MFA – это проверка личности пользователя с помощью двух и более независимых факторов. Например, пользователь вводит свой постоянный пароль, а потом - одноразовый пароль или подтверждает пуш-уведомление. Даже если пароль окажется скомпрометирован, одного его будет недостаточно для доступа.

Сложный пароль не защищает от всех угроз: его могут украсть, подобрать, выманить с помощью фишинга или получить из утечки. MFA добавляет к паролю дополнительный уровень защиты и существенно снижает риск несанкционированного доступа.

MFASOFT Secure Authentication Server (SAS) – программный комплекс для централизованной многофакторной аутентификации пользователей. Он позволяет подключать MFA к корпоративным системам, управлять методами аутентификации и использовать единую инфраструктуру для разных сервисов.

Да. Архитектура SAS рассчитана на использование в организациях с большим количеством пользователей и информационных систем. Поддерживаются автоматизация, масштабирование, отказоустойчивые конфигурации и мультиарендность (автономное управление разными организациями или подразделениями в рамках одного решения).

SAS может проверять одноразовые пароли из программных (мобильные приложения) или аппаратных (устройства-брелоки) генераторов, отправлять одноразовые пароли по электронной почте, SMS и в мессенджеры, высылать пуш-уведомления на смартфон пользователя. Набор доступных способов можно адаптировать под конкретные системы, предпочтения пользователей и политики безопасности.

SAS поддерживает протоколы RADIUS, SAML, OpenID Connect и другие. С их помощью можно подключить второй фактор для защиты средств администрирования, удаленного доступа, веб-приложений и входа на рабочие места. Кроме того, SAS интегрируется с корпоративными каталогами пользователей (доменами) по протоколу LDAP и системами регистрации событий по протоколу syslog.

Да. В SAS можно настраивать разные способы аутентификации в зависимости от защищаемой системы, ролей пользователей и требований безопасности. Например, для администраторов использовать аппаратные токены, для штатных сотрудников – мобильное приложение, а для отдельных пользователей оставить возможность получения одноразового пароля по SMS или электронной почте.

Нет. SAS может работать с уже используемой инфраструктурой идентификации и аутентификации. Например, LDAP-прокси позволяет подключать к MFA приложения, которые работают с Active Directory, FreeIPA или Samba по LDAP, не меняя их принцип работы.

Пользователей можно добавлять вручную (через веб-консоль администрирования), импортом из CSV-файла или синхронизацией из LDAP-источника (обычно корпоративного домена).

Да, можно, тогда для остальных пользователей можно не создавать учетные записи или не выдавать им токены.

Да. Внедрение можно проводить поэтапно: подключать отдельные системы, группы пользователей или методы аутентификации. Это позволяет начать с наиболее критичных сервисов и постепенно распространить MFA на всю организацию.

SAS можно развернуть в инфраструктуре организации, на хостинге или у облачного провайдера. Возможны различные варианты внедрения – от простой установки для пилотных внедрений до централизованной отказоустойчивой масштабируемой конфигурации для крупных организаций.

Серверы аутентификации запускаются в программном контейнере Docker на физических или виртуальных серверах организации, на хостинге или у облачного провайдера MFASOFT. Там же располагаются серверы баз данных, где хранится вся информация о пользователях, группах, токенах и т.п. На серверах в корпоративной сети запускаются программные агенты, которые служат для интеграции с прикладными и инфраструктурными сервисами. На сами эти сервисы ничего устанавливать не нужно.

SAS поддерживает отказоустойчивость всех компонентов. Несколько серверов аутентификации могут работать параллельно, а база данных – в отказоустойчивом кластере. Это позволяет продолжать аутентификацию пользователей даже при отказе отдельных компонентов инфраструктуры.

Да, если все компоненты решения будут установлены локально в инфраструктуре организации. Это позволит самостоятельно контролировать размещение данных, конфигурацию системы и взаимодействие с корпоративной инфраструктурой. Разумеется, способы аутентификации, требующие для своей работы связи через Интернет (например, пуш-уведомления или отправку SMS через шлюз мобильного оператора) будут недоступны.

SAS рассчитан на интеграцию с существующей ИТ-инфраструктурой, поэтому внедрение не требует перестройки всех корпоративных систем. Конкретный вариант зависит от используемых сервисов, каталогов пользователей и требований к MFA. MFASOFT и партнеры помогают подобрать архитектуру и провести внедрение.