WhatsApp отказывается от 6-значного PIN-кода двухэтапной верификации в пользу полноценных паролей аккаунта, и это тихое изменение является самым серьёзным обновлением безопасности WhatsApp за последние годы. PIN-код никогда не останавливал решительного злоумышленника: шесть цифр — это миллион комбинаций, и большинство людей выбирали дату рождения в этом диапазоне. Настоящий пароль, сгенерированный необходимой длины и сохранённый в правильном месте, закрывает дверь, через которую группы, совершающие SIM-своп атаки, пробиваются последнее десятилетие. Схема хорошо известна. Злоумышленник убеждает оператора сотовой сети перевести ваш номер на новую SIM-карту, получает регистрационный код WhatsApp и наследует все чаты, группы и бизнес-контакты, привязанные к вашему аккаунту. Надёжные пароли не остановят сам SIM-своп, но они остановят злоумышленника от завершения захвата, как только он получит ваш номер.
Семь Android-приложений тестировались в течение четырёх недель на одном устройстве, чтобы найти те, которые действительно защищают аккаунт WhatsApp, его резервную копию Google Drive и связанные устройства.
На что обратить внимание в приложении для безопасности WhatsApp
- Генерация надёжного случайного пароля, минимум 20 символов, который вы никогда не должны помнить.
- Приложение 2FA, которое не полагается на SMS, поскольку SMS — это именно то, что побеждает SIM-своп.
- Зашифрованная резервная копия самого хранилища, желательно с парольной фразой, отличной от пароля входа.
- Аудит сеанса и связанных устройств, чтобы вы могли обнаружить подозрительный вход WhatsApp Web в течение нескольких минут.
- Синхронизация между устройствами, когда вы пользуетесь телефоном, планшетом и ноутбуком и хотите иметь одинаковые секреты на всех трёх.
- Отсутствие облачного хранилища секретов или истинный дизайн с нулевым знанием, когда поставщик не может прочитать то, что вы сохраняете.
Быстрое сравнение
| Приложение | Лучше всего для | Бесплатный план | Стартовая цена/месяц | Особенность |
|---|---|---|---|---|
| Сам аккаунт | Полностью бесплатно | Бесплатно | Встроенная блокировка приложения и аудит связанных устройств | |
| Aegis Authenticator | Локальные коды 2FA | Полностью бесплатно | Бесплатно | Зашифрованное локальное хранилище, без облака |
| Bitwarden | Бесплатный менеджер паролей с открытым исходным кодом | Полностью бесплатно | Около $0.83 (Premium $10/год) | Полный бесплатный уровень с синхронизацией |
| 1Password | Лучший UX в категории | 14-дневный пробный период | Около $2.99 | Поддержка passkey и скрытые хранилища |
| Proton Pass | Псевдонимы электронной почты для приватности аккаунта | Неограниченный бесплатный уровень | Около $4.99 | Псевдонимы скрывают реальную почту |
| Signal | Альтернативный мессенджер, если WhatsApp скомпрометирован | Полностью бесплатно | Бесплатно | Отдельный PIN регистрационной блокировки |
| Authy | Синхронизация 2FA между устройствами | Полностью бесплатно | Бесплатно | Облачная синхронизация между телефоном, планшетом и компьютером |
Приложения
1. WhatsApp — лучшая отправная точка для вашего аккаунта
WhatsApp предлагает больше функций безопасности, чем большинство людей когда-либо открывают. В разделе “Параметры”, затем “Аккаунт”, затем “Двухэтапная верификация” приложение теперь проводит вас через создание надлежащего пароля аккаунта вместо старого 6-значного PIN. В разделе “Приватность” затем “Блокировка приложения” биометрическая разблокировка защищает само приложение. Блокировка чата скрывает отдельные беседы за вторым фактором. Раздел “Связанные устройства” показывает каждый активный сеанс WhatsApp Web и рабочего стола, и одно касание отключит любой из них.
Где это отстаёт: Пароль хранится только внутри WhatsApp. Если вы его потеряете, путь восстановления — это период ожидания, во время которого аккаунт неиспользуем. Сохраняйте пароль где-нибудь вне телефона.
Цена:
- Бесплатно навсегда.
- Нет платного уровня.
Платформы: Android, iOS, рабочий стол, веб.
Суть: Откройте приложение, установите пароль аккаунта, включите блокировку приложения и проверьте связанные устройства, прежде чем устанавливать что-либо ещё из этого списка.
