MFA nie działa

MFA niedziałające ogólnie wymaga sprawdzenia stanu usług Microsoft na status.office365.com oraz synchronizacji czasu systemowego wpływającej na ważność kodów TOTP.

Czym jest problem „MFA nie działa”

Komunikat „MFA nie działa” oznacza, że wieloskładnikowe uwierzytelnianie nie pozwala poprawnie potwierdzić tożsamości użytkownika podczas logowania. Samo hasło może być przyjmowane prawidłowo, lecz kolejny etap zostaje przerwany, kod jednorazowy jest odrzucany, powiadomienie nie dociera do aplikacji uwierzytelniającej albo wybrana metoda dodatkowej weryfikacji nie reaguje. MFA, czyli uwierzytelnianie wieloskładnikowe, opiera się na połączeniu co najmniej dwóch elementów, na przykład hasła oraz kodu z aplikacji, powiadomienia push, klucza bezpieczeństwa lub wiadomości wysłanej na zarejestrowany numer.

Nieprawidłowe działanie MFA nie zawsze oznacza awarię samego konta. Przyczyną może być błędna konfiguracja profilu, utrata dostępu do urządzenia używanego jako drugi składnik, nieaktualna aplikacja, blokada konta po wielu nieudanych próbach albo problem z połączeniem sieciowym. Znaczenie ma również to, czy problem występuje przy każdym logowaniu, tylko w jednej aplikacji, na jednym urządzeniu, czy także po użyciu alternatywnej metody potwierdzenia.

W przypadku kodów generowanych czasowo istotna jest zgodność zegara na urządzeniu z aktualnym czasem. Kod TOTP jest ważny przez krótki okres, dlatego nawet niewielkie rozbieżności między telefonem, komputerem i usługą logowania mogą spowodować jego odrzucenie. Przy logowaniu opartym na powiadomieniu dodatkową rolę odgrywają uprawnienia aplikacji, działanie usług w tle, dostęp do internetu oraz poprawne przypisanie urządzenia do konta.

Kontekst techniczny i porównanie metod uwierzytelniania - MFA nie działa

Weryfikacja kodem TOTP działa inaczej niż zatwierdzanie powiadomienia push. W pierwszym przypadku aplikacja tworzy kod na podstawie wspólnego sekretu oraz aktualnego czasu. Do wygenerowania kodu nie zawsze jest potrzebne połączenie z internetem, ale zegar urządzenia musi być ustawiony prawidłowo, a aplikacja musi korzystać z właściwego konta. W drugim przypadku serwer logowania wysyła żądanie do aplikacji, a użytkownik zatwierdza je na telefonie. Taka metoda wymaga działającej transmisji danych, aktywnych powiadomień i poprawnie skonfigurowanych uprawnień.

Klucz bezpieczeństwa wykorzystuje jeszcze inny mechanizm. Potwierdzenie odbywa się przez fizyczne urządzenie lub wbudowany moduł zabezpieczeń, a jego działanie zależy między innymi od zgodności przeglądarki, portu USB, sterowników oraz ustawień systemu. Wiadomość SMS jest prostsza w użyciu, lecz zależy od zasięgu sieci, poprawnego numeru przypisanego do konta i dostępności operatora. Każda z tych metod ma odmienny punkt awarii, dlatego ogólne stwierdzenie, że „kod nie działa”, nie wystarcza do ustalenia przyczyny.

W środowisku firmowym problem może być związany nie tylko z urządzeniem użytkownika, ale również z zasadami dostępu ustawionymi po stronie usługi. Zmiana polityki bezpieczeństwa, wymuszenie ponownej rejestracji drugiego składnika, wygasła sesja, blokada logowania z określonej lokalizacji lub ograniczenie dostępu do aplikacji mogą wyglądać podobnie do usterki technicznej. Przed usunięciem i ponownym dodaniem metody MFA warto sprawdzić, czy istnieje zapasowy sposób logowania oraz czy nie zostanie utracony dostęp do jedynego zarejestrowanego urządzenia.

