Triển khai xác thực nhiều yếu tố kèm phương án khôi phục

Yêu cầu xác thực nhiều yếu tố có thể trông đơn giản trên danh sách dự án. Câu hỏi khó xuất hiện khi khách mất điện thoại, đổi thiết bị hoặc không dùng được phương thức đề xuất. Hãy coi đó là hành trình sản phẩm cốt lõi. Quyết định cách lấy lại truy cập trước khi bắt buộc đăng ký.

Chọn yếu tố độc lập, không chỉ thêm lời nhắc

OWASP giải thích MFA kết hợp các loại yếu tố khác nhau. Hai yếu tố kiến thức, như mật khẩu và mã PIN, không tạo thành MFA.[3] Yêu cầu nhóm chỉ rõ từng phương thức chứng minh điều gì, thay vì đếm số màn hình.

Nên đánh giá thiết bị được hỗ trợ, nhu cầu tiếp cận, máy trạm dùng chung và khả năng chống lừa đảo. Không trình bày mọi phương thức như tương đương. Khi dùng passkey làm MFA, OWASP yêu cầu xác minh người dùng và kiểm tra cờ xác minh được trả về phía máy chủ.[3] Cần bằng chứng cho cấu hình được chọn, không chỉ biểu trưng sản phẩm.

Đưa khôi phục vào bước đăng ký

OWASP nêu mã khôi phục dùng một lần và quy trình hỗ trợ kiểm tra danh tính nghiêm ngặt trong số các phương án. Hướng dẫn cũng xác định lựa chọn phù hợp phụ thuộc bối cảnh ứng dụng.[3] Một sàn công khai và lực lượng lao động nhỏ được quản lý không nhất thiết dùng cùng quy trình.

Khi đăng ký, giải thích cách khôi phục và hướng dẫn khách chuẩn bị phương án dự phòng đã duyệt. Không thu mã khôi phục trong phiếu hỗ trợ. Quy định ai xử lý ngoại lệ, bằng chứng cần có và thao tác nào tiếp tục bị hạn chế cho tới khi xác minh xong.

Ví dụ giả định: đội bảo trì hiện trường

Trong dịch vụ bảo trì giả định, kỹ thuật viên dùng ứng dụng xác thực trên điện thoại. Một người phải thay điện thoại hỏng khi đang xa văn phòng. Đường xử lý đã duyệt dùng phương án khôi phục được chuẩn bị trước, rồi hướng dẫn đăng ký thiết bị thay thế.

Nếu không còn phương án đó, bộ phận hỗ trợ thực hiện quy trình xác minh riêng thay vì tắt MFA sau cuộc gọi không chính thức. Buổi diễn tập kiểm tra thông báo và lần đăng nhập tiếp theo. Tình huống mô tả quy trình đề xuất, không phải sự cố khách hàng có thật.

Xem thay thế là thay đổi nhạy cảm

OWASP khuyến nghị xác thực lại bằng yếu tố đã đăng ký trước khi thay đổi, không chỉ dựa vào phiên đang mở và gửi thông báo qua kênh độc lập.[3] Áp dụng cả khi chuyển thiết bị, không chỉ khi khôi phục tài khoản rõ ràng.

• Xác nhận phương thức đã chọn hoạt động trên thiết bị khách hàng được hỗ trợ.
• Cung cấp và giải thích phương án dự phòng hoặc khôi phục đã duyệt.
• Diễn tập tình huống mất yếu tố với hỗ trợ trước khi bắt buộc đăng ký.
• Kiểm tra thông báo độc lập khi thay đổi yếu tố.
• Rà soát quyền khôi phục ngoại lệ và bằng chứng xác minh được lưu.

Triển khai với giới hạn vận hành rõ ràng

Thêm phương thức làm tăng công sức hỗ trợ và kiểm thử. Kiểm tra khôi phục chặt hơn cũng có thể làm khách hợp lệ chờ lâu. Bắt đầu với nhóm có kiểm soát và xem các trường hợp không hoàn tất mà không ghi bí mật xác thực. Chỉ định người chịu trách nhiệm ngoại lệ và mốc rà soát. MFA là một lớp bảo vệ tài khoản, không bảo đảm chống chiếm quyền và không thay thế phân quyền. Rà soát lỗi khôi phục cùng lỗi đăng ký, không tách thành vấn đề hỗ trợ riêng.