RooX UIDMRooX UIDM 25.2: функциональная спецификация получена от производителя 05.10.2026; дополнительные возможности и редакция поставки проверяются отдельно.
RooX UIDMRooX UIDM 25.2: функциональная спецификация получена от производителя 05.10.2026; дополнительные возможности и редакция поставки проверяются отдельно.
RooX UIDMRooX UIDM 25.2: функциональная спецификация получена от производителя 05.10.2026; дополнительные возможности и редакция поставки проверяются отдельно.
RooX UIDMRooX UIDM 25.2: функциональная спецификация получена от производителя 05.10.2026; дополнительные возможности и редакция поставки проверяются отдельно.
16 тем сгруппированы по задачам. Статус показывает основание вывода: документировано — есть техническое описание; часть подтверждена — подтверждён только названный сценарий или часть сведений; заявлено вендором — есть заявление без достаточного технического описания; требует проверки — сведений недостаточно. Эти статусы не оценивают качество реализации. Ограничение архитектуры само по себе не означает низкое качество. Не применяется — тема относится к другому компоненту.
Сверка источников: 01.10.2026. Версии указаны отдельно; возможности соседних продуктов не переносились. Серверные платформы, клиенты входа и ключи не ранжируются между собой. Испытаний SecRadar не проводил.
Сравнивайте одинаковые сценарии: отказ от доменного пароля, отсутствие ручного ввода кода и WebAuthn/FIDO2 — разные вопросы. Для каждого уточните ресурс, фактор, агент, версию, зависимости и восстановление доступа. Будущие возможности не учитываются как доступные сейчас.
Версии и подробные основания
Aladdin 2FA + JAS
Приложение Aladdin 2FA в связке с JaCarta Authentication Server; сборки нужно согласовать.
Заявлено PUSH-подтверждение без зависимости от публичных сервисов Google/Apple. Источник ↗
WebAuthn / FIDO2◐ Часть подтверждена
Для JAS заявлена поддержка U2F. Это не подтверждает все сценарии FIDO2 и passkeys. Источник ↗
Вход без пароля учётной записи? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Интеграция с каталогом? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Интеграция по RADIUS✓ Документировано
В базе знаний есть настройка взаимодействия JAS и RADIUS. Источник ↗
VPN и удалённый доступ◇ Заявлено вендором
Перечислены шлюзы VPN и Microsoft RD Gateway. Совместимость зависит от версии и интеграции. Источник ↗
Вход в ОС◐ Часть подтверждена
В базе знаний описан вход в Linux по одноразовым паролям. Версия приложения для Windows сама по себе не доказывает защиту входа в Windows. Источник ↗
Условия запроса факторов? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Регистрация и управление факторами? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Восстановление доступа? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Вход без связи с сервером MFA? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Отказоустойчивая серверная схема? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
API администрирования? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Передача событий во внешнюю систему? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Развёртывание в своём контуре? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Aladdin SecurLogon
Документация SecurLogon 2.1.
Возможности, ограничения и источники
Одноразовые коды✓ Документировано
В сетевом сценарии OTP проверяет JAS, код формирует Aladdin 2FA. Источник ↗
Подтверждение запроса✓ Документировано
В описанном сценарии вход подтверждается через Aladdin 2FA. Источник ↗
WebAuthn / FIDO2? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Вход без пароля учётной записи✓ Документировано
Строгий вход по сертификату и PIN не требует ввода пароля учётной записи. Подстановка сохранённого пароля — другой сценарий. Источник ↗
Интеграция с каталогом✓ Документировано
Описаны доменные среды AD, Samba, ALD PRO, FreeIPA и РЕД АДМ. Источник ↗
Интеграция по RADIUS— Не применяется
SecurLogon — клиентский компонент входа в ОС, а не самостоятельный RADIUS-сервер. Серверную часть JAS рассматривайте отдельно. Источник ↗
VPN и удалённый доступ✓ Документировано
Раздел 5.2.4 описывает удалённую аутентификацию RDP. Источник ↗
Вход в ОС✓ Документировано
Документированы вход и блокировка ОС, Linux PAM-модули. Источник ↗
Условия запроса факторов? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Регистрация и управление факторами? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Восстановление доступа◐ Часть подтверждена
При блокировке ключа руководство направляет пользователя к администратору. Самостоятельное восстановление этим не подтверждается. Источник ↗
Вход без связи с сервером MFA? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Отказоустойчивая серверная схема— Не применяется
Серверная отказоустойчивость относится к используемой инфраструктуре аутентификации, а не к самому клиентскому компоненту. Источник ↗
API администрирования? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Передача событий во внешнюю систему? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Развёртывание в своём контуре? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Avanpost MFA+
Документация FAM/MFA+ 1.17; метод зависит от протокола и редакции.
