Способы подтверждения
Simple2FA поддерживает десять способов подтверждения входа. Каждый из них можно использовать как основной или как резервный — в зависимости от потребностей компании и предпочтений пользователей. Все способы работают в рамках единой платформы и полностью управляются через панель администратора.
Одно устройство на способ
В целях безопасности для каждого способа аутентификации может быть привязано только одно активное устройство. Если пользователь подключает новое устройство, предыдущее автоматически теряет доступ и использовать его становится невозможно.
В мобильном приложении
Push-уведомления
Push-уведомления — самый простой и современный способ подтверждения входа.
- Пользователь получает уведомление в мобильное приложение Simple2FA и подтверждает вход одним нажатием.
- В уведомлении видно, к чему относится вход: пользователь, ресурс, место и IP-адрес.
- Такой метод полностью избавляет от необходимости вручную вводить коды.
- Push-уведомления обеспечивают высокую скорость подтверждения, минимизируя задержки в процессе входа.
- Этот вариант удобен для компаний, которым важна простота и скорость аутентификации без дополнительных действий.
TOTP-код
TOTP (Time-based One-Time Password) — алгоритм создания одноразовых паролей на основе времени.
- Генерация кодов происходит в мобильном приложении Simple2FA.
- TOTP-коды работают даже без подключения к интернету, что делает их универсальным вариантом для удалённых сотрудников и защищённых контуров. Проверка кода выполняется локальным инстансом, обращение в облако не требуется.
- Метод совместим с популярными генераторами кодов, такими как Google Authenticator или Яндекс.Ключ, что упрощает миграцию и даёт пользователю свободу выбора.
- TOTP-коды остаются надёжным резервным инструментом аутентификации и обеспечивают доступ даже в условиях ограниченной связи.
В мессенджерах
Telegram-бот
Telegram-бот Simple2FA позволяет пользователям подтверждать вход прямо в привычном мессенджере.
- Пользователь получает уведомление о попытке входа и может подтвердить или отклонить его одним касанием.
- Не требуется установка отдельного приложения — достаточно аккаунта в Telegram.
- Уведомления работают быстро и стабильно, что делает этот метод удобным для сотрудников, которые постоянно используют мессенджер.
- Подходит как для повседневной работы, так и как резервный канал аутентификации.
Мессенджер MAX
Подтверждение входа в мессенджере MAX — так же, как в Telegram: пользователь получает запрос на подтверждение и отвечает на него в мессенджере, отдельное приложение не требуется.
Без установки приложения
SMS
Одноразовый код приходит сообщением на номер телефона сотрудника. Подходит там, где у пользователя нет корпоративного смартфона с приложением или мессенджером.
На локальном инстансе SMS отправляется через шлюз оператора, который подключает администратор, — см. «Канал доставки SMS».
Звонок
Подтверждение входа телефонным звонком — вариант для сотрудников без смартфона и без доступа к мессенджерам.
Аппаратные и встроенные средства
FIDO2 и U2F
Аппаратный ключ безопасности: пользователь подтверждает вход прикосновением к ключу, подключённому по USB или NFC. Поддерживаются стандарты FIDO2 и U2F.
Смарт-карты
Подтверждение входа смарт-картой — для организаций, где карты уже используются для пропускной системы или электронной подписи.
Аппаратные TOTP-токены
Автономные устройства, генерирующие одноразовые коды по тому же алгоритму TOTP, что и мобильное приложение. Работают без телефона и без интернета — вместе с офлайн-приложением это основной вариант для автономного контура.
Биометрия
Подтверждение входа отпечатком пальца или распознаванием лица на устройстве пользователя.
Вход без пароля
Часть способов подтверждает личность сотрудника сама по себе, без пароля: FIDO2, биометрия, смарт-карта и push-уведомление. На таких ресурсах вход выполняется в одно действие — пароль не вводится вообще (passwordless).
Где настраиваются способы
Разрешённые и обязательные способы задаются политиками групп пользователей; для отдельных сотрудников допускаются индивидуальные исключения. Пользователь привязывает способ сам — через мастер настройки, который оформляется под бренд организации.
Назначить пользователю несколько обязательных способов имеет смысл как страховку: если один способ недоступен, вход выполняется другим.
Набор доступных способов зависит от варианта размещения: в закрытом контуре без выхода в интернет работают TOTP и аппаратные токены — коды проверяются локально.