Что такое двухфакторная аутентификация (2FA), как её включить и насколько она безопасна?

2fa = пароль + код приходит по смс или виден в приложении authenticator. Authenticator надежнее смс можно взломать. Храни резервные коды, обязательно, иначе аккаунт заблокируется. Я всем в компании включаю authenticator...

Внедрение 2FA: стандарт TOTP (RFC 6238), окно 30 секунд, 6-значный код. Инструменты: Google Authenticator, Microsoft Authenticator, Authy (облачное резервное копирование), FreeOTP. Аппаратная 2FA: YubiKey (FIDO2/U2F), $40-60, корпоративный уровень, защита от фишинга. Риск SMS 2FA: атака SS7 (подмена SIM), не рекомендуется для высокой безопасности. Энтропия резервных кодов: минимум 40 бит (64 шестнадцатеричных цифры, 16 слов), генерируется на стороне сервера и хешируется. Восстановление аккаунта: резервный email, резервный SMS, секретные вопросы (НЕ РЕКОМЕНДУЕТСЯ). Интеграция с MDM: Intune, MobileIron принудительно устанавливают блокировку 2FA.

когда включаешь 2FA, не забудь про резервные коды, братан, они тебя спасут. отсканируй QR-код в приложении-аутентификаторе сохрани 10-15 кодов (не в облаке), и всё. если потеряешь телефон, сможешь восстановить аккаунт через резервные коды. sMS вообще не включай, люди фишингом занимаются...

Процесс 2FA: 1) Включить TOTP (приложение-аутентификатор), 2) Сгенерировать и сохранить резервные коды, 3) Протестировать вход + 2FA 4) Хранить резервные коды офлайн (хранилище, распечатка), 5) Ознакомить команду с процедурами восстановления. Для энтерпрайза: централизованная политика (условный доступ), возможности администрирования, аудит-логирование. Проблемы: внедрение пользователями (трение) потеря устройства (процесс восстановления), стоимость (аппаратные токены 2FA). Меры: обучение, плейбуки восстановления, MDM + условный доступ (авто-регистрация).

включишь 2FA — и станешь в 10 миллионов раз безопаснее!!! проль + код, даже хакеры не смогут перехватить и то и другое одновременно потом запиши резервные коды на бумагу положи в сейф, скачай коды на телефон и спи спокойно...

Если смотреть на процесс в целом картина меняется. При принятии решений записывайте и худший сценарий, а не только лучший.

Интересно, есть ли те, кто делает иначе.

если пойдете этим путем, сразу решите вот этот вопорс и в общем автоматический отчет о сканировании и пентест — это не одно и то же.

оставлю как заметку, пригодится.

Спасибо, что написали об этом, это действительно так. Пытаться сделать это в одиночку — самый дорогой путь.

Я бы пошел этим путем.

Здесь описано ровно то, что пережили мы. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Это мое мнение не утверждаю, что оно единственно верное.

давайте немного раскрою техническую сторону но корооче не полагайтесь на одну меру защиты; действуйте слоями.

я бы пошел этим путем.

Краткое резюме для новичков: Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Конечно, если ваша ситуация отличается, всё меняется.

Здесь есть ловушка, не могу промолчать. Если ругать за ложные тревоги никто больше не будет присылать уведомления.

На этом всё извините, если затянул.

Расскажу, что было у меня, вдруг пригодится. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Если напишете результат здесь, это поможет и другим.

У меня та же ситуация, поэтому и спрашиваю. Автоматический отчет о сканировании и пентест — это не одно и то же.

Это мое мнение не утверждаю что оно единственно верное.

Сведу тему в кучу, так как ответов было несколько разных. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Исправьте, если я ошибаюсь.

Слежу за темой. Время обнаружения проблемы напрямую определяет ее стоимость.

Пытаться сделать это в одиночку — самый дорогой путь. Интересно, есть ли те, кто делает иначе.

Частично согласен, частично нет. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Поделюсь своим опытом. То, что делают все, не значит, что это правильно.

Это мое мнение, не утверждаю, что оно единственно верное.