Возможности, ограничения и источники
Одноразовые коды✓ Документировано
Программный и аппаратный TOTP присутствуют в матрице методов. Источник ↗
Подтверждение запроса✓ Документировано
Описаны Avanpost Authenticator, Push и QR. Источник ↗
WebAuthn / FIDO2✓ Документировано
Есть FIDO WebAuthn/U2F и Passkeys; сверяйте строку нужного протокола. Источник ↗
Вход без пароля учётной записи✓ Документировано
Описаны Passkeys и отдельные Passwordless-сценарии. Источник ↗
Интеграция с каталогом✓ Документировано
Документированы LDAP-источники и LDAP Proxy. Источник ↗
Интеграция по RADIUS✓ Документировано
RADIUS выделен как механизм интеграции. Источник ↗
VPN и удалённый доступ✓ Документировано
Есть инструкции для конкретных VPN-шлюзов и RDS/RDG. Источник ↗
Вход в ОС✓ Документировано
Отдельные компоненты Windows Logon и Linux Logon. Источник ↗
Условия запроса факторов✓ Документировано
Есть сценарии и риск-адаптивная аутентификация. Источник ↗
Регистрация и управление факторами✓ Документировано
Личный кабинет управляет факторами аутентификации и сеансами. Источник ↗
Восстановление доступа✓ Документировано
В личном кабинете описано восстановление доступа. Источник ↗
Вход без связи с сервером MFA? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Отказоустойчивая серверная схема✓ Документировано
Документирована кластерная установка серверных компонентов и БД. Источник ↗
API администрирования? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Передача событий во внешнюю систему? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Развёртывание в своём контуре✓ Документировано
Документирована установка серверных компонентов в инфраструктуре. Источник ↗
Blitz Identity Provider
Разделы Blitz Key и аудита проверены по руководству 5.34; остальные функции имеют отдельно указанные версии источников.
Возможности, ограничения и источники
Одноразовые коды✓ Документировано
Руководство 5.26 описывает TOTP и HOTP. Источник ↗
Подтверждение запроса✓ Документировано
В руководстве 5.34 описано подтверждение входа через Blitz Key. Push доступен только вторым фактором: нужны настройка push-провайдера, доверенных приложений и привязка Blitz Key по QR-коду. Источник ↗ 5.34: О мобильном приложении Blitz Key
WebAuthn / FIDO2✓ Документировано
В 5.26 описана регистрация WebAuthn/Passkey/FIDO2-ключей. Источник ↗
Вход без пароля учётной записи✓ Документировано
В спецификации описаны вход с FIDO2/Passkey и платформенные аутентификаторы. Источник ↗
Интеграция с каталогом✓ Документировано
Описаны LDAP-хранилища учётных записей. Источник ↗
Интеграция по RADIUS✓ Документировано
Есть раздел настройки доступа к сетевым службам по RADIUS. Источник ↗
VPN и удалённый доступ✓ Документировано
Документирован RADIUS-доступ к сетевым службам, включая VPN/RDP. Источник ↗
Вход в ОС? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Условия запроса факторов✓ Документировано
Процедуры входа используют геоданные и доверенные устройства. Источник ↗
Регистрация и управление факторами✓ Документировано
Описаны сервисы регистрации и управления профилем. Источник ↗
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Отказоустойчивая серверная схема✓ Документировано
В справочнике рассматривается кластерная серверная архитектура и выбор СУБД. Источник ↗
API администрирования? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Передача событий во внешнюю систему✓ Документировано
В руководстве 5.34 описаны события безопасности, запись в СУБД/логгер и отправка в Kafka; доступны фильтры типов событий и настройки TLS/SASL. Каталог включает входы, изменения ролей и конфигурации. Источник ↗ 5.34: Передача событий безопасности в файл или Kafka
Развёртывание в своём контуре? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Indeed MFA
Документация облачного сервиса MFA 1.0; не переносится на Indeed AM.
