Ошибки MFA: как защитить второй фактор и его восстановление
Почему второй фактор должен проверяться на всех путях входа, а его отключение и восстановление требуют отдельной защиты.
Коротко о главном
- Чем опасно
- Доступ к аккаунту без обязательного второго фактора.
- С чего начать защиту
- Выдавайте полные права только после завершения всех обязательных факторов.
- Как подтвердить
- Нужны ручной аудит и проверка реализации. Отсутствие находок во внешнем скане не подтверждает безопасность.
В этой статье
- Продукт
- Веб-приложения
- Оценка риска
- Уровень зависит от конфигурации
Как проверить и что учитывать
Нужна ручная проверка
Для подтверждения нужны анализ реализации и проверки на согласованном тестовом контуре. Публикация не означает автоматическое обнаружение этого сценария FindRisk. Не делайте вывод о наличии уязвимости только по одному внешнему признаку: подтвердите результат в настройках и версии компонента.
Что нужно для подтверждения
В тестовой среде проверьте матрицу состояний: до пароля, после пароля, после MFA, после восстановления. Защищённые операции должны отклоняться во всех незавершённых состояниях на каждом API-маршруте.
Ограничения вывода
- Внешний ответ не раскрывает все роли, обработчики и настройки внутренних компонентов.
- Используйте только свои системы или письменное разрешение владельца; нагрузочные проверки согласуйте отдельно.
Что это за уязвимость
MFA перестаёт быть обязательной, если приложение выдаёт полноценную сессию после первого фактора или допускает альтернативный вход без равнозначной проверки.
Когда возникает риск
Оцените мобильный API, резервные коды, доверенные устройства, восстановление и смену фактора. Состояние незавершённого входа должно иметь строго ограниченные права.
Возможные последствия
Почему второй фактор должен проверяться на всех путях входа, а его отключение и восстановление требуют отдельной защиты.
- Доступ к аккаунту без обязательного второго фактора.
- Отключение защиты через слабый процесс восстановления.
Как защитить приложение
Исправляйте причину в обработчике, а не только внешний симптом.
- Выдавайте полные права только после завершения всех обязательных факторов.
- Привязывайте challenge к сессии и пользователю, ограничивайте срок и число попыток.
- Защищайте смену фактора повторной проверкой и уведомляйте владельца; резервные коды делайте одноразовыми.
Как безопасно проверить исправление
В тестовой среде проверьте матрицу состояний: до пароля, после пароля, после MFA, после восстановления. Защищённые операции должны отклоняться во всех незавершённых состояниях на каждом API-маршруте.
Оценка риска и границы сканирования
Средний уровень — ориентировочная редакционная оценка, не CVSS подтверждённой находки. Для конкретной системы приоритет зависит от доступных данных, полномочий и компенсирующих мер; последствия могут быть значительно серьёзнее.
Отсутствие находки во внешнем скане не доказывает безопасность реализации. Проверяйте сценарии после входа, альтернативные маршруты и внутренние сервисы.
Как проходит проверка
Для подтверждения нужны анализ реализации и проверки на согласованном тестовом контуре. Публикация не означает автоматическое обнаружение этого сценария FindRisk. Автоматический результат показывает внешний признак риска и требует проверки специалистом с учётом конкретной конфигурации.
Проверить другие внешние рискиЧто делать после обнаружения
- Зафиксируйте затронутый сценарий и сохраните журналы без токенов и персональных данных.
- Ограничьте проблемный обработчик, оцените доступные данные и назначьте владельца исправления.
- Устраните первопричину и добавьте регрессионную проверку на тестовых данных.
Частые вопросы
Что означает риск «Ошибки MFA»?
Почему второй фактор должен проверяться на всех путях входа, а его отключение и восстановление требуют отдельной защиты.
Можно ли подтвердить проблему только внешней проверкой?
Для подтверждения нужны анализ реализации и проверки на согласованном тестовом контуре. Публикация не означает автоматическое обнаружение этого сценария FindRisk. Итог нужно сопоставить с конфигурацией, версиями и правами доступа на вашем сайте.
Что сделать в первую очередь?
Выдавайте полные права только после завершения всех обязательных факторов.