Двухэтапная авторизация Битрикс

Пароли утекают постоянно: через фишинговые письма, заражённые компьютеры подрядчиков, повторное использование одного пароля на разных сервисах. Второй этап проверки закрывает эту дыру. Даже если злоумышленник узнал логин и пароль администратора, без телефона владельца он не войдёт. Для сайтов на Битриксе, где через админку можно выполнить произвольный PHP-код, это одна из самых полезных мер защиты.

Функция входит в модуль «Проактивная защита». Пользователь включает её в своём профиле: сканирует QR-код приложением-аутентификатором и вводит первый код для проверки. Подходят фирменное приложение Битрикса и сторонние аутентификаторы, поддерживающие стандарт TOTP.

Как это работает

При настройке сервер и приложение получают общий секретный ключ. Дальше каждые 30 секунд приложение вычисляет из ключа и текущего времени шестизначный код, а сервер вычисляет тот же код у себя и сравнивает. Через сеть ключ больше не передаётся, поэтому перехватить его при входе нельзя. Есть и вариант HOTP, где код зависит не от времени, а от счётчика.

Пример: процесс входа

1. Администратор вводит логин и пароль — первый этап аутентификации.
2. Система видит, что для учётной записи включены одноразовые пароли, и запрашивает код.
3. Он открывает приложение, вводит текущий код — и попадает в админку.

Администратор сайта может сделать двухэтапную авторизацию обязательной для выбранных групп, например для всех, у кого есть доступ к административной части, и дать сотрудникам несколько дней на подключение.

Что может пойти не так

• Неверное время на сервере. TOTP зависит от часов: если они ушли на пару минут, правильные коды отвергаются. Решение — синхронизация времени через NTP.
• Потерян телефон. На этот случай при подключении выдаются резервные коды. Их нужно сохранить вне телефона, иначе восстанавливать доступ придётся через другого администратора или напрямую в базе.
• Слабый первый этап. Второй фактор не повод оставлять слабый пароль: коды защищают вход, но не другие места, где пароль может пригодиться.