Возможности, ограничения и источники
Одноразовые коды✓ Документировано
Описаны аппаратные HOTP/TOTP-токены и Indeed Key. Источник ↗
Подтверждение запроса✓ Документировано
Описаны подтверждение или отклонение запросов в Indeed Key и Telegram. Источник ↗
WebAuthn / FIDO2◐ Часть подтверждена
По уточнению производителя от 22.09.2026 FIDO2 используется через агент Keycloak; протокол реализует Keycloak. Нативную поддержку сервиса это не подтверждает. Источник ↗
Вход без пароля учётной записи? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Интеграция с каталогом✓ Документировано
Есть LDAP-прокси и интеграции с каталогами. Источник ↗
Indeed Logon защищает консольный и RDP-вход в Windows. Источник ↗
Условия запроса факторов✓ Документировано
Правила учитывают адреса, время, группы, агента и тип токена. Источник ↗
Регистрация и управление факторами✓ Документировано
Портал самообслуживания позволяет пользователю выполнять операции с токенами. Источник ↗
Восстановление доступа✓ Документировано
Документация облачного MFA 1.0 описывает два пути: администратор приостанавливает/отзывает утраченный токен и выдаёт новый либо временный пароль; пользователь входит на портал по временному коду и запрашивает токен. Каналы доставки, доступные операции и согласование задаёт оператор. Утрата всех разрешённых каналов требует отдельного сценария. Источник ↗Источник ↗
Вход без связи с сервером MFA◐ Часть подтверждена
По ответу производителя от 02.10.2026 Indeed Logon по умолчанию запрещает вход при недоступности платформы; возможны группы исключения на рабочей станции. Документация TVP описывает отдельно включаемый bypass с заданным результатом аутентификации. Это обход проверки, а не подтверждение локальной проверки второго фактора без сервера. Источник ↗
Отказоустойчивая серверная схема◐ Часть подтверждена
Документировано резервирование отдельных интеграционных агентов. Этого недостаточно для вывода о всей облачной платформе и её SLA. Источник ↗
API администрирования✓ Документировано
Документирован API администрирования сервиса. Источник ↗
Передача событий во внешнюю систему✓ Документировано
Агент syslog отправляет события во внешнюю систему. Источник ↗
Развёртывание в своём контуре— Не применяется
Рассмотрена облачная поставка сервиса. Локальные агенты не означают развёртывания всей MFA-платформы у заказчика. Источник ↗
MFASOFT SAS
Публичные функциональные характеристики SAS; номер релиза не указан.
Возможности, ограничения и источники
Одноразовые коды✓ Документировано
Спецификация определяет аутентификацию одноразовыми паролями. Источник ↗
Подтверждение запроса✓ Документировано
Описаны модули приложения MFASOFT и Telegram с подтверждением/отклонением запросов. Источник ↗
WebAuthn / FIDO2◇ Заявлено вендором
В письме от 02.09.2026 производитель подтвердил отсутствие FIDO2/WebAuthn на тот момент. Для нового релиза требуется повторная сверка. Источник ↗
Вход без пароля учётной записи◇ Заявлено вендором
По письму производителя от 02.10.2026 заявлены сценарии без доменного пароля, в том числе с ПИН-кодом, push и биометрией. Нужны привязка к ресурсу, агенту и версии, а также проверка поведения при отказе. Это не подтверждение FIDO2/WebAuthn. Присланная общая брошюра Thales не используется как документация MFASOFT. Публичные функциональные характеристики ↗
Интеграция с каталогом✓ Документировано
Публичная спецификация описывает LDAP-синхронизацию. В присланном руководстве LDAP Sync Agent for Windows 1.0 указаны Active Directory и FreeIPA, чтение выбранных атрибутов без доступа к паролям и передача изменений в SAS. По письму от 02.10.2026 новые агенты тестируются начиная с SAS 1.15; версии сервера и агента различаются. Публичные функциональные характеристики ↗
Интеграция по RADIUS✓ Документировано
