Многофакторная аутентификация требует подтверждения из разных категорий: например, пароля и владения устройством. Два последовательных пароля не становятся двумя независимыми факторами. Для бизнеса важно выбирать не только удобный вход, но и безопасный способ восстановления.
Какие варианты встречаются
SMS доступны многим пользователям, но зависят от телефонного номера и оператора. Приложение с одноразовыми кодами не требует получения SMS, однако код можно выманить через поддельную страницу. Push-подтверждения удобны, но требуют внимательности: нельзя одобрять запрос, который пользователь не начинал.
Аппаратные ключи и решения на основе FIDO/WebAuthn могут обеспечивать устойчивость к фишинговой подмене сайта. Их применимость зависит от поддержки конкретного сервиса и принятой схемы восстановления. Для синхронизируемых ключей доступа отдельно оценивают безопасность аккаунта синхронизации.
Как внедрять без потери доступа
- Начать с администраторов, почты и наиболее важных сервисов.
- Проверить поддерживаемые методы и старые способы входа.
- Предусмотреть резервный метод по правилам сервиса.
- Объяснить сотрудникам, что неожиданные запросы подтверждать нельзя.
- Испытать потерю устройства на тестовом пользователе.
Где может остаться слабое место
Надёжный основной вход мало помогает, если восстановление выполняется через незащищённую личную почту или поддержка отключает фактор после неподтверждённого сообщения. Проверьте весь путь доступа, включая резервные коды, добавление нового устройства и административный сброс.
Какой метод выбрать
Для привилегированных аккаунтов приоритетны устойчивые к фишингу методы там, где они поддерживаются. Для остальных сотрудников нужен выполнимый переход с учётом оборудования и процессов. Не откладывайте доступную защиту лишь потому, что идеальная схема пока не внедрена, но фиксируйте ограничения выбранного решения.
После запуска проверьте фактическое применение второго фактора: исключения и устаревшие интеграции не должны превращаться в постоянный обход.
Дополнительно: OWASP: многофакторная аутентификация.
