Главная мысль
Включите MFA для входа людей в поддерживаемых рабочих системах. Для администраторов выбирайте FIDO2/WebAuthn с проверкой пользователя или корректно настроенный устойчивый к фишингу сертификатный метод; защищайте резервный вход.
Различайте факторы и методы
MFA требует подтверждения из двух или более независимых категорий: того, что вы знаете, чем владеете, или биометрической характеристики. Два подтверждения знания, например пароль и PIN, не являются двумя разными факторами. Локальный PIN или биометрия могут активировать принадлежащий вам аутентификатор; это отличается от отправки двух секретов знания. Приложение-аутентификатор, одноразовый код, push-запрос, аппаратный ключ и смарт-карта имеют разные свойства защиты. SMS может снизить часть рисков, но не устойчив к фишингу и уязвим к захвату номера телефона.
Подбирайте защиту под тип аккаунта
Включите MFA для входа людей в почту, удалённый доступ, облачное администрирование, финансовые системы и ресурсы с чувствительными данными; начните с администраторов и аккаунтов с высоким влиянием. Проверьте также регистрацию, новые устройства, сессии и политики токенов.
| Метод | Устойчивость к фишингу | Что учитывать при внедрении |
|---|---|---|
| FIDO2/WebAuthn с проверкой пользователя | Привязка к домену | Поддерживаемые клиенты, регистрация и восстановление |
| Корректно настроенная аутентификация сертификатом/смарт-картой | Привязка к аутентифицированной проверяющей стороне или каналу | PKI и поддерживаемый способ входа |
| OTP или обычный push, включая number matching | Не устойчив к фишингу | Возможны выманивание кода и атаки на подтверждение; number matching снижает злоупотребление запросами, но не даёт устойчивости к фишингу |
Защитите восстановление и контроль
Определите несколько утверждённых способов восстановления при потере устройства; проверьте идентификацию пользователя службой поддержки, срок временного доступа и журнал каждого восстановления. Храните резервные коды защищённо и не делайте аккаунт зависимым только от мобильного номера. Ограничивайте исключения по сроку и отслеживайте регистрацию MFA, сбои, сбросы и обходы. MFA снижает часть риска кражи пароля, но не заменяет контроль разрешений, устройств и мониторинг. Отзовите и замените потерянный аутентификатор и уведомите пользователя через установленный канал.
Различайте 2FA и другие комбинации MFA
2FA использует две разные категории факторов, а MFA — две или более; следовательно, 2FA является частным случаем MFA. Пароль и одноразовый код добавляют второй шаг, но код можно выманить на поддельной странице входа. FIDO2/WebAuthn помогает против такого фишинга за счёт привязки аутентификации к домену. Проверьте поддерживаемые факторы и протоколы в документации провайдера идентификации и в реальном приложении.