RADIUS указан в публичной спецификации. Присланное руководство MFASOFT NPS Extension 1.0 описывает PAP с Access-Request и Access-Challenge, Windows Server 2016–2025 с указанными в руководстве зависимостями. Это NPS-расширение, а не агент входа в Windows. По письму производителя новые агенты тестируются с SAS 1.15. Публичные функциональные характеристики ↗
VPN и удалённый доступ✓ Документировано
Область применения включает VPN и RDP/VDI; совместимость проверяется по модели и версии. Источник ↗
Вход в ОС? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Условия запроса факторов✓ Документировано
Спецификация описывает условную последовательность шагов и предварительную аутентификацию. Источник ↗
Регистрация и управление факторами✓ Документировано
В архитектуре выделен портал самообслуживания. Источник ↗
Восстановление доступа◐ Часть подтверждена
Руководство пользователя, присланное 02.10.2026 под именем SAS 1.12, раздел 3, стр. 18–19: если нет доступного токена, пользователь может запросить временный код для портала самообслуживания по разрешённому администратором каналу — email, SMS или Telegram. Письмо вендора также подтверждает выдачу администратором и самовыдачу. Это подтверждает конкретный сценарий, но не гарантирует восстановление при потере доступа ко всем каналам; применимость к текущей поставке сверяется отдельно. Публичные функциональные характеристики ↗
Вход без связи с сервером MFA? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Отказоустойчивая серверная схема✓ Документировано
Описаны ферма модулей и кластер БД; одна машина рассматривается как минимальная тестовая конфигурация. Источник ↗
API администрирования✓ Документировано
В архитектуре выделен модуль API администрирования. Источник ↗
Передача событий во внешнюю систему✓ Документировано
Описан агент syslog для передачи событий. Источник ↗
Развёртывание в своём контуре✓ Документировано
Сервер можно развернуть локально; облако сервис-провайдера — отдельная схема. Источник ↗
MULTIFACTOR
Текущий открытый справочник; версия адаптера уточняется для каждой интеграции.
Возможности, ограничения и источники
Одноразовые коды✓ Документировано
Описаны программные OTP и аппаратные HOTP-токены. Источник ↗
Подтверждение запроса✓ Документировано
Документировано подтверждение действия через PUSH. Источник ↗
WebAuthn / FIDO2◐ Часть подтверждена
Описана веб-аутентификация с U2F/биометрией устройства; поддержку каждого FIDO2/passkey-сценария нужно сверять отдельно. Источник ↗
Вход без пароля учётной записи✓ Документировано
RADIUS-адаптер может работать без проверки пароля с параметром first-factor-authentication-source=None. Это конкретный сценарий, а не обещание для всех интеграций. Источник ↗
При потере устройства администратор отвязывает прежние способы и отправляет ссылку повторной регистрации. Отдельно предусмотрен разовый пропуск второго фактора для ожидающего запроса; такую операцию нужно контролировать. Источник ↗
Вход без связи с сервером MFA? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Отказоустойчивая серверная схема? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
API администрирования✓ Документировано
Опубликован API управления ресурсами; это административный интерфейс, а не только вызов проверки второго фактора. Источник ↗
Передача событий во внешнюю систему✓ Документировано
В руководстве описана отправка журналов RADIUS-адаптера в Syslog/SIEM. Это подтверждение для адаптера, а не всех компонентов сервиса. Источник ↗
Развёртывание в своём контуре◐ Часть подтверждена
Документация описывает локальные адаптеры с обращением к облачному API. Размещение адаптера в своей сети не подтверждает полностью автономную серверную поставку. Источник ↗
RooX UIDM
RooX UIDM 25.2: функциональная спецификация получена от производителя 05.10.2026; дополнительные возможности и редакция поставки проверяются отдельно.
