Безопасность регистрации и аутентификации

Факторы аутентификации

Способы аутентификации — база знаний, откроется в новой вкладке

В зависимости от сервера регистрации пользователя доступно до четырёх факторов проверки. С OpenID их может быть больше. Обязателен только один, остальные факторы можно включать как дополнительные.

Фактор	RTS Lite	CTS ETS
SMS-код на номер телефона	Обязательный фактор.	Администратор сервера вашей организации может его отключить: в разделе Настройки регистрации он включает Разрешена регистрация без номера телефона. Номер пользователь привязывает сам, если администратор сервера вашей организации включил там же Разрешено добавлять номер телефона. Во внутреннем контуре (корпоративной сети) администратор сервера вашей организации может отключить этот этап настройкой Разрешить пропуск двухфакторной аутентификации в пределах контура в разделе «Настройки регистрации».
Email-код / NTLM / OpenID	Отсутствует.	Обязательный фактор. Для Email-кода и NTLM действует встроенная защита от перебора. При использовании OpenID можно добавить любое количество дополнительных факторов — они настраиваются на стороне конкретного провайдера OpenID.
Личный пароль (защита ключей шифрования)	Необязательный фактор. Пользователь устанавливает его в настройках — подробнее.
PIN-код	Необязательный фактор. Пользователь устанавливает его в настройках.	Администратор сервера вашей организации может сделать PIN-код обязательным: в разделе «Правила ролевой модели» он создаёт правило с типом Обязательный PIN-код.

Ограничение доступа и устройств со стороны администратора

• Администратор сервера вашей организации может запретить подключение с определённых клиентских платформ и ограничить время жизни сессий. Обе настройки — в разделе «Активации»: Запрещённые платформы и Максимальное время жизни активаций. По умолчанию неактивная сессия в веб-приложении завершается через неделю. На публичном сервере RTS эти настройки задаёт команда eXpress.
• Доступ к
  CTS
  /
  eCTS
  можно дополнительно закрыть геоограничениями: прокси фильтрует подключения к корпоративному серверу. Это ещё один фактор безопасности.
• Ролевая модель поддерживает «статус корпоративности устройства»: правила могут срабатывать в зависимости от наличия на устройстве корпоративного сертификата — см. правила ролевой модели.

Хранение учётных данных и ключей на клиентских устройствах

Учётные данные хранятся в защищённой области памяти устройства, к которой нет доступа извне. На устройствах с Root или Jailbreak приложение не запускается.

Платформа	Как хранятся учётные данные
iOS	Ключ хранится в защищённой области KeyChain.
Android	Ключ хранится в защищённой области KeyStore.
Aurora	Ключ хранится в защищённом программном хранилище.
Десктоп	Учётные данные хранятся в системных хранилищах ключей (eXpress) либо в собственном зашифрованном хранилище. Выбор хранилища зависит от настройки ETS -приложения — см. хранение учётных данных десктоп-версии в конкретных ОС.
Веб	Используются токены, хранимые в cookies.

Сертификация и криптография

• Безопасность платформы подтверждена сертификатом ФСТЭК — подробнее.
• Криптостойкость прошла независимый аудит.
• Для корпоративных заказчиков доступны защищённые серверы on-premise (
  CTS
  /
  eCTS
  ), а также работа серверов в изолированном режиме (только
  ETS
  ).
• Используется транспортное шифрование TLS 1.3 и DTLS.
• По запросу поддерживается усиленная квалифицированная электронная подпись (КЭП) и шифрование по ГОСТ.

Мошенничество и фишинг

Никому не сообщайте одноразовые коды из SMS — без кода войти в аккаунт на ваш номер невозможно. В официальных SMS eXpress есть напоминание: кодом нельзя делиться с посторонними.

Незнакомец просит SMS-код от eXpress. Что делать?

Никому не сообщайте коды из SMS. Возможно, кто-то пытается завести или использовать публичную учётную запись на ваш номер телефона. Так бывает, если коды приходят, а следом просят их сообщить, но сами вы в eXpress не регистрировались. eXpress — мессенджер: получив доступ к аккаунту, злоумышленник сможет вести переписку от вашего имени.

Как ограничить доступ к аккаунту, если я сообщил(а) SMS-код злоумышленникам?

• Скачайте eXpress, войдите по своему номеру телефона и удалите аккаунт: Настройки > Профиль > три точки > (Действия с профилем) Удалить аккаунт. Или попросите об этом поддержку eXpress. Аккаунт удаляется безвозвратно.
• Если удалять аккаунт не хотите — откройте Настройки > Открытые сессии и завершите чужие сессии. Установите личный пароль дополнительной защиты. Без одноразового кода из SMS и личного пароля злоумышленник снова войти не сможет.