Problem z zarządzaniem wieloma kontami MFA

Problem z zarządzaniem wieloma kontami MFA wskazuje na konflikt aplikacji Authenticator próbującej obsłużyć jednocześnie kilka niezależnych tożsamości.

Problem z zarządzaniem wieloma kontami MFA – czym jest i skąd się bierze

Problem z zarządzaniem wieloma kontami MFA pojawia się wtedy, gdy jedna aplikacja uwierzytelniająca ma obsługiwać kilka niezależnych tożsamości, profili logowania albo środowisk używanych przez tę samą osobę. Każde konto może mieć własny adres logowania, odrębne zasady bezpieczeństwa, inny sposób zatwierdzania dostępu oraz osobny klucz zapisany w aplikacji Authenticator. Z punktu widzenia użytkownika wszystkie wpisy mogą wyglądać podobnie, dlatego łatwo pomylić właściwy profil podczas logowania.

MFA, czyli uwierzytelnianie wieloskładnikowe, wymaga potwierdzenia tożsamości za pomocą co najmniej dwóch niezależnych elementów. Pierwszym jest zwykle hasło, drugim kod jednorazowy, powiadomienie push, klucz bezpieczeństwa albo inna metoda potwierdzenia. Samo posiadanie aplikacji Authenticator nie rozwiązuje organizacyjnych trudności związanych z wieloma kontami. Gdy wpisy zostaną dodane bez czytelnych nazw, po zmianie telefonu, przywróceniu kopii zapasowej albo ponownej instalacji aplikacji może być trudno rozpoznać, który kod należy do konkretnego logowania.

Nie zawsze oznacza to awarię sprzętu. Przyczyną może być nieprawidłowa konfiguracja, brak synchronizacji czasu, pomieszanie profili, usunięcie wpisu z aplikacji, niewłaściwa kopia zapasowa albo utrata dostępu do numeru telefonu używanego do odzyskiwania konta. Istotne jest także rozróżnienie między kontem użytkownika, kontem służbowym, kontem administracyjnym i profilem należącym do innej organizacji. Każdy z tych rodzajów dostępu może wymagać osobnego procesu przywracania.

Problem z zarządzaniem wieloma kontami MFA – kontekst techniczny i porównanie metod

Najczęściej spotykany kod jednorazowy TOTP jest wyliczany na podstawie tajnego klucza zapisanego podczas rejestracji konta oraz aktualnego czasu. Kod zmienia się cyklicznie, dlatego telefon i usługa logowania muszą mieć prawidłowo ustawioną datę, godzinę oraz strefę czasową. Nawet niewielkie rozbieżności mogą powodować odrzucanie poprawnie wpisanego kodu. W takiej sytuacji powtarzanie próby logowania zwykle nie pomaga, a wielokrotne błędne próby mogą doprowadzić do czasowego zablokowania dostępu.

Powiadomienia push działają inaczej niż kody TOTP. Wymagają połączenia z internetem, właściwie zarejestrowanej aplikacji oraz zgody na powiadomienie w telefonie. Jeżeli powiadomienie trafia do nieużywanego urządzenia, pojawia się z opóźnieniem albo nie wyświetla się z powodu ograniczeń systemowych, użytkownik może uznać, że konto nie działa. Warto wtedy sprawdzić listę zaufanych urządzeń i metod zapasowych, zamiast wielokrotnie usuwać i dodawać ten sam profil.

Klucz bezpieczeństwa, kod zapasowy i wiadomość SMS pełnią inne funkcje niż aplikacja uwierzytelniająca. Klucz sprzętowy może zapewniać wysoką odporność na przejęcie danych logowania, ale trzeba go mieć przy sobie i wcześniej przypisać do konta. Kody zapasowe są przydatne bez dostępu do telefonu, jednak ich przechowywanie w przypadkowym miejscu obniża bezpieczeństwo. Wiadomość SMS bywa łatwiejsza w użyciu, lecz zależy od dostępności numeru oraz ochrony karty SIM. Z tego powodu przy wielu kontach warto utrzymywać co najmniej jedną bezpieczną metodę awaryjną dla każdego ważnego profilu.

Ważne jest odróżnienie duplikatu wpisu od nowej rejestracji. Ten sam adres e-mail może występować w kilku usługach, a każda usługa może wykorzystywać inny klucz MFA. Dwa podobne wpisy w Authenticatorze nie muszą oznaczać tego samego konta. Usunięcie jednego z nich bez sprawdzenia może pozbawić dostępu do określonego profilu. Przed zmianami warto zapisać nazwy usług, adresy logowania i dostępne metody odzyskiwania, bez ujawniania samych kluczy ani kodów jednorazowych.

Problem z zarządzaniem wieloma kontami MFA – typowe problemy podczas logowania

Jednym z częstych objawów jest komunikat o nieprawidłowym kodzie mimo wpisywania wartości widocznej na ekranie telefonu. Należy wtedy sprawdzić automatyczne ustawianie daty i godziny, połączenie z internetem oraz to, czy wybrano odpowiedni wpis. Kod z profilu A nie zostanie zaakceptowany przez profil B, nawet jeśli oba konta mają podobne nazwy. Pomocne może być zamknięcie i ponowne otwarcie aplikacji, odczekanie na zmianę kodu oraz wpisanie nowej wartości bez spacji.

Innym problemem jest wielokrotne otrzymywanie próśb o zatwierdzenie logowania. Może to wynikać z wygasłej sesji, zmienionej lokalizacji sieciowej, usuniętych plików cookies albo ustawionej zasady ponownego potwierdzania tożsamości. Jeżeli powiadomienia pojawiają się bez rozpoczęcia logowania, nie należy ich akceptować. Może to wskazywać na próbę użycia hasła przez osobę nieuprawnioną. W takiej sytuacji wskazana jest zmiana hasła, sprawdzenie historii logowań i unieważnienie nieznanych sesji.