Возможности, ограничения и источники
Одноразовые коды✓ Документировано
В спецификации 25.2 описаны OTP и TOTP, ограничения попыток и времени действия, доставка OTP через SMS/push/email. Источник ↗ Функциональная спецификация 25.2, 1.4.2–1.4.3; получена от производителя 05.10.2026, вложение не опубликовано
Подтверждение запроса◐ Часть подтверждена
В 25.2 описана доставка одноразового кода через Web Push в PWA/браузер с резервным каналом. Это не подтверждение входа кнопкой «Разрешить» без ввода кода. Источник ↗ Функциональная спецификация 25.2, 1.4.2; получена от производителя 05.10.2026, вложение не опубликовано
WebAuthn / FIDO2✓ Документировано
В обзоре платформы описана аутентификация WebAuthn. Источник ↗
Вход без пароля учётной записи◇ Заявлено вендором
На странице платформы заявлена беспарольная аутентификация. Источник ↗
Интеграция с каталогом✓ Документировано
Документированы каталоги AD/LDAP и Kerberos. Источник ↗
Интеграция по RADIUS✓ Документировано
В 25.2 описан RADIUS-сервер с access-challenge; отдельно описан режим RADIUS-клиента для внешнего второго фактора. Источник ↗ Функциональная спецификация 25.2, 1.3.3; 1.4.11; получена от производителя 05.10.2026, вложение не опубликовано
VPN и удалённый доступ◇ Заявлено вендором
VPN/VDI и терминальный доступ заявлены на странице продукта; нужны инструкции интеграции. Источник ↗
Вход в ОС◇ Заявлено вендором
Рабочие станции названы среди защищаемых ресурсов; конкретный агент и ОС требуют уточнения. Источник ↗
Условия запроса факторов✓ Документировано
Условия входа используют атрибуты, группы и геоданные. Источник ↗
Регистрация и управление факторами✓ Документировано
Описаны самостоятельная регистрация и управление профилем. Источник ↗
Восстановление доступа✓ Документировано
Описаны сброс пароля и восстановление доступа. Источник ↗
Вход без связи с сервером MFA? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Отказоустойчивая серверная схема✓ Документировано
Описано размещение в нескольких ЦОД с переключением при недоступности площадки. Источник ↗
API администрирования✓ Документировано
В 25.2 описаны API сценариев аутентификации, управления API-токенами и provisioning учётных записей. Конкретные контракты интеграции нужно сверить с руководством. Источник ↗ Функциональная спецификация 25.2, 1.3.1–1.3.2; 1.7.1; получена от производителя 05.10.2026, вложение не опубликовано
Передача событий во внешнюю систему✓ Документировано
В 25.2 описаны журнал действий, настраиваемая регистрация событий безопасности и потоковая передача через брокер в SIEM. Готовый коннектор конкретной SIEM этим не подтверждён. Источник ↗ Функциональная спецификация 25.2, 1.8.1–1.8.2; получена от производителя 05.10.2026, вложение не опубликовано
Развёртывание в своём контуре✓ Документировано
В спецификации 25.2 перечислены rpm/deb-пакеты, контейнерная поставка и сборка исходного кода в инфраструктуре заказчика. Автономность от внешних сервисов проверяется отдельно. Источник ↗ Функциональная спецификация 25.2, 1.10.7; получена от производителя 05.10.2026, вложение не опубликовано
Рутокен MFA
Аппаратный FIDO2-аутентификатор Рутокен MFA; не Рутокен OTP, VPN Enterprise или KeyBox.
Возможности, ограничения и источники
Одноразовые коды— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
Подтверждение запроса— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
WebAuthn / FIDO2✓ Документировано
Документированы FIDO2/WebAuthn для Рутокен MFA. Источник ↗
Вход без пароля учётной записи✓ Документировано
Есть инструкция двухфакторного и беспарольного входа на сайты с Рутокен MFA. Источник ↗
Интеграция с каталогом— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
Интеграция по RADIUS— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
VPN и удалённый доступ◇ Заявлено вендором
Производитель 05.10.2026 перечислил совместимые IAM и сценарии VPN/RDP/SSH через них. Версии и инструкции интеграции требуют сверки; протоколы IAM не являются собственными протоколами токена. Источник ↗ Ответы производителя 05.10.2026, два письма
Вход в ОС✓ Документировано
Есть инструкции локального входа в Ubuntu, Альт и РЕД ОС; нужна совместимая конфигурация хоста. Источник ↗
Условия запроса факторов— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
Регистрация и управление факторами— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
Восстановление доступа— Не применяется
Восстановление организует совместимая IAM-система. Производитель рекомендует два ключа на пользователя; при потере администратор удаляет привязку ключа. Это не отзыв сертификата PKI и не собственный сервер восстановления Рутокен MFA. Источник ↗ Ответ производителя 05.10.2026
Вход без связи с сервером MFA? Требует проверки
Для указанного продукта и сценария пока недостаточно подтверждений. Это не утверждение об отсутствии функции. Источник ↗
Отказоустойчивая серверная схема— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
API администрирования— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
Передача событий во внешнюю систему— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
Развёртывание в своём контуре— Не применяется
Это критерий серверной платформы или другого типа аутентификатора. Для Рутокен MFA проверяйте совместимую систему входа; функции Рутокен OTP/KeyBox/VPN Enterprise не переносятся. Источник ↗
MFA для VPN, RDP, Windows и Linux: что именно проверять
Сначала определите точку, в которой выполняется дополнительная проверка. MFA на VPN защищает подключение к сети; проверка на RD Gateway относится к соединению через этот шлюз, а агент входа в ОС — к поддерживаемым им способам входа. Ни одна из этих схем сама по себе не подтверждает защиту остальных путей.
