Kod bezpieczeństwa MFA wymagany przy każdym logowaniu

Kod bezpieczeństwa MFA wymagany przy każdym logowaniu wskazuje na politykę zabezpieczeń konta bez zapamiętywania zaufanego urządzenia — konfiguruje się to w ustawieniach uwierzytelniania dwuskładnikowego.

Czym jest kod bezpieczeństwa MFA wymagany przy każdym logowaniu

Kod bezpieczeństwa MFA wymagany przy każdym logowaniu oznacza, że system oczekuje dodatkowego potwierdzenia tożsamości podczas każdej próby uzyskania dostępu do konta. Samo hasło nie jest wtedy wystarczające. Po jego podaniu konieczne może być wpisanie jednorazowego kodu z aplikacji uwierzytelniającej, wiadomości SMS, wiadomości e-mail, klucza sprzętowego albo zaakceptowanie powiadomienia na wcześniej skonfigurowanym urządzeniu.

MFA, czyli uwierzytelnianie wieloskładnikowe, opiera się na wykorzystaniu co najmniej dwóch różnych elementów. Pierwszym jest zazwyczaj informacja znana użytkownikowi, na przykład hasło lub kod PIN. Drugim może być urządzenie posiadane przez użytkownika, aplikacja generująca kody, fizyczny klucz bezpieczeństwa albo cecha biometryczna. Wymóg ponownego podawania kodu przy każdym logowaniu nie musi oznaczać awarii. Często jest skutkiem świadomie ustawionej polityki, w której nie zapisuje się urządzenia jako zaufanego.

Opcja zapamiętania sesji lub oznaczenia urządzenia jako zaufanego ogranicza liczbę dodatkowych potwierdzeń, ale jednocześnie zmniejsza rygor kontroli dostępu. Jeżeli administrator wyłączył takie rozwiązanie albo użytkownik usunął zapisane urządzenie z ustawień konta, procedura MFA będzie uruchamiana ponownie przy każdym logowaniu. Podobny efekt może wystąpić po wyczyszczeniu plików cookie, zmianie przeglądarki, użyciu trybu prywatnego lub zalogowaniu z innej lokalizacji sieciowej.

Kontekst techniczny i porównanie sposobów uwierzytelniania - Kod bezpieczeństwa MFA wymagany przy każdym logowaniu

W praktyce należy odróżnić częste wyświetlanie prośby o kod od błędnego działania samego mechanizmu MFA. System może wymagać dodatkowego potwierdzenia zawsze, ponieważ tak określono zasady dostępu. Może też traktować każde logowanie jako nowe, gdy nie jest w stanie odczytać informacji o zaufanej sesji. W pierwszym przypadku zachowanie jest zgodne z konfiguracją bezpieczeństwa, a w drugim przyczyną bywa środowisko przeglądarki, aplikacja ochronna, synchronizacja ustawień albo polityka sieciowa.

Kod z aplikacji uwierzytelniającej jest zwykle generowany na podstawie wspólnego sekretu zapisanego podczas konfiguracji konta. Taki kod zmienia się cyklicznie, dlatego jego przydatność jest ograniczona czasowo. Kod wysyłany wiadomością zależy z kolei od dostępności telefonu lub skrzynki pocztowej. Powiadomienie push wymaga działającej aplikacji oraz połączenia z usługą powiadomień. Klucz sprzętowy potwierdza obecność fizycznego urządzenia i może zapewniać wyższy poziom ochrony przed wyłudzeniem danych logowania.

Nie każda metoda MFA zapewnia taki sam poziom odporności. Hasło jednorazowe przesłane SMS-em może być podatne na przejęcie numeru telefonu, a kod przekazany pocztą elektroniczną zależy od bezpieczeństwa skrzynki. Aplikacja uwierzytelniająca ogranicza część tych zagrożeń, lecz wymaga zachowania dostępu do urządzenia oraz przygotowania kopii zapasowych kodów odzyskiwania. Klucz bezpieczeństwa jest wygodny w środowiskach, w których wymagane jest silne potwierdzenie, ale jego zgubienie może utrudnić dostęp do konta, jeśli nie skonfigurowano alternatywnej metody.

W ustawieniach konta warto sprawdzić, czy aktywne są zasady dotyczące zaufanych urządzeń, długości sesji, czyszczenia danych witryn oraz dodatkowej weryfikacji przy zmianie sieci lub lokalizacji. W środowisku firmowym podobne wymagania mogą być narzucone centralnie i wtedy użytkownik nie zawsze ma możliwość ich samodzielnej zmiany. Należy także sprawdzić datę i godzinę ustawioną na urządzeniu, ponieważ znaczne rozbieżności mogą powodować odrzucanie kodów generowanych przez aplikację.