Typowe problemy i błędy - MFA nie działa

Jednym z częstszych przypadków jest odrzucanie prawidłowo wyglądających kodów. Wtedy należy sprawdzić automatyczną synchronizację daty, godziny i strefy czasowej, a następnie ponownie uruchomić aplikację generującą kody. Błąd może pojawić się także po przywróceniu telefonu z kopii zapasowej, zmianie urządzenia lub ponownej instalacji aplikacji, jeżeli sekret używany do tworzenia kodów nie został prawidłowo przeniesiony.

Przy powiadomieniach push częstą przeszkodą są zablokowane alerty, tryb oszczędzania energii, ograniczenie działania aplikacji w tle albo brak dostępu do sieci. Powiadomienie może nie pojawiać się również wtedy, gdy telefon jest zalogowany na inne konto, aplikacja utraciła rejestrację urządzenia lub żądanie wygasło przed zatwierdzeniem. Warto sprawdzić, czy żądanie widoczne na ekranie pochodzi z aktualnie wykonywanej próby logowania, ponieważ zatwierdzanie nieznanego żądania może stanowić zagrożenie bezpieczeństwa.

Inny problem występuje po wielokrotnym wpisaniu błędnego kodu. Usługa może czasowo zablokować kolejne próby, nawet jeśli później używany jest już prawidłowy kod. W takiej sytuacji dalsze ponawianie logowania zwykle nie pomaga. Należy odczekać wymagany czas, skorzystać z procedury odzyskiwania dostępu albo użyć wcześniej skonfigurowanej metody zapasowej.

Możliwe są również błędy po stronie usługi uwierzytelniającej. Warto sprawdzić bieżący stan usług Microsoft na stronie status.office365.com, zwłaszcza gdy MFA przestaje działać jednocześnie na wielu urządzeniach lub dla kilku użytkowników. Jeżeli usługa działa prawidłowo, diagnostyka powinna objąć połączenie sieciowe, przeglądarkę, datę i godzinę, aplikację uwierzytelniającą, ustawienia konta oraz logi prób logowania. Samo usunięcie konta z aplikacji i dodanie go ponownie powinno być wykonywane ostrożnie, ponieważ może pozbawić dostępu do kodów wymaganych przy ponownej rejestracji.

Kiedy najlepiej zlecić diagnozę specjalistom - MFA nie działa

Do serwisu warto zgłosić problem, gdy MFA przestało działać po aktualizacji systemu, zmianie ustawień telefonu, wymianie urządzenia, awarii sieci bezprzewodowej albo przywróceniu komputera do wcześniejszego stanu. Szczególnie wskazana jest pomoc, gdy nie da się ustalić, czy źródłem problemu jest komputer, telefon, aplikacja uwierzytelniająca czy konto używane do logowania. Przed przekazaniem sprzętu nie należy usuwać jedynej metody MFA ani resetować aplikacji bez przygotowania alternatywnego sposobu potwierdzenia tożsamości.

Podczas sprawdzania można zweryfikować poprawność zegara systemowego, działanie usług sieciowych, uprawnienia aplikacji, obsługę powiadomień, aktualność przeglądarki oraz reakcję na inną metodę uwierzytelniania. Jeżeli problem ogranicza się do jednego komputera, pomocne może być porównanie logowania w innej przeglądarce lub na innym urządzeniu. Gdy błąd występuje wszędzie, potrzebne może być sprawdzenie konfiguracji konta, rejestracji drugiego składnika i historii prób logowania przez administratora usługi.

W przypadku laptopa w serwisie można skorzystać z opcji darmowa diagnoza LAPTOPA. Pozwala to ustalić, czy przyczyną są ustawienia systemowe, problemy z siecią, nieprawidłowe działanie aplikacji lub usterka sprzętowa wpływająca na możliwość odbierania kodów i powiadomień. Po rozpoznaniu źródła problemu można bezpieczniej dobrać dalsze czynności, zachowując dostęp do konta i wcześniej skonfigurowanych metod zabezpieczeń.