2. Aegis Authenticator — лучше всего для локального 2FA
Aegis Authenticator — это самое чистое приложение TOTP с открытым исходным кодом на Android. Хранилище зашифровано паролем или биометрическим ключом, ничего не покидает устройство, а экспорты — это простой зашифрованный файл JSON, который другие приложения-аутентификаторы могут читать. Сам пароль аккаунта WhatsApp не является секретом TOTP, поэтому Aegis не требуется строго говоря для входа в WhatsApp, но учётная запись Google или Apple, которая владеет вашей облачной резервной копией WhatsApp, абсолютно должна иметь TOTP 2FA. Именно это защищает Aegis.
Где это отстаёт: Отсутствие синхронизации между устройствами по проекту. Переход на новый телефон означает зашифрованный экспорт и ручной импорт.
Цена:
- Бесплатно навсегда.
- Нет платного уровня, нет объявлений.
Платформы: Android.
Суть: Свяжите с учётной записью Google или Apple, которая находится позади вашей резервной копии WhatsApp. Любой, кто хочет убрать секреты из облака полностью, должен начать отсюда.
3. Bitwarden — лучший бесплатный менеджер паролей с открытым исходным кодом
Bitwarden — это место, где должен жить фактический пароль аккаунта WhatsApp. Бесплатный уровень полный: неограниченные пароли, неограниченные устройства, синхронизация между устройствами и расширение автозаполнения для браузера, которое работает на клавиатуре Android. Сохранение нового пароля WhatsApp там означает, что он пережит потерю телефона, сброс к заводским настройкам или день, когда вы наконец обновите телефон.
Где это отстаёт: Приложение Android было переписано в 2024 году, и новый интерфейс всё ещё кажется менее отполированным, чем версия для браузера. Хранение TOTP находится за Premium.
Цена:
- Бесплатно навсегда с синхронизацией между устройствами.
- Premium стоит около $10 в год (примерно $0.83 в месяц) и добавляет TOTP, зашифрованные вложения файлов и аварийный доступ.
Платформы: Android, iOS, рабочий стол, расширения для браузера, веб.
Суть: Рекомендация по умолчанию для всех, кто никогда не использовал менеджер паролей. Открытый исходный код, дешёво и достаточно для случая использования WhatsApp с местом для роста.
4. 1Password — лучший UX в категории
1Password — это платный вариант, на котором люди, которые уже используют менеджеры паролей, склонны оставаться. Поддержка passkey встроена, автозаполнение на Android является наименее утомительным из группы, а режим путешествия временно скрывает выбранные хранилища с устройства перед тем, как вы пересечёте границу, поэтому проверка границы никогда не откроет ваш пароль WhatsApp, даже если телефон разблокируется. Функция Watchtower активно отмечает слабые или повторно используемые пароли во всех ваших входах.
Где это отстаёт: Нет бесплатного уровня, кроме 14-дневного пробного периода. Только подписка.
Цена:
- 14-дневный бесплатный пробный период.
- Индивидуальный план около $2.99 в месяц, выставляется счёт ежегодно.
- Семьи около $4.99 в месяц на пятерых.
Платформы: Android, iOS, рабочий стол, расширения для браузера, веб.
Суть: Стоит денег, если дополнительная полировка и режим путешествия важны. В противном случае Bitwarden охватывает тот же базовый функционал бесплатно.
5. Proton Pass — лучше всего для псевдонимов электронной почты
Proton Pass делает то, что делают другие менеджеры паролей, а затем добавляет зашифрованные псевдонимы электронной почты. Трюк для безопасности аккаунта WhatsApp заключается в том, что сам WhatsApp не использует электронную почту, но учётная запись Google или Apple, которая содержит резервную копию, использует. Регистрация этой учётной записи с псевдонимом Proton, а не с вашим реальным адресом, означает, что утёкший список контактов или дамп нарушения никогда не свяжет вашу общедоступную почту с вашей личностью WhatsApp. Бесплатный уровень Proton Pass предоставляет неограниченные пароли на неограниченных устройствах, что необычно для бесплатного плана платной услуги.
Где это отстаёт: Ограничения на количество псевдонимов на бесплатном уровне (10 псевдонимов). Автозаполнение компетентно, но на шаг позади 1Password.
Цена:
- Бесплатно с неограниченными паролями и 10 псевдонимами электронной почты.
- Plus около $4.99 в месяц для неограниченных псевдонимов и общих хранилищ.
- Объединено с Proton Mail, VPN и Drive в плане Unlimited.
Платформы: Android, iOS, рабочий стол, расширения для браузера.
Суть: Правильный выбор для всех, кто уже находится в экосистеме Proton или планирует разделить аккаунты за псевдонимами.