Problemy występują także po zmianie telefonu. Kopia zapasowa aplikacji nie zawsze odtwarza klucze MFA w sposób umożliwiający natychmiastowe użycie. Niektóre usługi wymagają ponownej rejestracji aplikacji, potwierdzenia dodatkową metodą albo kontaktu z osobą odpowiedzialną za dane konto. Samo skopiowanie aplikacji na nowe urządzenie może nie wystarczyć. Przed wyzerowaniem starego telefonu należy sprawdzić, czy każde konto ma działającą metodę zapasową.

Do utraty dostępu może dojść po usunięciu profilu, wyczyszczeniu danych aplikacji, przywróceniu telefonu do ustawień początkowych, zmianie numeru lub wylogowaniu z konta synchronizującego. Ryzyko rośnie, gdy wszystkie konta korzystają wyłącznie z jednego telefonu. Warto też pamiętać, że odinstalowanie aplikacji może usunąć lokalne dane, których nie da się odtworzyć bez ponownej rejestracji. Dlatego operacje porządkowe powinny być wykonywane dopiero po sprawdzeniu możliwości odzyskiwania.

Problem z zarządzaniem wieloma kontami MFA – praktyczne wskazówki organizacyjne

Najprostszym sposobem ograniczenia pomyłek jest nadawanie wpisom jednoznacznych nazw. Można wskazać usługę, rodzaj profilu i skróconą nazwę użytkownika, ale bez umieszczania w nazwie hasła, kodu ani tajnego klucza. Dobrą praktyką jest także uporządkowanie wpisów według ważności i regularne usuwanie profili, które nie są już używane. Przed usunięciem trzeba potwierdzić, że konto rzeczywiście zostało zamknięte albo że dostęp przeniesiono do innej metody.

Każde konto powinno mieć sprawdzoną metodę odzyskiwania. Może nią być kod zapasowy przechowywany poza telefonem, drugi wcześniej zarejestrowany sposób potwierdzania, klucz bezpieczeństwa albo formalna procedura resetu. Kody zapasowe nie powinny być wysyłane w zwykłej wiadomości, zapisywane na pulpicie ani przechowywane razem z hasłem. Jeżeli są drukowane, należy umieścić je w bezpiecznym miejscu i wymienić po wykorzystaniu lub podejrzeniu.

Przy większej liczbie profili warto przygotować prywatną listę kontrolną zawierającą nazwę usługi, identyfikator konta, używaną metodę MFA, urządzenie, na którym działa aplikacja, oraz sposób odzyskania dostępu. Taka lista nie powinna zawierać kodów jednorazowych ani sekretów rejestracyjnych. Może natomiast wskazywać, gdzie znajduje się bezpieczny klucz lub dokument odzyskiwania. Przed podróżą, zmianą telefonu albo aktualizacją systemu dobrze jest przetestować logowanie do najważniejszych usług i sprawdzić, czy metody awaryjne są aktualne.

Nie należy przekazywać kodów MFA osobom proszącym o ich odczytanie przez telefon, czat lub wiadomość. Kod jednorazowy służy do potwierdzenia konkretnej próby logowania, a jego ujawnienie może umożliwić przejęcie konta. Jeżeli ktoś naciska na szybkie zatwierdzenie powiadomienia albo twierdzi, że wykonuje kontrolę techniczną, należy przerwać rozmowę i skontaktować się z usługą niezależnym kanałem.

Problem z zarządzaniem wieloma kontami MFA – kiedy zgłosić się do serwisu

Do konsultacji technicznej warto zgłosić się wtedy, gdy problem dotyczy kilku kont jednocześnie, po zmianie telefonu nie działa żadna metoda, aplikacja zamyka się podczas uruchamiania, urządzenie nie odbiera powiadomień albo nie można ustalić, który wpis odpowiada danemu profilowi. Pomoc może być również potrzebna po przypadkowym usunięciu danych aplikacji, przywróceniu kopii zapasowej lub pojawieniu się podejrzanych próśb o zatwierdzenie logowania. W pierwszej kolejności należy zabezpieczyć dostępne konta i nie usuwać kolejnych wpisów bez przygotowania sposobu odzyskania.

W ramach uporządkowania sytuacji można sprawdzić ustawienia daty i godziny, stan połączenia, uprawnienia do powiadomień, listę zarejestrowanych urządzeń oraz dostępność metod zapasowych. Możliwe jest także ustalenie, czy problem wynika z aplikacji, telefonu, konfiguracji konta czy zasad narzuconych przez konkretną usługę. Nie powinno się jednak obchodzić zabezpieczeń, odgadywać kodów ani wykonywać resetu bez potwierdzenia tożsamości właściciela konta.

W sprawach związanych z urządzeniem i aplikacją pomoc może zapewnić Warszawskie Pogotowie Komputerowe 24/7. Przed przekazaniem sprzętu należy przygotować opis objawów, listę kont dotkniętych problemem oraz informacje o ostatniej działającej konfiguracji, ale nie należy przekazywać haseł, kodów MFA ani kluczy odzyskiwania. Takie dane powinny pozostać pod kontrolą właściciela konta. Po uporządkowaniu wpisów warto wykonać próbne logowanie, potwierdzić działanie metody awaryjnej i ustalić bezpieczny sposób postępowania przy kolejnej zmianie urządzenia.