Задание для пилота: ресурс, точка проверки и результат
Сценарий
Что согласовать
Что проверить
VPN через RADIUS
Версии VPN и адаптера, поддерживаемый метод, тайм-аут подтверждения.
Первое подключение, повторное подключение, отклонённый запрос, отказ сервера MFA. Не переносить поддержку WebAuthn в веб-портале на RADIUS автоматически.
RDP через RD Gateway
Где стоит MFA и какие клиенты используют шлюз.
Проходит ли прямое подключение к рабочему столу мимо шлюза и есть ли для него отдельное ограничение или проверка.
Локальный вход в Windows и прямой RDP
Версия агента, локальные и доменные учётные записи, разрешённые способы входа.
Локальный вход, RDP, разблокировка и административные учётные записи — отдельно. Зафиксировать исключения и поведение при отказе.
Linux: графический вход, SSH, sudo
Дистрибутив, версия, способ интеграции и применяемая политика.
Каждую службу отдельно: второй фактор в SSH не доказывает его наличие для sudo или графического входа.
Зафиксируйте точные версии сервера, агента, ОС, VPN и способы подтверждения. Для каждой проверки заранее укажите ожидаемый результат, допустимое время восстановления и событие в журнале.
Подключите сотрудника. Регистрация фактора, первый вход, повторный вход и смена устройства.
Проверьте отказ в доступе. Неверный код, отклонённый запрос, заблокированная учётная запись и отозванный ключ.
Проверьте потерю устройства. Запасной фактор, подтверждение личности службой помощи, отзыв старого устройства и запись операции в аудит.
Отключите зависимости в тестовом контуре. Связь с сервером MFA, каталогом, интернетом и push-службой — по отдельности. Отличайте полноценную проверку запасного фактора от пропуска MFA.
Проверьте восстановление сервиса. Резервный узел, возврат связи, доступ администратора и отсутствие незапланированных исключений.
Сверьте события. Пользователь, ресурс, результат, причина отказа и действие администратора должны попадать в предусмотренный журнал.
Внедрение MFA: порядок пилота и перехода в эксплуатацию
Составьте список входов. Для каждой группы сотрудников укажите ресурс, способ подключения и ответственного. Отдельно отметьте сервисные учётные записи: интерактивное подтверждение может не подходить для их работы.
Подготовьте регистрацию и помощь. Проверьте выдачу первого и запасного факторов, смену телефона, потерю ключа и порядок подтверждения личности службой поддержки.
Запустите ограниченный пилот. Включите пользователей с разными ОС, способами подключения и условиями работы. Измеряйте успешность входов, задержку, обращения в поддержку и время восстановления доступа.
Разберите отказы. Отдельно отключите в тестовом контуре интернет, push-службу, каталог и сервер MFA. Запишите, сохраняется ли полноценная проверка, блокируется ли доступ или применяется исключение.
Расширяйте по результатам. Заранее согласуйте критерии готовности, ответственного за исключения и порядок возврата. Не включайте обязательный второй фактор сразу всем, пока не проверен доступ дежурного администратора.
Пропуск второго фактора и восстановление через запасной фактор — разные операции. Например, документация MULTIFACTOR описывает разовый пропуск ожидающего запроса администратором. Для любого выбранного решения заранее определите, кто вправе разрешить такой доступ и где останется запись.
MFA для привилегированных пользователей: проверка административного доступа
Составьте отдельный перечень административных входов: консоли управления, прямой RDP/SSH, средства виртуализации, сетевое оборудование и аварийные каналы. Для каждого укажите учётную запись, точку MFA, получаемые права и путь, который может обойти эту проверку. Подтверждение входа в одну консоль не защищает автоматически остальные.
Обычная административная работа. Проверьте вход, повышение прав, повторное подключение и отзыв доступа. Убедитесь, что служба поддержки не выдаёт новый фактор без согласованной проверки личности.
Работа через PAM. Разделите вход в PAM и доступ к целевой системе. Уточните, где проверяется MFA, как выдаются полномочия и что происходит с прямыми подключениями в обход PAM. Сравнение возможностей PAM →
Сервисные учётные записи. Не переносите интерактивное подтверждение на автоматические задания без проверки поддержки. Для такого доступа отдельно определите полномочия, хранение и смену секретов, журналирование.
