Recovery phrase: як не втратити доступ до акаунта, якщо немає ні пошти, ні номера
Якщо месенджер не запитує номер телефону чи електронну пошту, виникає логічне питання: що робити, якщо ви втратите пристрій? Як повернути доступ?
Відповідь для багатьох приватних месенджерів — recovery phrase (фраза відновлення). Вона замінює номер телефону чи пошту як спосіб довести, що акаунт належить саме вам, але працює зовсім по-іншому і має власні правила безпеки.
Що таке recovery phrase
Recovery phrase, яку іноді називають seed phrase чи backup phrase, — це послідовність слів, згенерована під час створення акаунта. Зазвичай вона складається з 12–24 слів, розташованих у певному порядку.
Замість того, щоб компанія зберігала ваш номер телефону чи пошту для перевірки особи, доказом стає сама фраза. Будь-хто, хто введе точну фразу в точному порядку, може відновити доступ до акаунта.
Це той самий принцип, що використовується в криптовалютних гаманцях, і існує він з тієї ж причини: він дозволяє відновити акаунт без центральної інстанції, яка зберігає вашу особисту контактну інформацію.
Чому месенджери використовують це замість номера чи пошти
Номер телефону або пошта прив'язують ваш акаунт до зовнішньої ідентичності, яку компанія, телеком-оператор чи поштовий провайдер можуть бачити, логувати і, за певних обставин, бути змушені передати третім особам.
Recovery phrase прибирає цю залежність. Сервісу месенджера не потрібно знати, хто ви поза застосунком — йому потрібно лише перевірити, що ви володієте правильною фразою. Саме це дозволяє акаунту існувати без номера телефону, без електронної пошти і без державного документа, що стоїть за ним.
Плата за це — відповідальність. Немає посилання "забули пароль" на пошту і немає служби підтримки, яка може скинути ваш акаунт за вас. Фраза — це і є акаунт. Якщо її втратити, акаунт зазвичай неможливо відновити. Якщо її розкрити, доступ до акаунта отримає будь-хто, у кого вона є.
Чому recovery phrase надзвичайно чутлива
Recovery phrase — це не пароль, який можна змінити у разі витоку. Вона ближче до фізичного ключа: будь-хто, хто має її копію, може нею скористатися, незалежно від того, чи знаєте ви про це.
Це означає, що recovery phrase заслуговує на більшу обережність, ніж звичайний пароль, а не меншу, навіть попри те, що це просто список слів.
Як безпечно зберігати recovery phrase
Кілька практичних звичок можуть суттєво змінити ситуацію:
Запишіть її на папері, а не зберігайте лише в цифровому вигляді. Фото чи скріншот може бути завантажений у хмарне сховище, проскановано іншими застосунками або потрапити в резервну копію телефону непомітно для вас.
Зберігайте її у приватному й офлайн-місці — не в застосунку нотаток, не в чернетці листа, не в хмарному сховищі і не в самому месенджері.
Тримайте другу копію в окремому безпечному місці — на випадок, якщо перша буде втрачена, пошкоджена чи знищена, наприклад, у сейфі або окремо від основного пристрою.
Ніколи не вводьте її на сайті чи в застосунку, крім того, який її згенерував. Фішингові сторінки іноді просять "підтвердити" recovery phrase — легітимний застосунок не потребує повторного введення фрази поза реальним процесом відновлення акаунта.
Ніколи не діліться нею ні з ким, включно з тими, хто представляється службою підтримки.
Що ніколи не запитає легітимна служба підтримки
Це варто повторити чітко, оскільки саме так найчастіше й крадуть recovery phrase: жоден легітимний представник підтримки жодного сервісу ніколи не попросить вас продиктувати, ввести чи надіслати йому повну recovery phrase.
Якщо хтось просить її, представляючись тим, хто хоче вам допомогти, — це шахрайство, незалежно від того, наскільки офіційно звучить запит чи через яку платформу він надійшов.
Що відбувається, якщо ви втратите recovery phrase
Без номера телефону чи пошти, прив'язаних до акаунта, зазвичай немає альтернативного шляху підтвердження особи. Якщо втрачено і пристрій, і recovery phrase одночасно, акаунт та його вміст, як правило, неможливо відновити.
Це свідомий компроміс у дизайні. Та сама особливість, що не дозволяє компанії чи зловмиснику скинути ваш акаунт за вас, водночас означає, що ніхто, включно з провайдером сервісу, не може зробити це за вас.
Саме тому записати фразу і безпечно зберегти її одразу під час створення акаунта важливіше, ніж може здатися на перший погляд.
Як Clam працює з відновленням акаунта
Акаунти Clam не прив'язані до номера телефону чи електронної пошти, тому традиційного сценарію "скинути пароль" тут немає. Замість цього відновлення акаунта спирається на recovery phrase, згенеровану під час налаштування.
Оскільки сервіс не зберігає копію цієї фрази і не може підтвердити особу через телеком-оператора чи поштового провайдера, захист фрази — це і є захист акаунта. Clam ніколи не запитує recovery phrase через канали підтримки, і будь-яке повідомлення з таким проханням не варто вважати легітимним.
Підсумок
Recovery phrase — це те, що взагалі уможливлює роботу месенджера без номера телефону чи пошти. Вона переносить відповідальність за відновлення акаунта від компанії та її інфраструктури безпосередньо на людину, яка володіє фразою.
Саме в цьому й суть компромісу. Менше ідентифікаторів, прив'язаних до серверів компанії, означає менше шляхів, якими акаунт може бути розкритий через витік даних, SIM-swap чи скомпрометовану поштову скриньку — але це також означає, що з самою фразою потрібно поводитися дбайливо з моменту її створення.
