает
Сервер генерирует пачку случайных значений, показывает их один раз открытым текстом и хранит только хеши. Ввели код — сервер сверил хеш, пустил вас и погасил эту строку. Остальные работают дальше.
| Сервис | Что выдаёт вместо кода из приложения |
|---|---|
| 10 кодов по 8 цифр; «Получить новые коды» обнуляет прежний список | |
| GitHub | 16 кодов: скачать файлом, распечатать, скопировать |
| Telegram | списка нет, облачный пароль сбрасывают по резервной почте |
| Госуслуги, банки РФ | списка нет, доступ возвращают по подтверждению личности |
Перегенерация — деталь, на которой спотыкаются. Новый список мгновенно убивает старый целиком, поэтому лист, распечатанный два года назад, после нажатия «обновить коды» становится бумажкой с цифрами. Обновили — уничтожьте прежнюю копию.
Связанные концепции
Где теряют доступ, хотя коды «сохранены»:
- скриншот в галерее телефона: телефон утонул — коды утонули, а галерея закрыта той же двухфакторкой;
- коды лежат в заметках того самого аккаунта, к которому дают доступ, — замкнутый круг;
- израсходовано 9 из 10 кодов, новый список не выпущен — следующая потеря телефона окончательная;
- коды пересланы себе в «Избранное»: кто угнал активную сессию, забирает их вместе с историей (см. сессионный токен);
- у рабочего аккаунта коды остались у уволившегося сотрудника, второй фактор не сбросили.
Рабочая схема — две копии в разных средах: бумага в сейфе или у родителей плюс запись в менеджере паролей со своим мастер-паролем и вторым фактором. И учтите: вход по QR-коду на компьютере резервные коды не отменяет — сканировать картинку нечем, когда телефона нет.
Частые вопросы
Сколько резервных кодов выдаёт сервис?
Обычно 8–10 штук по 8–10 символов, у отдельных сервисов до 16. Google даёт 10 кодов по 8 цифр, GitHub — 16 строк, Microsoft ограничивается одним длинным кодом восстановления. Число не настраивается: список выдают целиком в момент включения двухфакторной аутентификации.
Что делать, если резервные коды закончились?
Сгенерировать новый список в настройках безопасности, пока доступ ещё есть. Старые коды умирают все сразу, даже неиспользованные. Проверяйте остаток раз в год: если из десяти строк вычеркнуты восемь, обновляйте список, не дожидаясь, пока кончится последняя.
Можно ли хранить резервные коды в менеджере паролей?
Да, это одно из двух нормальных мест — если сам менеджер закрыт мастер-паролем и вторым фактором, не совпадающим с тем аккаунтом, чьи коды вы храните. Второе место — бумажная копия вне дома. Скриншот в облачной галерее и заметка в том же телефоне не подходят.
Резервный код не подошёл — в чём причина?
Три причины. Код уже израсходован — каждая строка работает один раз, отмечайте использованные. Список перегенерирован: мёртв весь старый лист, даже нетронутые строки. Либо это код из генератора — шесть цифр и жизнь 30 секунд, а резервный длиннее и по таймеру не сгорает.
Резервные коды и одноразовый пароль из SMS — одно и то же?
Нет. Код из SMS сервис генерирует и присылает сам в момент входа, он живёт минуты и зависит от работающего номера. Резервные коды выданы заранее, лежат у вас и работают без сети и без SIM-карты — поэтому они спасают и при потере телефона, и при подмене SIM.
Автор материала
Андрей СамойловЭксперт по QR-кодам и SaaS-маркетингу. 10 лет в SaaS, маркетинге и ИТ.
Об авторе и все материалы