MFA nie działa z aplikacjami starszego typu

MFA niedziałające z aplikacjami starszego typu (Legacy Auth) wymaga wygenerowania osobnego hasła aplikacji, ponieważ te protokoły nie obsługują drugiego czynnika.

Czym jest problem z MFA w aplikacjach starszego typu

Komunikat „MFA nie działa z aplikacjami starszego typu” oznacza, że używany program, urządzenie albo protokół logowania nie potrafi przeprowadzić współczesnego uwierzytelniania wieloskładnikowego. Tego rodzaju aplikacje często korzystają z klasycznego okna logowania, w którym można podać wyłącznie nazwę użytkownika i hasło. Nie ma w nim miejsca na zatwierdzenie powiadomienia w telefonie, wpisanie kodu jednorazowego, użycie klucza bezpieczeństwa ani obsługę przekierowania do dodatkowej strony logowania.

Problem nie musi oznaczać awarii samej aplikacji uwierzytelniającej. Zwykle wynika z niezgodności pomiędzy starszym mechanizmem uwierzytelniania a zasadami bezpieczeństwa ustawionymi dla konta. W przypadku poczty, starszych klientów pocztowych, nieaktualnych narzędzi synchronizacyjnych lub urządzeń wielofunkcyjnych czasem stosuje się osobne hasło aplikacji. Jest to specjalny, wygenerowany dla konkretnego programu ciąg znaków, który zastępuje zwykłe hasło podczas połączenia z usługą, gdy dany protokół nie potrafi wywołać drugiego etapu logowania.

Hasło aplikacji nie jest tym samym co wyłączenie MFA dla całego konta. Dobrze skonfigurowane rozwiązanie pozwala zachować dodatkową ochronę podczas logowania interaktywnego, a jednocześnie zapewnia dostęp starszemu programowi. Takie obejście powinno być traktowane jako rozwiązanie kontrolowane i ograniczone, ponieważ jego użycie może ominąć część zabezpieczeń dostępnych w nowszych metodach logowania.

Różnica między nowoczesnym uwierzytelnianiem a starszym protokołem

Nowoczesne logowanie zwykle przebiega przez usługę tożsamości, która może sprawdzić hasło, urządzenie, lokalizację, stan zabezpieczeń oraz dodatkowy czynnik. Aplikacja otrzymuje następnie token dostępu, którego zakres i czas ważności mogą być ograniczone. Dzięki temu hasło nie musi być przekazywane bezpośrednio każdemu programowi, a dostęp może zostać cofnięty bez zmiany głównego hasła.

Starsze protokoły działają prościej. Program łączy się z serwerem i przekazuje dane logowania w formacie, którego nie da się rozszerzyć o interaktywny etap MFA. W takiej sytuacji serwer może odrzucić zwykłe hasło, mimo że jest ono poprawne, ponieważ polityka bezpieczeństwa wymaga dodatkowego potwierdzenia. Gdy usługa dopuszcza hasła aplikacji, wygenerowany kod pełni funkcję poświadczenia przeznaczonego dla tego ograniczonego sposobu komunikacji.

Przed utworzeniem hasła aplikacji warto sprawdzić, czy używany program nie ma dostępnej aktualizacji z obsługą nowoczesnego logowania. Nowsza wersja może korzystać z właściwego okna autoryzacji i pozwalać na pełne wykorzystanie MFA. Jeżeli aktualizacja nie jest możliwa, należy potwierdzić w ustawieniach konta, czy hasła aplikacji są dozwolone, a następnie przypisać wygenerowane poświadczenie wyłącznie do wskazanego programu.

Ważne jest także rozróżnienie między hasłem aplikacji a kodem jednorazowym. Kod z aplikacji uwierzytelniającej zazwyczaj zmienia się po krótkim czasie i służy do potwierdzenia logowania interaktywnego. Hasło aplikacji pozostaje ważne do momentu jego unieważnienia, dlatego nie powinno być zapisywane w niechronionych notatkach, przesyłane pocztą ani używane w wielu niezależnych programach.

Typowe przyczyny i objawy błędnego działania - MFA nie działa z aplikacjami starszego typu

Jednym z częstych powodów jest pozostawienie w programie starego hasła po włączeniu MFA. Aplikacja może wtedy wielokrotnie wyświetlać monit o logowanie, zgłaszać nieprawidłowe dane albo przechodzić w tryb ciągłego łączenia. Samo wpisywanie kodu z telefonu w polu hasła zwykle nie rozwiązuje problemu, ponieważ starszy protokół nie ma mechanizmu obsługującego taki kod.

Inną przyczyną bywa wyłączona funkcja haseł aplikacji, ograniczenie narzucone przez administratora lub niedozwolony typ protokołu. Konto może akceptować MFA w przeglądarce, a jednocześnie odrzucać połączenia z klienta pocztowego, skanera sieciowego albo starszego programu księgowego. Należy również sprawdzić, czy hasło aplikacji zostało przypisane do właściwego konta oraz czy nie zostało wcześniej unieważnione.

Błędy mogą pojawić się także po zmianie głównego hasła, usunięciu zapisanych poświadczeń z systemu, przywróceniu kopii konfiguracji lub przejściu na inną metodę uwierzytelniania. Program może zachować stare dane w menedżerze poświadczeń i nadal próbować korzystać z nich mimo wygenerowania nowego hasła aplikacji. W takich przypadkach pomocne bywa usunięcie nieaktualnego wpisu, ponowne uruchomienie aplikacji oraz wprowadzenie właściwego poświadczenia w odpowiednim polu.

Nie należy pomijać kwestii bezpieczeństwa. Hasło aplikacji powinno zostać odebrane po zakończeniu korzystania ze starszego programu, zwłaszcza gdy urządzenie zostało wymienione, utracone albo przekazane innej osobie. Jeżeli usługa nie oferuje haseł aplikacji, bezpieczniejszym kierunkiem jest aktualizacja programu, zmiana konfiguracji na nowszy protokół lub zastąpienie nieobsługiwanego rozwiązania innym narzędziem.

Kiedy trzeba oddać urządzenie do diagnozy - MFA nie działa z aplikacjami starszego typu

Zgłoszenie do serwisu jest uzasadnione, gdy MFA działa poprawnie w przeglądarce, lecz odmawia współpracy z konkretnym programem, urządzeniem lub profilem systemowym. Warto przygotować nazwę aplikacji, wersję systemu, rodzaj konta, dokładny komunikat oraz informację, czy problem pojawił się po zmianie hasła albo włączeniu dodatkowego zabezpieczenia. Takie dane ułatwiają odróżnienie błędu konfiguracji od ograniczenia technicznego starego protokołu.

Podczas diagnostyki można sprawdzić ustawienia konta, dostępność aktualizacji, zapisane poświadczenia, sposób komunikacji z serwerem oraz zgodność programu z wymaganiami dostawcy usługi. W razie potrzeby można uporządkować stare wpisy logowania, skonfigurować osobne hasło aplikacji, ustawić bezpieczniejszy sposób dostępu albo wskazać, że dane urządzenie nie powinno już łączyć się z kontem.

Pomoc serwisowa jest szczególnie przydatna, gdy problem dotyczy kilku aplikacji, wielu kont lub urządzenia używanego do pracy, a próby przypadkowego wyłączania zabezpieczeń mogłyby narazić dane na dostęp osób nieuprawnionych. W serwisie laptopów można skorzystać z darmowej diagnozy LAPTOPA, aby najpierw ustalić, czy źródłem problemu jest aplikacja, system, zapisane dane uwierzytelniające czy konfiguracja konta.