4.4.2. Двухэтапная аутентификация для почты

Внимание!

Только для корпоративной почты.

Двухэтапная аутентификация позволяет повысить уровень безопасности при доступе к почтовому ящику через WebMail.Online.

При использовании двухэтапной аутентификации

flowchart LR user([👤 Пользователь]) wo(📧 WebMail.Online) wc(✉️ WebMail classic) mc(📱 Сторонние
почтовые клиенты) scr(#️⃣ Скрипты) lp[/Логин + основной пароль/] ga[🔢 Код GAuth] wa[🔑 Ключ доступа WebAuthn] cp[Вход без логина и пароля
через панель управления] ap[/Логин + пароль приложения/] mb([📬 Почтовый ящик]) user-->wo wo-->lp lp-->ga & wa wo-->|Если включён вход без пароля|wa ga & wa-->mb wo-.-xcp cp-.-xmb user-->wc wc-.-xcp wc-->ap ap--->mb user-->mc mc-->ap scr-->ap

Настройка

GAuth

Важные моменты:

  • Для корректной работы двухэтапной аутентификации через приложение-аутентификатор время на мобильном устройстве с приложением должно в точности совпадать с текущим временем сервера. Если оно не совпадает, нужно в приложении перейти в раздел «Еще → Настройки → Коррекция времени для кодов» и нажать «Синхронизировать».
  • При включении двухэтапной аутентификации сбрасываются все активные сессии с основным паролем.
  1. Войдите в почтовый ящик с помощью WebMail.Online.
  2. Откройте раздел «Настройки → Безопасность».
  3. В блоке «GAuth» нажмите «Включить».
  4. Установите на мобильное устройство приложение-аутентификатор:
  5. В приложении отсканируйте QR-код или введите расположенный под ним секретный ключ вручную.
  6. Введите код двухэтапной аутентификации, который будет сгенерирован приложением, и нажмите «Подтвердить».

WebAuthn

Важные моменты:

  • WebAuthn можно использовать как для двухэтапной аутентификации, так и для входа без пароля.
  • Некоторые устройства могут не поддерживать WebAuthn, например устройства с устаревшими версиями операционных систем, отдельные модели смартфонов Xiaomi, OnePlus и др.
  • Для каждого почтового ящика на одном устройстве (или в одном хранилище) может хранится только один ключ доступа.
  • В Windows для локального хранения ключей доступа для учётной записи на устройстве должен быть обязательно настроен ПИН-код (одного пароля недостаточно), при наличии соответствующего оборудования также можно использовать сканер отпечатков пальцев или распознавание лиц.
  • На Android ключи безопасности хранятся в менеджере паролей Google и синхронизируются между устройствами. Просмотреть список сохранённых ключей доступа, отредактировать их или удалить можно в менеджере паролей: на Android — «Настройки → Google → Автозаполнение → Автозаполнение от Google → Пароли», в браузере — «Google Аккаунт → Безопасность → Сохранённые пароли → Менеджер паролей».
  • На iPhone ключи безопасности хранятся в «Связке ключей iCloud» и синхронизируются между устройствами. Просмотреть список сохранённых ключей доступа, отредактировать их или удалить можно в разделе «Настройки → Пароли».
  • Устройства на Android и iPhone могут выступать посредниками — сохранять и считывать ключи доступа с подключённых аппаратных USB- или NFC-ключей.
  • В менеджере паролей Bitwarden сохранение и использование ключей доступа возможно только через браузерное расширение.
  1. Войдите в почтовый ящик с помощью WebMail.Online.
  2. Откройте раздел «Настройки → Безопасность».
  3. В блоке «WebAuthn» нажмите «Настроить».
  4. Введите произвольное название устройства, на котором будете хранить ключ доступа, и нажмите «Добавить». ⚠️ Название устройства указывается только при добавлении и после этого не изменяется. Единственный способ его изменить — удалить устройство и настроить повторно.
  5. Зарегистрируйте новый ключ доступа:
    ПИН-код (должен быть предварительно настроен в системе):
    1. В окне «Подтверждение вашей личности» выберите «ПИН-код» (или «Это устройство с Windows → ПИН-код»).
    2. Введите установленный в системе ПИН-код и нажмите Enter
    3. В случае успеха появится окно «Ключ доступа сохранён».

    Ключ безопасности (аппаратный USB-ключ, например YubiKey):

    1. В окне «Подтверждение вашей личности» выберите «Использовать другое устройство → Ключ безопасности».
    2. В окне «Настройка ключа безопасности» нажмите «ОК».
    3. В окне «Продолжить установку» нажмите «ОК».
    4. Вставьте аппаратный ключ и нажмите кнопку на нём.
    5. В случае успеха появится окно «Ключ доступа сохранён».

    Устройство iPhone, iPad или Android:

    1. В окне «Подтверждение вашей личности» выберите «Использовать другое устройство → Устройство iPhone, iPad или Android».
    2. Отсканируйте устройством QR-код.
    3. На устройстве будет выведено предложение запомнить его, чтобы каждый раз не сканировать QR-код, — выберите нужный вам вариант.
    4. После подключения устройства на нём появится информация о том, для какого сайта и в каком аккаунте будет сохранён ключ доступа, — нажмите «Продолжить».
    5. Используйте на устройстве блокировку экрана для подтверждения сохранения ключа.
    6. В случае успеха появится окно «Ключ доступа сохранён».
    1. На устройстве появится информация о том, для какого сайта и в каком аккаунте будет сохранён ключ доступа, — нажмите «Продолжить».
    2. Используйте на устройстве блокировку экрана для подтверждения сохранения ключа.
    3. В случае успеха появится окно «Ключ доступа сохранён».
    1. В окне расширения «Выберите логин, для которого будет сохранён ключ доступа» выберите запись, для которой нужно сохранить ключ доступа, и нажмите «Сохранить ключ доступа» (или создайте новую запись, если в хранилище нет совпадений).
    2. Если для выбранной записи уже существует ключ доступа, подтвердите его перезапись (обязательно удостоверьтесь, что вы не перезаписываете нужный ключ доступа).
  6. (Необязательно) Если вы хотите входить по ключу доступа без ввода пароля, в блоке «WebAuthn» нажмите «Настроить» и в строке с нужным устройством включите опцию «Вход без пароля».

Отключение

Двухэтапная аутентификация может быть отключена пользователем почтового ящика через интерфейс WebMail.Online (при наличии доступа) или сброшена администратором почтового домена через панель управления.

WebMail.Online

  1. Войдите в почтовый ящик с помощью WebMail.Online.
  2. Откройте раздел «Настройки → Безопасность».
  3. Отключите двухэтапную аутентификацию:
    • Для GAuth — в блоке «GAuth» нажмите «Отключить» и подтвердите операцию кнопкой в окне.
    • Для WebAuthn — в блоке «WebAuthn» нажмите «Настроить» и удалите устройства из списка.

Панель управления

Администратор почтового домена может сбросить двухэтапную аутентификацию через меню почтового ящика в разделе «Почтовые ящики» (пункт меню выводится только для почтовых ящиков с включённой двухэтапной аутентификацией).

При сбросе для почтового ящика отключаются все настроенные методы двухэтапной аутентификации и в этот почтовый ящик отправляется письмо о том, что двухэтапная аутентификация была сброшена администратором почтового домена.

Содержание
    (1)