MFA nie synchronizuje się między urządzeniami

MFA niesynchronizujące się między urządzeniami wskazuje na osobne rejestracje aplikacji Authenticator na każdym urządzeniu — nie są one automatycznie powiązane.

Na czym polega problem z synchronizacją MFA

MFA, czyli uwierzytelnianie wieloskładnikowe, wykorzystuje co najmniej dwa niezależne elementy potwierdzające tożsamość użytkownika. Może to być hasło połączone z kodem jednorazowym generowanym w aplikacji uwierzytelniającej, powiadomieniem push, kluczem bezpieczeństwa albo inną metodą zatwierdzania logowania. Gdy MFA nie synchronizuje się między urządzeniami, dostęp do konta może działać poprawnie na jednym telefonie, lecz na drugim brakuje właściwej konfiguracji, kody są odrzucane albo pojawia się prośba o ponowne dodanie konta.

Nie oznacza to zwykle, że same kody powinny być identyczne w tym samym momencie na wszystkich urządzeniach. W przypadku aplikacji generującej kody czasowe każde urządzenie może posiadać osobno zarejestrowany sekret kryptograficzny. Synchronizacja dotyczy wtedy przede wszystkim zapisanej konfiguracji, kopii zapasowej lub procesu przenoszenia kont, a nie bieżącego wyrównywania wszystkich kodów. Jeżeli aplikacja została skonfigurowana niezależnie na kilku urządzeniach, mogą powstać różne rejestracje, z których tylko jedna jest uznawana przez usługę.

Problem może dotyczyć zarówno kont prywatnych, jak i profili używanych do pracy, nauki lub obsługi usług internetowych. Skutkiem bywa utrata wygodnego dostępu po zmianie telefonu, brak możliwości zatwierdzenia logowania na nowym urządzeniu albo konieczność korzystania z kodów awaryjnych. W takiej sytuacji nie należy pochopnie usuwać działającej konfiguracji MFA, ponieważ może to utrudnić odzyskanie dostępu.

Kontekst techniczny i różnice między metodami MFA

W aplikacjach opartych na kodach czasowych synchronizacja zależy od prawidłowego zapisania tajnego klucza oraz dokładnego czasu systemowego. Kod jest wyliczany na podstawie klucza i aktualnego przedziału czasowego, dlatego niewielkie rozbieżności zegara mogą powodować odrzucanie poprawnie wpisywanych cyfr. Samo zalogowanie do konta aplikacji nie zawsze przywraca konfigurację wszystkich usług, ponieważ mechanizm kopii zapasowej może wymagać wcześniejszego włączenia, zgodności systemu albo dodatkowego potwierdzenia.

Inaczej działają powiadomienia push. W tym modelu urządzenie musi być zarejestrowane w usłudze, mieć dostęp do internetu i otrzymywać komunikaty przez właściwy mechanizm systemowy. Wyłączenie powiadomień, ograniczenia pracy w tle, tryb oszczędzania energii lub zmiana identyfikatora urządzenia mogą sprawić, że zatwierdzanie logowania przestanie działać mimo obecności aplikacji.

Jeszcze inny charakter mają klucze bezpieczeństwa oraz kody odzyskiwania. Klucz sprzętowy nie synchronizuje się jak zwykła aplikacja, a jego działanie wynika z zapisanych danych kryptograficznych i procedury rejestracji po stronie usługi. Kody awaryjne również nie są automatycznie przenoszone między telefonami. Przy zmianie urządzenia trzeba więc rozróżnić przenoszenie ustawień aplikacji, ponowną rejestrację metody MFA oraz odzyskanie dostępu za pomocą alternatywnego sposobu weryfikacji.

Bezpieczna migracja powinna obejmować sprawdzenie, czy stare urządzenie nadal działa, przygotowanie kodów zapasowych, dodanie nowego urządzenia w ustawieniach konta i wykonanie testowego logowania. Dopiero po potwierdzeniu działania nowej metody można usuwać poprzednią rejestrację. Warto również upewnić się, że data, godzina i strefa czasowa są ustawiane automatycznie oraz że aplikacja ma aktualną wersję.

