MFA wymaga logowania online – brak Internetu

MFA wymagające logowania online przy braku internetu jest ograniczeniem architektury — weryfikacja wieloskładnikowa nie działa w trybie w pełni offline.

MFA wymagające połączenia z Internetem – czym jest ten problem

Wieloskładnikowe uwierzytelnianie, czyli MFA, może być skonfigurowane tak, aby podczas logowania urządzenie użytkownika kontaktowało się z usługą internetową odpowiedzialną za potwierdzenie tożsamości. W takim modelu samo podanie hasła nie wystarcza. System oczekuje jeszcze dodatkowego potwierdzenia, na przykład kodu wygenerowanego przez aplikację, akceptacji powiadomienia, wiadomości wysłanej na zarejestrowany numer albo odpowiedzi usługi tożsamościowej dostępnej w sieci.

Jeżeli komputer nie ma dostępu do Internetu, proces logowania może zatrzymać się na etapie sprawdzania drugiego składnika. Nie musi to oznaczać nieprawidłowego hasła ani uszkodzenia konta. Przyczyną bywa brak możliwości połączenia z usługą uwierzytelniającą, niedostępny kanał powiadomień, problem z rozpoznaniem urządzenia lub wygaśnięcie sesji wymagającej ponownej weryfikacji. Ograniczenie wynika więc ze sposobu zaprojektowania mechanizmu MFA, a nie wyłącznie z ustawień samego systemu.

Warto rozróżnić MFA zależne od połączenia z siecią od metod, które potrafią działać bez bieżącego dostępu do Internetu. Jednorazowe kody generowane lokalnie w aplikacji uwierzytelniającej mogą być dostępne także w trybie offline, ponieważ nie są pobierane w chwili logowania. Inaczej działają natomiast potwierdzenia push, kody przesyłane wiadomością, logowanie przez zewnętrzną stronę lub sprawdzanie uprawnień w usłudze online. Dostępność trybu awaryjnego zależy od konkretnej konfiguracji konta i zastosowanej metody.

Kontekst techniczny i porównanie sposobów uwierzytelniania - MFA wymaga logowania online – brak Internetu

Proces logowania z MFA składa się zwykle z kilku następujących po sobie etapów. Najpierw wprowadzane są dane podstawowe, najczęściej identyfikator i hasło. Następnie aplikacja lub system określa, czy wymagane jest dodatkowe potwierdzenie. W kolejnym kroku wysyłane jest żądanie do odpowiedniego mechanizmu weryfikacyjnego. Jeżeli ten mechanizm nie może zostać osiągnięty, pojawia się komunikat o braku połączenia, oczekiwaniu na potwierdzenie lub niemożności dokończenia logowania.

Największą zależność od Internetu wykazują metody, które wymagają wymiany danych w czasie rzeczywistym. Dotyczy to między innymi zatwierdzania powiadomienia na telefonie, pobierania kodu przez wiadomość, przekierowania do strony logowania oraz potwierdzania urządzenia przez usługę zewnętrzną. W tych przypadkach nawet poprawnie działający komputer może odmówić dostępu, jeżeli połączenie jest zerwane, filtrowane albo ograniczone przez konfigurację sieci.

Inaczej należy ocenić kody czasowe generowane przez aplikację. Taki kod może powstawać na podstawie wcześniej zapisanej tajemnicy i aktualnego czasu urządzenia, dlatego do jego wyświetlenia nie zawsze jest potrzebne połączenie z Internetem. Nadal jednak znaczenie ma prawidłowa data i godzina. Większe odchylenie zegara na komputerze lub telefonie może spowodować odrzucenie kodu jako nieaktualnego, mimo że został wpisany bez literówki.

Podobnie działają niektóre kody zapasowe zapisane wcześniej przez użytkownika. Mogą one umożliwić jednorazowe wejście na konto bez połączenia z siecią, ale zazwyczaj są przeznaczone do sytuacji awaryjnych i po użyciu tracą ważność. Brak przygotowanej metody zapasowej zwiększa ryzyko utraty dostępu w chwili awarii łącza. Z tego powodu konfigurację MFA powinno się sprawdzać jeszcze wtedy, gdy konto działa prawidłowo.

Typowe problemy, komunikaty i błędy - MFA wymaga logowania online – brak Internetu

Jednym z częstych objawów jest zatrzymanie logowania po wpisaniu hasła. Ekran może przez dłuższy czas oczekiwać na potwierdzenie, wyświetlać informację o wysłaniu powiadomienia albo ponawiać próbę połączenia. Czasami użytkownik widzi jedynie ogólny komunikat o błędzie, ponieważ program nie rozróżnia braku Internetu od niedostępności usługi uwierzytelniającej.

