Вы находитесь здесь:
Уровни метода проверки MFA
Процесс входа посредством многофакторной проверки подлинности (MFA) требует, чтобы пользователи предоставили метод проверки подлинности в дополнение к имени пользователя и паролю. Salesforce поддерживает несколько типов методов проверки, включая ключи (встроенные средства проверки подлинности и ключи безопасности) и приложения средства проверки подлинности. Некоторые методы проверки сильнее других. Salesforce требует, чтобы пользователи с привилегированными полномочиями, например, администраторы, использовали более безопасные методы.
Salesforce начал применять требования MFA в июне 2026 года. Дополнительную информацию см. в этих статьях.
Система Salesforce разделяет методы проверки на три категории в зависимости от их безопасности.
- Методы проверки, устойчивые к фишингу, являются наиболее безопасными. Фишинг - это тип кибератаки, когда плохие субъекты обманом заставляют пользователей предоставить доступ к их организациям. Чтобы убедить пользователей выдать свои сведения, злоумышленники маскируются под надежных людей или компании. Например, злоумышленники используют тактику социальной инженерии, чтобы заставить пользователей ввести имя пользователя и пароль на поддельной странице входа, которая выглядит легитимной.
Фишингоустойчивые методы проверки, например, сканирование отпечатков пальцев и аппаратные ключи безопасности, защищают от этих атак, поскольку их нельзя использовать с поддельными веб-сайтами. Например, с помощью Touch ID пользователь вводит имя пользователя и пароль, а потом использует Touch ID на устройстве. Вход работает только с отпечатком пальца этого пользователя и только на одном веб-сайте.
- Стандартные методы проверки надежны, но не поддерживают такие же способы защиты, как и фишингостойкие методы. Стандартные методы MFA включают приложения средства проверки подлинности, которые выдают контролируемые по времени одноразовые пароли (TOTP), например, Salesforce Authenticator. Например, пользователи вводят имя пользователя и пароль, а потом вводят шестизначный код (TOTP) для завершения входа.
- Слабые методы наименее безопасны. Они содержат проверочные коды, отправленные по электронной почте или SMS-сообщениям. Регистрационные данные электронной почты могут быть взломаны, а номера мобильных телефонов - перехвачены посредством атак смены SIM-карты или взломанных учетных записей мобильных устройств. Salesforce не поддерживает эти методы входа внутренних пользователей посредством MFA. Однако, они могут использоваться для выполнения активной проверки подлинности после входа пользователя посредством безопасного метода MFA.
Ниже указан обзор связанных требований каждого уровня и поддерживаемых методов проверки.
| Уровень безопасности | Требования MFA | Методы прямой проверки входа Salesforce | Методы проверки единой регистрации |
|---|---|---|---|
| Устойчив к фишингу | Фишингоустойчивые методы обязательны для привилегированных внутренних пользователей, соответствующих любому из следующих критериев:
Для пользователей без этих привилегированных полномочий фишингостойкие методы соответствуют требованиям MFA, но не обязательны. |
Salesforce поддерживает два типа ключей для фишингоустойчивых MFA:
Или используйте проверку подлинности на основе сертификата. Этот метод использует клиентские сертификаты X.509 и взаимные TLS (mTLS) для проверки подлинности. Личные ключи, хранимые в защищенном оборудовании, обеспечивают фишинг и устойчивость к краже регистрационных данных. Дополнительную информацию см. в разделе «Проверка подлинности на основе сертификата». Этот метод удовлетворяет требованиям фишингостойкой MFA без дополнительных факторов. |
См. статью Knowledge для получения фишинговых сигналов проверки подлинности, которые ваш поставщик SSO может отправить в Salesforce. Эти сигналы содержат утверждения «Ссылка на класс контекста проверки подлинности (ACR)» и «Ссылки на методы проверки подлинности (AMR)». |
| Стандартный | Стандартные методы могут соответствовать требованиям MFA для внутренних пользователей без привилегированных полномочий. |
|
См. статью Knowledge для получения стандартных сигналов ACR и AMR, которые ваш поставщик единой регистрации может отправить в Salesforce. |
| Слабо | Данные методы не соответствуют требованиям MFA. | Слабые методы включают электронную почту и SMS-сообщения. Salesforce не поддерживает эти методы прямого входа в организации Salesforce. | Некоторые слабые значения задокументированы в статье Knowledge, но этот список не является исчерпывающим. Любое значение, не задокументированное как устойчивое к фишингу или стандартное, считается слабым. |
