MFA nie weryfikuje tożsamości mimo zgodności danych

MFA nieweryfikujące tożsamości mimo zgodności danych wskazuje na rozbieżność czasu systemowego z serwerem — kody TOTP są ważne tylko w wąskim oknie czasowym.

Czym jest sytuacja, w której MFA nie potwierdza tożsamości mimo zgodności danych

Komunikat o nieudanej weryfikacji wieloskładnikowej może pojawić się nawet wtedy, gdy login, hasło oraz kod jednorazowy zostały wpisane poprawnie. W przypadku uwierzytelniania opartego na TOTP problem często wynika z tego, że kod jest obliczany na podstawie aktualnego czasu. Aplikacja uwierzytelniająca oraz system obsługujący logowanie muszą korzystać z porównywalnego czasu, ponieważ ważność kodu obejmuje tylko krótkie okno. Niewielka rozbieżność może spowodować, że kod zostanie uznany za wygasły, jeszcze zanim użytkownik zdąży zakończyć logowanie.

Nie oznacza to automatycznie, że dane użytkownika są błędne albo że konto zostało przejęte. Weryfikacja MFA sprawdza jednocześnie kilka elementów: identyfikator, sekret używany do generowania kodów, bieżący czas oraz reguły obowiązujące dla danej próby logowania. Jeżeli jeden z tych elementów nie pasuje do pozostałych, dostęp może zostać odrzucony pomimo pozornej zgodności wszystkich informacji widocznych na ekranie.

Kontekst techniczny i porównanie mechanizmów weryfikacji

Kody TOTP są generowane cyklicznie na podstawie wspólnego sekretu oraz czasu odczytanego przez aplikację. Kod wyświetlany w telefonie nie jest stałym hasłem, lecz wynikiem obliczenia zależnego od aktualnego przedziału czasowego. System logowania wykonuje własne obliczenie i porównuje wynik z kodem podanym przez użytkownika. Jeżeli zegar telefonu wyprzedza albo opóźnia czas przyjęty przez system, oba obliczenia mogą dotyczyć różnych przedziałów, mimo że kod został przepisany bez pomyłki.

Inaczej działa uwierzytelnianie za pomocą powiadomienia push, klucza bezpieczeństwa lub biometrii. W takich rozwiązaniach nie zawsze występuje ten sam problem z ręcznie generowanym kodem zależnym od czasu, choć nadal mogą pojawić się błędy związane z połączeniem, rejestracją urządzenia, uprawnieniami aplikacji albo zmianą ustawień konta. Weryfikacja SMS również może zawieść z innych przyczyn, na przykład przez opóźnienie wiadomości lub nieaktualny numer. Rodzaj drugiego składnika ma więc znaczenie dla dalszej diagnostyki.

Warto odróżnić rozbieżność zegara od problemu z konfiguracją MFA. Jeśli kod nie działa na jednym urządzeniu, a poprawnie przyjmuje się na innym, podejrzenie może kierować się w stronę ustawień lokalnych. Jeżeli wszystkie kody są odrzucane niezależnie od urządzenia, należy sprawdzić, czy aplikacja korzysta z właściwego konta, czy wpis został utworzony z prawidłowego kodu QR oraz czy administrator nie zresetował wcześniej ustawień uwierzytelniania.

Typowe problemy i błędy prowadzące do odrzucenia kodu

Najczęstszą przyczyną jest ręcznie ustawiony zegar albo wyłączona automatyczna synchronizacja czasu. Dotyczy to zarówno telefonu, jak i urządzenia, z którego wykonywane jest logowanie. Kłopot może wystąpić także po zmianie strefy czasowej, przy nieprawidłowym ustawieniu daty, po rozładowaniu baterii podtrzymującej ustawienia albo po przywróceniu systemu do wcześniejszego stanu. Samo wyświetlanie prawidłowej godziny na pierwszy rzut oka nie zawsze potwierdza, że system korzysta z właściwego źródła czasu.

Błędy pojawiają się również wtedy, gdy użytkownik wybiera poprzedni kod, przełącza się między kilkoma kontami w aplikacji albo wpisuje kod z opóźnieniem po zmianie jego wartości. Niektóre aplikacje pokazują wiele wpisów o podobnych nazwach, co zwiększa ryzyko wybrania niewłaściwego profilu. Przyczyną może być też ponowna instalacja aplikacji bez prawidłowego przeniesienia sekretu, odtworzenie kopii zapasowej z niepełną konfiguracją lub przypadkowe zeskanowanie innego kodu konfiguracyjnego.

Przed rozpoczęciem bardziej zaawansowanych działań należy sprawdzić automatyczne ustawianie daty, godziny i strefy czasowej, uruchomić synchronizację oraz użyć świeżo wyświetlonego kodu. Nie powinno się wielokrotnie zgadywać ani generować nowych konfiguracji bez ustalenia przyczyny, ponieważ zbyt wiele nieudanych prób może czasowo zablokować logowanie. Gdy problem dotyczy wielu użytkowników, możliwe jest również nieprawidłowe ustawienie czasu po stronie systemu obsługującego uwierzytelnianie.

Kiedy najlepiej zgłosić sprzęt do serwisu - MFA nie weryfikuje tożsamości mimo zgodności danych

Pomoc techniczna jest wskazana wtedy, gdy automatyczna synchronizacja czasu nie przywraca działania kodów, data i strefa czasowa samoczynnie się zmieniają, aplikacja MFA zamyka się podczas generowania kodu albo problem występuje po aktualizacji systemu. Zgłoszenie warto przygotować także w sytuacji, gdy nie ma dostępu do kodów zapasowych, nie wiadomo, który wpis w aplikacji odpowiada danemu kontu lub konieczne jest bezpieczne odtworzenie konfiguracji na nowym telefonie.

W Warszawskim Pogotowiu Komputerowym 24/7 można przekazać do sprawdzenia komputer, telefon lub środowisko użytkownika, w którym występuje błąd MFA, aby ustalić, czy źródłem problemu jest czas systemowy, aplikacja, konfiguracja konta czy połączenie z usługą logowania. Podczas diagnostyki nie powinno się udostępniać haseł, kodów jednorazowych ani sekretów konfiguracyjnych; wystarczające jest opisanie objawów i wskazanie momentu, od którego nastąpiła awaria.

Jeżeli przywrócenie synchronizacji czasu nie pomaga, dalsze działania mogą obejmować ponowną rejestrację drugiego składnika, wykorzystanie kodu awaryjnego, sprawdzenie dzienników logowania oraz kontakt z administratorem danego konta. W przypadku urządzenia używanego do pracy lub nauki szybkie zgłoszenie ogranicza ryzyko utraty dostępu do poczty, aplikacji i plików zależnych od uwierzytelniania wieloskładnikowego.