MFA nie działa w trybie offline

MFA niedziałające w trybie offline jest zachowaniem oczekiwanym — weryfikacja wieloskładnikowa wymaga aktywnego połączenia z usługą uwierzytelniania w chmurze.

Czym jest problem „MFA nie działa w trybie offline”

MFA, czyli uwierzytelnianie wieloskładnikowe, zabezpiecza konto za pomocą co najmniej dwóch niezależnych elementów, na przykład hasła oraz kodu jednorazowego, potwierdzenia w aplikacji albo klucza bezpieczeństwa. Komunikat o niedziałaniu MFA bez dostępu do internetu oznacza zazwyczaj, że dany sposób potwierdzania tożsamości nie może skontaktować się z usługą odpowiedzialną za logowanie. Samo wpisanie poprawnego hasła może więc nie wystarczyć, ponieważ system oczekuje dodatkowej odpowiedzi z aplikacji, serwisu tożsamości lub zarejestrowanego urządzenia.

Nie jest to jedna, ściśle określona usterka. Podobny objaw może wynikać z konstrukcji konkretnego mechanizmu MFA, ustawień konta, braku wcześniej przygotowanej metody zapasowej albo z faktu, że aplikacja wymaga bieżącej synchronizacji. W części rozwiązań kod generowany lokalnie może działać bez stałego połączenia z siecią, ale nie oznacza to, że każda metoda wieloskładnikowa zachowa się w taki sam sposób. Zależność od internetu dotyczy między innymi powiadomień push, potwierdzeń wykonywanych na stronie logowania oraz metod, które muszą pobrać lub zatwierdzić dane w usłudze uwierzytelniającej.

Tryb offline należy rozumieć jako sytuację, w której urządzenie nie ma skutecznego połączenia z usługą logowania, nawet jeżeli system pokazuje połączenie z lokalną siecią bezprzewodową. Dostęp do routera, drukarki lub innych urządzeń w domu czy biurze nie zapewnia jeszcze dostępu do internetu. Również chwilowe przerwanie transmisji, błędna konfiguracja DNS, filtr sieciowy albo nieprawidłowa data i godzina mogą sprawić, że MFA zostanie odebrane jako niedostępne.

Kontekst techniczny i porównanie metod uwierzytelniania - MFA nie działa w trybie offline

Różnice między metodami MFA najlepiej widać po sposobie, w jaki powstaje i jest sprawdzany drugi składnik. Kod generowany przez aplikację uwierzytelniającą może być wyliczany na podstawie wcześniej zapisanej tajemnicy oraz aktualnego czasu. Jeżeli telefon ma prawidłowo ustawiony zegar, taki kod bywa możliwy do odczytania bez aktywnego internetu, choć zaakceptowanie go nadal zależy od konfiguracji usługi logowania. W tym przypadku brak sieci na telefonie nie zawsze uniemożliwia wygenerowanie kodu, ale może uniemożliwić przejście do strony, na której kod powinien zostać wpisany.

Powiadomienie push działa inaczej. Serwis logowania wysyła żądanie do aplikacji na zarejestrowanym urządzeniu, a aplikacja musi je odebrać i przekazać odpowiedź. Bez transmisji danych, dostępu do sieci komórkowej lub odpowiedniej łączności bezprzewodowej powiadomienie może nie dotrzeć. Podobnie działają niektóre zatwierdzenia w aplikacji, kody wysyłane wiadomością oraz procesy wymagające sprawdzenia stanu konta w usłudze zewnętrznej.

Klucz bezpieczeństwa może w pewnych zastosowaniach potwierdzać obecność użytkownika lokalnie, jednak komputer nadal musi mieć możliwość przekazania wyniku logowania do właściwej usługi. Z kolei kody zapasowe są zwykle przygotowywane wcześniej i mogą być użyte bez generowania nowego powiadomienia, ale tylko wtedy, gdy zostały zapisane, są czytelne i nie zostały wcześniej wykorzystane. Właśnie dlatego przygotowanie kilku niezależnych metod dostępu jest ważniejsze niż poleganie na jednym rodzaju kodu.

Warto rozróżnić trzy sytuacje: brak internetu na urządzeniu, brak dostępu do usługi uwierzytelniającej oraz odrzucenie poprawnej metody przez politykę konta. Pierwsza dotyczy warstwy połączenia, druga komunikacji z systemem logowania, a trzecia ustawień bezpieczeństwa. Każda z nich może wyglądać podobnie na ekranie, lecz wymaga innego sprawdzenia. Samo ponowne wpisywanie hasła lub wielokrotne żądanie powiadomienia nie usuwa przyczyny i może dodatkowo doprowadzić do czasowego zablokowania konta.