6. Signal — лучше всего для резерва, если WhatsApp скомпрометирован
Signal имеет значение здесь как план Б, а не замена. Когда аккаунт WhatsApp захвачен, у злоумышленника есть ваш граф контактов и ваши недавние сообщения. Signal — это мессенджер, на который нужно переместить чувствительные беседы в первый день любого инцидента. Его собственная регистрационная блокировка использует отдельный PIN, сохранённый только на вашем устройстве, и его модель восстановления не зависит от текстовых сообщений оператора так, как это было исторически у WhatsApp. С открытым исходным кодом, аудирован и управляется некоммерческой организацией, за которой нет рекламного бизнеса.
Где это отстаёт: Требует, чтобы люди, с которыми вы общаетесь, также установили Signal. Принятие вне ориентированных на приватность кругов всё ещё неровное.
Цена:
- Бесплатно навсегда.
- Поддержка добровольными пожертвованиями.
Платформы: Android, iOS, рабочий стол.
Суть: Установите его сейчас, проверьте несколько контактов и оставьте его на день, когда WhatsApp станет проблемой.
7. Authy — лучше всего для синхронизации 2FA между устройствами
Authy — это ответ, когда строго локальное хранилище Aegis встаёт на пути. Коды синхронизируются между телефоном, планшетом и рабочим столом через облако Twilio, что является компромиссом: кто-то ещё держит зашифрованные копии ваших семян. Для 2FA на аккаунтах, которые менее чувствительны, чем тот, который охраняет вашу резервную копию WhatsApp, этот компромисс часто стоит удобства от необходимости восстанавливать коды вручную каждый раз, когда устройство меняется.
Где это отстаёт: Twilio снял с производства приложения рабочего стола в 2024 году, и прошлые нарушения у материнской компании Twilio вызвали вопросы о бэкэнде синхронизации, хотя сами семена оставались зашифрованы.
Цена:
- Бесплатно навсегда.
- Нет платного уровня.
Платформы: Android, iOS.
Суть: Выберите это вместо Aegis, только если синхронизация между устройствами — это жёсткое требование. В противном случае локальное хранилище безопаснее.
Как выбрать
- Если вы никогда этого не трогали: WhatsApp для пароля аккаунта, Bitwarden для его сохранения.
- Если вы хотите всё бесплатно и с открытым исходным кодом: WhatsApp плюс Bitwarden плюс Aegis Authenticator.
- Если вы уже платите за одно приложение и хотите лучший опыт: 1Password.
- Если вы хотите разделить личности за псевдонимами: Proton Pass.
- Если вы беспокоитесь о предстоящем SIM-свопе: установите Signal сейчас как резерв и установите отдельный PIN регистрационной блокировки внутри него.
- Если вы жонглируете несколькими устройствами и не можете стоять ручное восстановление 2FA: Authy.
- Если у вас есть резервная копия WhatsApp на Google Drive или iCloud: защитите эту облачную учётную запись с помощью TOTP Aegis или Authy, а не SMS.
Часто задаваемые вопросы
Что такое новый пароль аккаунта WhatsApp?
WhatsApp заменяет старый 6-значный PIN двухэтапной верификации полнодлинным паролем аккаунта. Установите его в разделе “Параметры”, затем “Аккаунт”, затем “Двухэтапная верификация”. Сохраняйте пароль в менеджере паролей, а не в приложении заметок.
Останавливает ли надёжный пароль WhatsApp SIM-своп?
Не самый SIM-своп, но он останавливает выплату. Злоумышленник, который переносит ваш номер, всё ещё нуждается в пароле аккаунта для завершения регистрации WhatsApp на новую SIM. Без него они получают номер, но не аккаунт.
Следует ли защищать облачную резервную копию WhatsApp отдельно?
Да. Резервные копии WhatsApp на Google Drive или iCloud могут быть зашифрованы отдельным паролем внутри самого WhatsApp (Параметры, затем Чаты, затем Резервная копия чатов, затем Сквозное зашифрованная резервная копия). Установите этот пароль, сохраняйте его в своём менеджере паролей и включите TOTP 2FA на учётной записи Google или Apple, которая размещает резервную копию.
Может ли Google Password Manager заменить Bitwarden или 1Password для этого?
Для базового автозаполнения на Android, да. Для зашифрованного общего доступа, кросс-платформенного покрытия на не-Google устройствах и чистого экспорта хранилища, выделенный менеджер паролей всё ещё является лучшим выбором. Google Password Manager также не управляет кодами TOTP.
Что произойдёт, если WhatsApp уже скомпрометирован?
Переустановите WhatsApp на свой телефон, повторно проверьте свой номер и немедленно установите новый пароль аккаунта. Злоумышленник выходит в момент повторной регистрации. Затем измените пароль учётной записи Google или Apple, отозовите подозрительные сеансы связанных устройств и переместите любые чувствительные беседы на Signal, пока инцидент не будет понят.
