Включение двухэтапной авторизации.
Для авторизации на вашем сайте каждый пользователь
использует свой индивидуальный логин и пароль. Но существуют шпионские
программы, которые способны украсть эти данные с компьютера пользователя
(например, сохраненный в браузере пароль).двухэтапную авторизацию .
Это метод защиты от шпионских программ с помощью авторизации в два
этапа. Первый – это основной логин и пароль пользователя. Второй – это
одноразовый код, который каждый пользователь получает из приложения в
своем мобильном телефоне или со специального устройства. В результате,
даже если логин и пароль будут украдены, злоумышленники не смогут ими
воспользоваться без одноразового кода.
При включении двухэтапной авторизации пользователю потребуется пройти два этапа для авторизации на сайте
Получить одноразовый код для двухэтапной авторизации можно с помощью специального устройства (брелка) или бесплатного мобильного приложения Bitrix OTP, установленного у каждого пользователя.
Описание
Система авторизации с использованием одноразовых паролей (One-Time Password - OTP) разработана в рамках инициативы OATH.
Реализация основана на алгоритме HMAC и хэш-функций SHA-1/SHA-256/SHA-512. На текущий момент поддерживается два алгоритма генерации:
по счетчику (HMAC-Based One-time Password, HOTP), описан в RFC4226
по времени (Time-based One-time Password, TOTP), описан RFC6238
Для расчета значения OTP принимаются два входных параметра - секретный ключ (начальное значение для генератора) и текущее значение счетчика (количество необходимых циклов генерации или текущее временя, в зависимости от выбранного алгоритма). Начальное значение хранится
как в самом устройстве, так и на сайте после инициализации устройства. В случае использования HOTP алгоритма, счетчик в устройстве увеличивается при каждой генерации OTP, на сервере - при каждой удачной аутентификации по OTP. В случае использования TOTP алгоритма, счетчик в устройстве не хранится, на сервере лишь корректируется возможное небольшое смещение времени устройства при каждой удачной аутентификации по OTP.
Партия устройств OTP поставляется с зашифрованным файлом, содержащим начальные значения (секретные ключи) для всех устройств партии,
связанного с серийным номером устройства (печатается на корпусе устройства).
В случае нарушения синхронизации счетчика генерации в устройстве и на сервере, её можно легко восстановить - привести значение на сервере в соответствие значению, хранящемуся в устройстве. Для этого администратор системы или сам пользователь (при наличии соответствующих разрешений) должен сгенерировать два последовательных значения одноразовых паролей (OTP) и ввести их в форму на сайте.
Мобильное приложение для генерации одноразового пароля доступно в GooglePlay и AppStore
Настройка параметров двухэтапной авторизации.