Źródłem problemu nie zawsze jest całkowity brak sieci. Logowanie może nie działać również wtedy, gdy komputer jest połączony z routerem, lecz nie otrzymuje poprawnej odpowiedzi z Internetu. Możliwe są także blokady ruchu przez zaporę, filtr DNS, sieć publiczną, ustawienia proxy, oprogramowanie ochronne albo ograniczenia zastosowane w konkretnej sieci bezprzewodowej. Sam symbol połączenia przy zegarze nie potwierdza jeszcze, że wszystkie wymagane adresy i usługi są osiągalne.

Drugą grupę problemów stanowią niezgodności czasu. W przypadku kodów czasowych należy sprawdzić datę, godzinę i strefę czasową zarówno na komputerze, jak i na urządzeniu używanym do generowania kodu. Różnica kilku minut może wystarczyć do odrzucenia prawidłowego kodu. Podobny skutek może mieć rozładowany telefon, wyłączone powiadomienia, brak zasięgu sieci komórkowej lub zmiana numeru przypisanego do konta.

Problematyczne bywa również logowanie po zmianie hasła, przywróceniu ustawień, aktualizacji systemu albo usunięciu zapisanych danych przeglądarki. System może potraktować urządzenie jako nowe i wymagać ponownej rejestracji. Jeżeli rejestracja wymaga połączenia online, brak Internetu uniemożliwi wykonanie tej czynności. W takiej sytuacji wielokrotne wpisywanie hasła nie rozwiąże problemu, a powtarzanie nieudanych prób może dodatkowo doprowadzić do czasowej blokady konta.

Przed zastosowaniem resetu ustawień lub usunięciem aplikacji uwierzytelniającej należy sprawdzić, czy nie zostaną utracone zapisane kody i dane potrzebne do odzyskania dostępu. Warto także zachować kody zapasowe w bezpiecznym miejscu oraz zweryfikować, czy konto ma skonfigurowaną alternatywną metodę potwierdzenia. Działania wykonywane bez rozpoznania konfiguracji mogą utrudnić późniejsze odzyskanie dostępu.

Kiedy warto przekazać urządzenie do naprawy - MFA wymaga logowania online – brak Internetu

Do serwisu warto zgłosić się wtedy, gdy problem z MFA powtarza się mimo przywrócenia poprawnego połączenia z Internetem, a przyczyna nie jest widoczna w komunikacie. Szczególnie uzasadniona jest konsultacja, gdy nie można ustalić, czy błąd dotyczy sieci, zegara systemowego, aplikacji uwierzytelniającej, przeglądarki czy samego konta. Analiza może obejmować sprawdzenie połączenia, ustawień proxy i DNS, zapory, daty oraz godziny, a także zachowania innych metod logowania.

W przypadku laptopa pomocne może być porównanie działania na różnych źródłach Internetu, sprawdzenie sterowników urządzenia sieciowego oraz ocena, czy problem występuje w każdym programie, czy tylko w jednej aplikacji. Jeżeli logowanie działa po podłączeniu przewodowym, lecz nie przez Wi-Fi, podejrzenie może paść na konfigurację sieci bezprzewodowej, filtrację ruchu albo niestabilny dostęp. Jeżeli nie działa żadna metoda, potrzebne jest szersze sprawdzenie systemu i ustawień konta.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się analizą takich przypadków, gdy brak dostępu do Internetu uniemożliwia przejście przez dodatkowe uwierzytelnianie lub gdy komunikaty nie wskazują jednoznacznie źródła usterki. Przed przekazaniem urządzenia warto przygotować opis momentu wystąpienia problemu, rodzaj używanej metody MFA, informację o ewentualnych zmianach hasła oraz dane dotyczące tego, czy inne strony i programy mają dostęp do sieci. Nie należy przekazywać osobom postronnym hasła ani jednorazowych kodów.

Jeżeli konieczne jest odzyskanie dostępu do konta, czynności powinny być prowadzone zgodnie z procedurą jego administratora lub dostawcy usługi. Serwis może pomóc w rozdzieleniu problemu sprzętowego od konfiguracyjnego i przygotowaniu urządzenia do dalszej weryfikacji, ale nie powinno się omijać zabezpieczeń ani usuwać mechanizmu MFA bez potwierdzenia prawa do danego konta.