Typowe przyczyny i objawy niespójnej konfiguracji

Jednym z najczęstszych źródeł kłopotów jest przeniesienie aplikacji na nowy telefon bez odtworzenia jej danych z kopii zapasowej. Ikona aplikacji może być obecna, lecz zapisane wcześniej konta nie muszą zostać przywrócone. Czasem odtworzone zostają nazwy profili, ale nie tajne klucze potrzebne do generowania prawidłowych kodów. W efekcie użytkownik widzi konto na liście, jednak kody z nowego urządzenia nie pasują do kodów akceptowanych przez usługę.

Problemy pojawiają się także po usunięciu aplikacji, przywróceniu telefonu do ustawień fabrycznych, zmianie numeru telefonu lub wyłączeniu synchronizacji danych. W niektórych usługach każda kolejna rejestracja unieważnia poprzednią, natomiast w innych kilka urządzeń może działać jednocześnie. Zależy to od sposobu wdrożenia MFA przez dostawcę konta, dlatego nie powinno się zakładać, że identyczna aplikacja na dwóch telefonach będzie miała tę samą konfigurację.

Do typowych objawów należą:

• odrzucanie kodów mimo ich poprawnego przepisania;
• brak powiadomień zatwierdzających logowanie;
• wyświetlanie prośby o ponowne zeskanowanie kodu QR;
• brak kont po zmianie telefonu lub odtworzeniu kopii;
• działanie MFA na starym urządzeniu i niedziałanie na nowym;
• komunikat o wygasłej, nieaktywnej albo nieznanej metodzie uwierzytelniania.

Przed ponowną rejestracją warto sprawdzić automatyczną datę i godzinę, połączenie z internetem, uprawnienia aplikacji, ustawienia powiadomień oraz blokady pracy w tle. Należy też zweryfikować, czy kod wpisywany jest z właściwego profilu i czy nie jest używany po upływie okresu ważności. Jeżeli dostęp do konta nadal działa na jednym urządzeniu, najlepiej wykorzystać to urządzenie do dodania kolejnej metody logowania lub wygenerowania nowych kodów odzyskiwania.

Kiedy trzeba przekazać urządzenie do naprawy - MFA nie synchronizuje się między urządzeniami

Do serwisu warto zgłosić się wtedy, gdy MFA przestało działać po wymianie telefonu, aktualizacji systemu, przywróceniu kopii zapasowej albo utracie poprzedniego urządzenia, a samodzielna ponowna rejestracja mogłaby doprowadzić do zablokowania konta. Pomoc może obejmować uporządkowanie ustawień urządzenia, sprawdzenie czasu systemowego, powiadomień, uprawnień i kopii danych, a także przygotowanie bezpiecznej kolejności działań związanych z ponownym dodaniem metody uwierzytelniania.

Nie powinno się przekazywać osobom postronnym haseł, kodów jednorazowych, kodów odzyskiwania ani kluczy zapisanych w aplikacji. Podczas zgłoszenia można opisać objawy, wskazać, na którym urządzeniu dostęp nadal działa, oraz przygotować informacje o zmianach wykonanych przed wystąpieniem problemu. W razie potrzeby dalsza część konfiguracji może wymagać kontaktu z administratorem konkretnej usługi lub jej oficjalnym działem pomocy.

W Warszawie takie przypadki przyjmuje Warszawskie Pogotowie Komputerowe 24/7, gdzie przed rozpoczęciem prac można skorzystać z darmowej diagnozy LAPTOPA. Dzięki temu da się najpierw ustalić, czy przyczyną jest urządzenie, aplikacja, ustawienia systemowe czy sama konfiguracja konta, a dopiero później dobrać bezpieczny sposób przywrócenia dostępu.