Двухфакторная аутентификация

Что это значит

Двухфакторная аутентификация требует при входе второе подтверждение личности помимо пароля: код из приложения, подтверждение в телефоне, аппаратный ключ. Пароль - это то, что вы знаете; второй фактор - то, что у вас есть.

Смысл прост. Даже если пароль утечёт - из-за фишинга, утечки другого сервиса или повторного использования - сам по себе он доступа не даст.

Два пароля - это не два фактора. Второй фактор должен быть другого рода, чем первый: то, что у вас есть, или то, чем вы являетесь, например отпечаток пальца. При SSO достаточно один раз включить двухфакторную проверку на центральной учётной записи, и она защищает все сервисы, в которые через неё входят.

Как это работает на практике

Включать её нужно везде, где можно что-то оплатить или отправить от имени компании: интернет-банк, почта, учётная программа, платёжный шлюз, управление доменом и облачные аккаунты. Это самая дешёвая мера во всём управлении доступами.

Надёжнее всего приложения, генерирующие код, или аппаратный ключ; код по SMS слабее, но всё равно значительно лучше одного пароля. Резервные коды хранят отдельно от устройства, которое подтверждает вход.

Когда к учётной записи обращаются несколько человек, например к интернет-магазину или интернет-банку, у каждого должен быть свой вход со своим вторым фактором. Мы тоже работаем в системах клиентов под собственными учётными записями, а не под общим паролем, поэтому при уходе человека отключается один доступ, а остальные продолжают работать.

На что обратить внимание

Чаще всего подводит не взлом второго фактора, а его обход: злоумышленник просит код по телефону или почте от имени банка либо ИТ-поддержки. Код не диктуют никому, а попытка входа останется в журнале аудита как след.

Если второй фактор привязан к личному телефону одного сотрудника, компания при его уходе или потере телефона теряет доступ к собственным учётным записям, а восстановление через поддержку поставщика может занять от нескольких дней до недель. Поэтому на корпоративные записи регистрируют минимум два фактора, а резервные коды включают в план восстановления.