Typowe problemy związane z ciągłym żądaniem kodu MFA

Jednym z częstszych problemów jest brak zapamiętywania zaufanego urządzenia. Po zaznaczeniu odpowiedniej opcji przy logowaniu system nadal prosi o kod przy następnym wejściu na konto. Przyczyną może być automatyczne usuwanie plików cookie, ustawienie przeglądarki blokujące dane witryny, praca w trybie prywatnym albo program ochronny czyszczący dane sesji po zamknięciu okna. Zdarza się również, że zgoda na zapamiętanie urządzenia obowiązuje tylko przez określony czas.

Inny scenariusz polega na tym, że kod jest prawidłowy, ale zostaje odrzucony. W przypadku aplikacji generującej kody należy zweryfikować automatyczną synchronizację czasu na komputerze i telefonie. Kod może zostać uznany za nieważny, jeśli został wpisany po upływie przewidzianego okresu albo pomylono kilka kont skonfigurowanych w tej samej aplikacji. Nie należy wielokrotnie próbować przypadkowych kombinacji, ponieważ zbyt duża liczba nieudanych logowań może uruchomić czasową blokadę.

Problemy mogą też wynikać z utraty urządzenia używanego do potwierdzania tożsamości. Po zmianie telefonu aplikacja uwierzytelniająca nie zawsze przenosi zapisane konta automatycznie. Jeżeli nie zachowano kodów odzyskiwania ani dodatkowej metody potwierdzenia, przywrócenie dostępu może wymagać procedury odzyskiwania prowadzonej przez dostawcę usługi lub administratora. W takiej sytuacji nie powinno się usuwać pozostałych danych konfiguracyjnych ani resetować ustawień bez wcześniejszego sprawdzenia dostępnych sposobów odzyskania konta.

Powtarzające się żądanie MFA może mieć również związek z nieprawidłową pracą przeglądarki, rozszerzeniem ingerującym w logowanie, uszkodzonym profilem użytkownika, błędnym przekierowaniem lub aplikacją, która otwiera sesję w odizolowanym środowisku. Jeżeli kod jest wymagany także wtedy, gdy użytkownik korzysta z tej samej przeglądarki i tego samego urządzenia, warto porównać zachowanie w innym profilu przeglądarki oraz sprawdzić, czy problem dotyczy jednego konta, czy wielu usług.

Nie powinno się przekazywać kodu MFA osobom podającym się za administratorów, konsultantów lub pracowników banku. Prawidłowy kod jest elementem uwierzytelnienia i może umożliwić dostęp do konta osobie, która wcześniej zdobyła hasło. Jeśli powtarzające się żądania pojawiają się bez próby logowania, należy potraktować je jako sygnał ostrzegawczy, zmienić hasło z bezpiecznego urządzenia, przejrzeć aktywne sesje i sprawdzić historię logowań.

Kiedy warto zlecić diagnozę specjalistom - Kod bezpieczeństwa MFA wymagany przy każdym logowaniu

Do serwisu warto zgłosić problem wtedy, gdy wymóg MFA pojawił się nagle, uniemożliwia dostęp do kilku używanych kont albo występuje równocześnie z innymi objawami, takimi jak samoczynne wylogowania, nieznane rozszerzenia, przekierowania stron, komunikaty o zmianie ustawień zabezpieczeń lub problemy z działaniem aplikacji uwierzytelniającej. Wcześniej można przygotować nazwę usługi, sposób generowania kodu, informację o używanej przeglądarce oraz opis momentu, od którego problem zaczął występować. Nie należy przekazywać serwisowi haseł ani aktywnych kodów jednorazowych.

W przypadku laptopa można skorzystać z darmowej diagnozy LAPTOPA, podczas której możliwe jest sprawdzenie działania systemu, ustawień przeglądarki, synchronizacji czasu, profilu użytkownika oraz programów wpływających na przechowywanie sesji. Diagnoza nie polega na obchodzeniu zabezpieczeń konta. Jej celem jest ustalenie, czy przyczyna leży po stronie urządzenia, środowiska systemowego, przeglądarki, aplikacji uwierzytelniającej, czy też centralnej polityki dostawcy usługi.

Jeżeli problem dotyczy konta zarządzanego przez organizację, administrator może wymagać wykonania określonych czynności, na przykład ponownej rejestracji urządzenia, wycofania starej metody uwierzytelniania albo użycia kodów awaryjnych. Serwis może pomóc uporządkować stan techniczny laptopa i przygotować urządzenie do dalszej konfiguracji, natomiast decyzje dotyczące polityki logowania, resetowania MFA i odzyskiwania konta pozostają po stronie właściciela usługi lub uprawnionego administratora.

Warto zgłosić się po pomoc także wtedy, gdy kod działa na telefonie, lecz nie jest akceptowany na komputerze, albo gdy zapamiętywanie sesji przestaje działać po każdorazowym zamknięciu przeglądarki. Takie symptomy często pozwalają odróżnić problem z kontem od problemu z lokalnymi ustawieniami. Po usunięciu przyczyny należy ponownie sprawdzić logowanie, pozostawić włączone MFA oraz zachować kody odzyskiwania w bezpiecznym miejscu, niedostępnym dla osób postronnych.