Typowe problemy i błędy powodujące niedziałanie MFA offline

Najczęściej problem zaczyna się od braku wcześniej przygotowanej metody awaryjnej. Jeżeli konto zostało skonfigurowane wyłącznie z powiadomieniem push, utrata internetu może od razu uniemożliwić logowanie. Podobny skutek występuje po zmianie telefonu, usunięciu aplikacji uwierzytelniającej, przywróceniu ustawień urządzenia lub wyrejestrowaniu poprzedniego telefonu bez dodania nowej metody.

Drugim częstym źródłem błędów jest rozbieżność czasu. Kody czasowe mają krótki okres ważności, dlatego nieprawidłowa strefa czasowa, ręcznie ustawiony zegar albo opóźnienie synchronizacji mogą powodować odrzucanie kodów, które na pierwszy rzut oka wyglądają poprawnie. Należy sprawdzić automatyczne ustawianie daty, godziny i strefy czasowej, ale trzeba pamiętać, że w pełni offline urządzenie może nie być w stanie pobrać aktualnego czasu z zaufanego źródła.

Problem może także wynikać z ograniczeń sieciowych. Publiczna sieć Wi‑Fi może wymagać zaakceptowania strony powitalnej, zapora może blokować połączenia aplikacji, a filtr DNS może uniemożliwiać znalezienie adresu usługi logowania. W niektórych miejscach działają zwykłe strony internetowe, lecz nie działają połączenia wykorzystywane przez aplikację uwierzytelniającą. Warto sprawdzić połączenie z użyciem innej sieci, na przykład hotspotu, o ile jest to zgodne z zasadami bezpieczeństwa danego konta.

Do pomyłek prowadzi również użycie niewłaściwego konta w aplikacji. Przy wielu profilach łatwo odczytać kod przypisany do innego adresu lub innej organizacji. Niekiedy aplikacja wyświetla kilka wpisów o podobnych nazwach, a użytkownik wybiera pierwszy z listy. Należy porównać identyfikator konta, nazwę usługi i moment dodania wpisu, nie ujawniając kodów osobom postronnym.

Nie powinno się usuwać aplikacji, resetować urządzenia ani kasować wpisu MFA przed uzyskaniem innej działającej metody dostępu. Takie działanie może usunąć lokalnie zapisane dane, które były jedynym sposobem potwierdzenia tożsamości. Ostrożność jest szczególnie istotna wtedy, gdy nie ma kodów zapasowych, drugiego zarejestrowanego urządzenia ani administratora mogącego przeprowadzić bezpieczne odzyskiwanie konta.

Kiedy trzeba skorzystać z pomocy serwisu - MFA nie działa w trybie offline

Do serwisu warto zgłosić problem, gdy MFA przestało działać po aktualizacji systemu, zmianie telefonu, wymianie karty SIM, przywróceniu ustawień fabrycznych albo zmianie sieci, a samodzielne sprawdzenie połączenia i zegara nie przyniosło rezultatu. Pomoc może być potrzebna również wtedy, gdy nie wiadomo, czy przyczyną jest urządzenie, aplikacja uwierzytelniająca, przeglądarka, konfiguracja sieci czy ustawienia konta. Przed przekazaniem sprzętu należy przygotować informacje o objawie, używanej metodzie MFA i ostatniej zmianie, po której pojawił się problem, bez podawania haseł ani kodów jednorazowych.

W Warszawie takie przypadki obsługuje Warszawskie Pogotowie Komputerowe 24/7, gdzie diagnoza laptopa jest darmowa. W ramach sprawdzenia można zweryfikować działanie połączenia, ustawienia daty i czasu, dostęp aplikacji do sieci, zachowanie przeglądarki oraz podstawową konfigurację systemu. Jeżeli problem leży po stronie dostawcy konta lub wymaga uprawnień administratora, można precyzyjnie wskazać, który etap logowania nie działa i jakie dane należy przekazać właściwej osobie.

Przed wizytą warto zachować kody zapasowe w bezpiecznym miejscu, sprawdzić, czy istnieje druga metoda potwierdzania, oraz upewnić się, że urządzenie nie jest potrzebne do odzyskania dostępu do innych kont. Nie należy przekazywać serwisowi hasła, kodu MFA ani kodu odzyskiwania. Wystarczające powinno być przedstawienie objawu i wykonanie czynności na własnym koncie przez właściciela, gdy pojawi się wymagane potwierdzenie.