Si la autenticación multifactor está habilitada, ¿cómo debería afectar el restablecimiento de la contraseña de autoservicio?

  

Suponiendo que el usuario tenga un dispositivo multifactor y olvide su contraseña, ¿cómo debería afectar eso al flujo de trabajo de "contraseña olvidada"?

Si el usuario está iniciando el restablecimiento de la contraseña desde un dispositivo / navegador no reconocido, se debe requerir un segundo factor de autenticación para realizar un restablecimiento de la contraseña. La mejor práctica es exigir que el segundo factor sea coherente en todos los escenarios: autenticación normal (después de verificar la contraseña) o restablecimiento de la contraseña (después de verificar el acceso al enlace del correo electrónico).

Si se reconoce el dispositivo / navegador que solicita el restablecimiento de la contraseña, se puede omitir la autenticación de dos factores después de hacer clic en el enlace de restablecimiento de la contraseña del correo electrónico.

  

¿Qué sucede si el usuario pierde el dispositivo multifactor o el token de software está dañado? ¿Cómo se debe volver a suministrar?

Si se reconoce el dispositivo / navegador o si el usuario ya tiene una sesión autenticada en el dispositivo, el usuario debe poder desaprovisionar el dispositivo de segundo factor perdido y proporcionar un dispositivo de segundo factor de reemplazo.

Si el dispositivo / navegador no se reconoce y / o el usuario no tiene una sesión autenticada en ese dispositivo, se debe validar un método de autenticación de dos factores de respaldo antes de volver a aprovisionar el dispositivo de segundo factor.

  

¿Qué sucede si el usuario olvida la contraseña y pierde el token ... cómo debería verse el flujo de trabajo de reaprovisionamiento?

Enviar un enlace de reinicio por correo electrónico es suficiente para recuperar la contraseña de un dispositivo / navegador que se reconoce como confiable *. Después de que el usuario restablece la contraseña, el usuario puede pasar por el reabastecimiento del segundo factor como se describe anteriormente.

Si el dispositivo / navegador del usuario no es de confianza, el usuario debe verificar un método de respaldo si el dispositivo de segundo factor ya no está disponible. Esto podría ser un SMS enviado a un número de teléfono de respaldo, o una cadena de respaldo que se proporcionó cuando se inscribió el dispositivo de autenticación de dos factores. La omisión de esta verificación de un código de respaldo anula que la autenticación de dos factores se haya habilitado alguna vez. Debe ser realizado.

Consulte documentos de ayuda de Google en 2- verificación de pasos para obtener más información acerca de cómo Google maneja estos escenarios. Definitivamente lo han pensado y tienen mucha buena información disponible en línea.

* Donde "de confianza" significa que el usuario se autenticó previamente usando una autenticación de dos factores e indicó que el dispositivo / navegador debe ser de confianza para las autenticaciones posteriores (y que no requiere una autenticación de dos factores nuevamente para este dispositivo).

Para una respuesta adecuada a esto, se deben tener en cuenta muchas cosas que están fuera del alcance de este foro. Las condiciones como la importancia de que los usuarios tengan acceso inmediato a su aplicación, la facilidad (o no) para que los usuarios visiten la autenticación en persona, etc., deberán ser evaluadas junto con las demás necesidades comerciales de su organización. para decidir cómo manejará esto.

Idealmente, cualquier tipo de proceso de restablecimiento o restablecimiento de autenticador que tenga implementado debería ser al menos tan sólido como su proceso de autenticación normal. Si normalmente requiere la autenticación de múltiples factores para su aplicación, también debe requerir algún tipo de autenticación de múltiples factores para restablecer o recuperar esos autenticadores.

Para responder a sus preguntas:

1. El usuario aún debe estar obligado a usar el dispositivo multifactor como parte del proceso de autenticación para la función de restablecimiento de contraseña.

2. Para mayor seguridad, requiera la recolección en persona de un nuevo dispositivo. De lo contrario, debe decidir qué otras formas aceptables de identificación y amp; se requerirá autenticación para la reemisión remota del dispositivo.

3. Esta persona necesita una conversación severa: use la verificación en persona solamente.

La autenticación multifactor significa que necesita varios "factores" de autenticación para otorgar acceso. Cuando el usuario olvida su contraseña, o pierde su token, o ambos, deja de poder cumplir con todos los factores. Cualquier método utilizado para recuperar el acceso es, por lo tanto, una infracción en el modelo de seguridad. Tales infracciones pueden ser tolerables si están lo suficientemente restringidos y auditados.

Como respuesta genérica: al principio, el usuario no estaba registrado y no tenía contraseña ni token. Sin embargo, a través de algún proceso que llamaremos registro , el usuario obtuvo una contraseña y un token. En el peor de los casos , un usuario que perdió su contraseña o token o ambos podría simplemente registrarse de nuevo a través del mismo proceso.

Los "flujos de trabajo de reaprovisionamiento" son una búsqueda de un término medio, lo que garantizaría una seguridad decente pero sería menos costoso que volver a realizar el registro completo. Un método común es mantener un tercer factor de autenticación de copia de seguridad (de eso se tratan las llamadas "preguntas de seguridad"). Entre otros "factores de respaldo", podría pedirle que use su tarjeta de crédito para un pago por minuto (o una gran cantidad de dinero en efectivo, esa es su elección), por lo que se suman al marco de autenticación que los bancos mantienen. Llamadas telefónicas de "activación", entrega de FedEx / UPS con firma, ... hay muchas posibilidades que ofrecen varias combinaciones de precio / seguridad. Lo que es una buena idea depende del contexto.