Двухфакторная аутентификация

Двухфакторная аутентификация (2FA) — самый дешёвый способ защитить RetailCRM от кражи пароля. Даже если логин и пароль оператора утекут, без второго фактора злоумышленник не войдёт. Разбираем, как включить 2FA, сделать её обязательной для команды и не парализовать работу при потере телефона.

Почему пароля недостаточно

Пароль — это один фактор: «что-то, что вы знаете». Проблема в том, что его можно подсмотреть, подобрать, выманить фишингом или найти в утёкшей базе, где сотрудник использовал ту же комбинацию, что и на взломанном форуме. Двухфакторная аутентификация добавляет второй фактор — «что-то, что у вас есть»: одноразовый код из приложения на телефоне.

Чтобы войти, теперь нужны обе вещи одновременно. Украденный пароль без телефона бесполезен, а телефон без пароля — тоже. Для CRM, где хранится вся клиентская база и суммы заказов, это принципиально меняет уровень защиты.

• Фактор знания — пароль;
• Фактор владения — одноразовый код из аутентификатора;
• Результат — компрометация одного фактора не открывает доступ.

Как работает 2FA по TOTP

RetailCRM использует стандартный механизм TOTP (Time-based One-Time Password) — тот же, что Google, банки и большинство сервисов. Работает он так: при подключении сервис показывает QR-код, вы сканируете его приложением-аутентификатором, и дальше приложение каждые 30 секунд генерирует новый шестизначный код.

Код вычисляется из двух величин: секретного ключа (зашит в QR-коде) и текущего времени. Именно поэтому код меняется каждые полминуты и работает без интернета — телефону нужны только часы и секрет.

Подключение 2FA для пользователя

Каждый сотрудник включает второй фактор в своём профиле. Порядок действий предельно простой:

1. открыть настройки собственного профиля в разделе безопасности;
2. выбрать включение двухфакторной аутентификации;
3. отсканировать показанный QR-код приложением-аутентификатором;
4. ввести текущий код из приложения для подтверждения;
5. сохранить резервные коды в надёжном месте.

После этого при каждом входе система, приняв пароль, дополнительно запросит шестизначный код. На доверенных устройствах обычно можно запомнить сессию, чтобы не вводить код каждый раз, — но это компромисс между удобством и безопасностью.

Обязательная 2FA для всей команды

Добровольная двухфакторка почти никогда не приживается: включают её один-два самых аккуратных сотрудника, а остальные откладывают. Поэтому для реальной защиты 2FA стоит сделать обязательной на уровне аккаунта.

При включении обязательного режима логика такая:

• сотрудники без настроенной 2FA при следующем входе обязаны её подключить;
• пропустить шаг нельзя — без второго фактора доступ не открывается;
• требование распространяется на всех, включая администраторов.

Обязательная 2FA особенно важна для ролей с доступом к выгрузке клиентов и к финансовым данным — именно эти учётки наиболее привлекательны для атаки.

Что делать при потере доступа

Главный страх при внедрении 2FA — «а если сотрудник потеряет телефон». Сценарий реальный, и к нему нужно подготовиться заранее, а не в момент паники.

Два способа восстановления:

1. Резервные коды. При подключении 2FA система выдаёт список одноразовых кодов. Их нужно сохранить отдельно от телефона — распечатать или положить в менеджер паролей. Каждый код работает один раз вместо кода из приложения;
2. Сброс администратором. Если резервных кодов нет, администратор аккаунта отключает 2FA для конкретного пользователя, после чего тот подключает её заново на новом устройстве.

Полезная практика — при смене телефона сначала переносить аутентификатор (многие приложения поддерживают перенос), и только потом сдавать или сбрасывать старый аппарат.

Как внедрить 2FA без сопротивления

Технически включить 2FA — вопрос пяти минут. Сложность в людях: сотрудники воспринимают дополнительный шаг как помеху. Несколько приёмов, которые снижают сопротивление:

• покажите на цифрах, сколько взломов происходит через украденные пароли;
• разрешите запоминать доверенные устройства, чтобы код не спрашивался каждый вход;
• подготовьте короткую инструкцию со скриншотами установки приложения;
• включайте обязательный режим после того, как большинство подключилось добровольно;
• назначьте ответственного, кто поможет с настройкой на местах.

После адаптации 2FA перестаёт замечаться: код вводится за пару секунд, а на доверенном устройстве — вообще эпизодически. Зато уровень защиты учётных записей поднимается радикально.

Итог

Двухфакторная аутентификация в RetailCRM работает по стандарту TOTP: пароль плюс одноразовый код из приложения-аутентификатора. Для реальной защиты её недостаточно просто разрешить — нужно сделать обязательной для всей команды, заранее раздать инструкции и обязательно сохранить резервные коды на случай потери телефона.

Мы в B2Bsite внедряем 2FA как часть общей настройки безопасности: помогаем перевести команду на обязательный второй фактор без простоя, готовим инструкции для операторов, настраиваем политику доверенных устройств и связываем это с правами доступа и журналом действий. Если хотите закрыть самый частый канал взлома — поможем внедрить 2FA аккуратно и без хаоса.