Многофакторная аутентификация (MFA)

§§IBT7§§¶@definition¶Многофакторная аутентификация (MFA) — проверка идентичности с использованием как минимум двух факторов из разных категорий: знания, владения и неотъемлемого свойства.¶@plain¶Пароль и ещё один пароль не образуют MFA. Нужны независимые доказательства, например пароль и криптографический ключ или биометрия на доверенном устройстве.¶@use¶MFA применяют для удалённого, облачного и привилегированного доступа; предпочтение отдают фишинг-устойчивым методам, контролируют восстановление и исключения.¶@example¶Администратор входит по паролю и аппаратному ключу FIDO2. Поддельная страница не может повторно использовать криптографический ответ для другого домена.¶@compare¶Двухэтапная проверка¦¦Двухэтапная проверка описывает два шага и не всегда означает разные факторы¶@steps¶Первый фактор¦Пользователь предъявляет пароль, ключ или другой идентификатор фактора.¤Независимый вызов¦Система запрашивает фактор другой категории и связывает его с текущей операцией.¤Проверка¦Оба доказательства валидируются с учётом устройства, домена и риска.¤Сессия¦После успеха создаётся ограниченная сессия, а значимые изменения могут требовать повторной проверки.¶@resources¶Курсы по информационной безопасности¦https://ibcourses.ru/obuchenie-informacionnaya-bezopasnost¦Курс¤MFA¦https://ibcourses.ru/katalog-ib-resheniy?class=MFA¦Решения¶@related¶Управление идентификацией и доступом (IAM)¦/slovar-informacionnoy-bezopasnosti/identifikaciya-i-dostup/upravlenie-identifikatsiey-i-dostupom-iam¶@faq¶SMS является MFA?¦В сочетании с паролем — да, но метод уязвим к перехвату и перевыпуску SIM и уступает FIDO2.¤Push MFA защищает от фишинга?¦Не всегда: пользователь может подтвердить ложный запрос. Number matching снижает риск, но не равен привязке FIDO к домену.¤Что проверить в восстановлении?¦Чтобы служба поддержки или резервный код не позволяли обойти более сильный основной фактор.