Аварийный вход: проверить до обязательного включения MFA
План должен позволять восстановить управление при отказе обычного пути входа. Запишите, какие зависимости сохраняются: каталог, сеть, сервер MFA, устройство с фактором, хранилище аварийных данных. Запасной путь, которому нужен тот же отказавший компонент, не решает этот сценарий.
Определите условия использования. Кто разрешает аварийный вход, кто его выполняет и какие действия допускаются.
Проверьте в тестовом контуре. Смоделируйте согласованный отказ, выполните необходимую административную операцию и сохраните результат. Не отключайте защиту рабочей инфраструктуры ради проверки.
Проверьте наблюдаемость. Где останется запись об использовании аварийного доступа и кто её получит, в том числе если основной канал журналирования недоступен.
Вернитесь к штатной работе. Проверьте восстановление политик, завершение временных доступов и необходимость смены использованных секретов. Зафиксируйте разбор применения аварийного пути.
В Microsoft Entra ID аварийные учётные записи рассматриваются отдельно от обычного административного входа, с сильной аутентификацией, контролем использования и проверкой работоспособности. Это пример конкретной платформы, а не рекомендация одинаковых исключений для всех MFA-систем.
В протоколе пилота заведите отдельные строки для штатного входа администратора, обходного пути и аварийного восстановления. Укажите версию интеграции, отказавшую зависимость, ожидаемый результат, фактические права и доказательства. Это редакционный план проверки, не подтверждение функций продуктов в таблице.
Проверка MFA при потере телефона и восстановлении доступа
Рабочий вход ещё не означает, что система готова к эксплуатации. На тестовых учётных записях проверьте потерю фактора и обращение в поддержку. Ниже — редакционный набор проверок, не результаты испытаний продуктов.
Потерян телефон или ключ. Убедитесь, что согласованный запасной способ доступен сотруднику. После отзыва старого фактора попробуйте использовать его снова: ожидаемый результат — отказ, зафиксированный в журнале.
Пользователь просит привязать новое устройство. Проверьте, как поддержка устанавливает личность, кто разрешает замену и как пользователь узнаёт об изменении. Запишите ответственного и ожидаемый результат каждого шага.
Недоступен сервер MFA или канал связи. Проверьте каждый защищаемый ресурс отдельно. Зафиксируйте, запрещается ли вход, используется ли заранее предусмотренный автономный механизм или срабатывает исключение. Не называйте эти режимы одинаково «резервным входом».
Аварийный доступ администратора. Проведите согласованную операцию, проверьте её журнал и возврат к обычной политике. У временного исключения должны быть владелец и условие завершения.
Измеряйте время восстановления доступа и число обращений в поддержку вместе с результатом проверок безопасности. Быстрый сброс фактора без подтверждения личности не является успешным результатом.
NIST SP 800-63B-4: жизненный цикл аутентификаторов отдельно рассматривает восстановление учётной записи и уведомления о нём. Методика NIST здесь служит техническим ориентиром; конкретный порядок компания определяет для своей среды.
Сервер MFA, средство входа в ОС и аппаратный ключ решают разные части задачи. Общий балл скрывает это различие. Выберите сценарий и проверьте подтверждения для нужной поставки.
Что означает «не применяется»?
Критерий относится к другому компоненту архитектуры. Например, серверное кластерирование не является функцией аппаратного ключа. Это не недостаток продукта и не нулевая оценка.
Одноразовый код на телефоне означает автономную работу?
Нет. Код может формироваться без интернета, но сервер приложения должен проверить его. Вход без связи с сервером MFA — отдельный сценарий, требующий подтверждения для конкретного агента.
Passwordless всегда означает многофакторный вход?
Нет. Отсутствие пароля учётной записи само по себе не доказывает использование нескольких факторов. Проверяйте сочетание ключа, PIN или локальной биометрии и политику приложения.
Что делать при потере телефона или ключа?
Заранее согласуйте запасной фактор, подтверждение личности при восстановлении, отзыв старого устройства и аудит действий администратора. Аварийный пропуск проверки и полноценная проверка запасного фактора — разные режимы.
Были ли продукты испытаны SecRadar?
Нет. Сравнение основано на документации и заявлениях производителей. Поведение при отказах, совместимость версий и удобство восстановления нужно проверить на собственном пилоте.