Пароль можно подсмотреть, подобрать или выманить фишинговым письмом. Двухфакторная аутентификация (2FA) добавляет второй шаг входа, и одного пароля злоумышленнику уже не хватит. Разберём, какие бывают способы 2FA, как их включить и как не потерять доступ к собственному ящику.
Как работает двухфакторная аутентификация
При входе система проверяет два независимых фактора:
- то, что вы знаете — пароль;
- то, что у вас есть — телефон с приложением-генератором кодов или аппаратный ключ.
Если пароль утёк — например, сотрудник ввёл его на поддельной странице, — злоумышленник всё равно не войдёт без второго фактора. Для корпоративной почты это особенно важно: через взломанный ящик рассылают фишинг от имени компании, подменяют реквизиты в счетах и сбрасывают пароли от других сервисов.
В MCMail двухфакторная аутентификация доступна для ящиков и поддерживает два способа: одноразовые коды TOTP и аппаратные ключи WebAuthn/FIDO2.
Способ 1: приложение с одноразовыми кодами (TOTP)
TOTP (Time-based One-Time Password, стандарт RFC 6238) — это шестизначные коды, которые меняются каждые 30 секунд. Приложение на телефоне и сервер знают общий секрет и вычисляют код из него и текущего времени. Интернет на телефоне для этого не нужен.
Подойдёт любое распространённое приложение-аутентификатор:
- Google Authenticator;
- Microsoft Authenticator;
- 2FAS или Aegis (Android) — с открытым исходным кодом;
- встроенная поддержка кодов в менеджерах паролей.
Как подключить
- Войдите в интерфейс управления учётной записью и откройте раздел двухфакторной аутентификации. Если не знаете, где он находится, спросите администратора домена или поддержку.
- Выберите TOTP. На экране появится QR-код.
- В приложении-аутентификаторе нажмите «Добавить» и отсканируйте QR-код. Если камера недоступна, введите секретный ключ вручную.
- Введите текущий код из приложения, чтобы подтвердить подключение.
- Сохраните резервные коды, если система их выдала (об этом ниже).
Коды TOTP зависят от точного времени. Если коды «не подходят», проверьте, что на телефоне включено автоматическое определение даты и времени.
Способ 2: аппаратный ключ WebAuthn/FIDO2
Аппаратный ключ — небольшое устройство с USB, NFC или Bluetooth (например, YubiKey и аналоги). При входе вы вставляете ключ и касаетесь его. Вместо внешнего ключа можно использовать встроенный аутентификатор устройства, если браузер и система это поддерживают: Windows Hello, Touch ID или Face ID.
Главное преимущество WebAuthn — защита от фишинга. Ключ привязан к адресу сайта: на поддельной странице он просто не сработает, даже если сотрудник не заметил подмену. Код TOTP, наоборот, можно продиктовать или ввести на фальшивом сайте.
Как подключить
- В разделе двухфакторной аутентификации выберите WebAuthn/FIDO2 (может называться «ключ безопасности»).
- Дайте ключу понятное имя, например «YubiKey — основной».
- Когда браузер попросит, вставьте ключ и коснитесь его или подтвердите вход отпечатком.
- Зарегистрируйте второй ключ как запасной и храните его отдельно.
Сравнение способов
| TOTP-приложение | Ключ WebAuthn/FIDO2 | |
|---|---|---|
| Стоимость | Бесплатно | Нужно купить ключ |
| Защита от фишинга | Частичная: код можно ввести на поддельном сайте | Высокая: ключ не работает на чужом домене |
| Удобство | Открыть приложение и ввести 6 цифр | Вставить ключ и коснуться |
| Риск потери | Потеря или сброс телефона | Потеря ключа |
| Кому подходит | Всем сотрудникам | Руководителям, бухгалтерии, администраторам |
Разумная схема для компании: TOTP для всех, аппаратные ключи — для тех, чьи ящики чаще атакуют и через кого проходят платежи.
Резервные коды и потеря телефона
Резервные коды — одноразовые коды на случай, когда второй фактор недоступен. Каждый код работает один раз.
- Распечатайте их или сохраните в менеджере паролей. Не храните в том же ящике, от которого они.
- Не держите их в телефоне, на котором установлен аутентификатор.
- Если использовали код, отметьте его как израсходованный.
Если телефон потерян и резервных кодов нет, обратитесь к администратору домена или в поддержку @mycloudsupport. После восстановления доступа сразу смените пароль и подключите второй фактор заново.
При замене телефона заранее перенесите аутентификатор: у многих приложений есть функция экспорта или переноса. Старый телефон не сбрасывайте, пока не убедитесь, что новый генерирует подходящие коды.
Почтовые программы и 2FA
Протоколы IMAP, SMTP и Exchange ActiveSync не умеют запрашивать второй фактор, поэтому Outlook, приложение «Почта» на iPhone или Gmail на Android не смогут показать окно для кода. Если администратор включил двухфакторную аутентификацию, уточните в поддержке, как подключить почтовую программу. Инструкции по настройке: iPhone и Mac, Android.
Советы для администратора
- Начните с ящиков руководства, бухгалтерии и общих адресов, через которые проходят счета.
- Подготовьте для сотрудников короткую инструкцию и проведите подключение на общей встрече — так меньше вопросов.
- Опишите процедуру восстановления доступа: к кому обращаться при потере телефона и как подтверждается личность.
- При увольнении сотрудника меняйте пароль ящика и удаляйте его ключи и устройства.
2FA — один из элементов защиты. Не менее важны надёжные пароли и внимательность к подозрительным письмам: см. статьи о безопасности ящика и фишинге.