Кратко

  • Редакция 02 документа Additional Authentication Method Reference Values от 2 октября 2026 года предлагает значение sqa для ответов на контрольные вопросы и тут же уточняет: действующие рекомендации NIST не признают такие вопросы приемлемыми секретами цифровой аутентификации.
  • Реестр описывает существующий способ. Разрешать ли его, требовать ли сочетания с другими факторами и учитывать ли в уровне гарантии, решает принимающая сторона.

Технический реестр — не рейтинг лучших практик. Устаревающему методу тоже нужно устойчивое имя: иначе его нельзя надёжно обнаружить, ограничить и вывести из эксплуатации. В draft-skyfire-oauth-amr-values-02 значение sqa делает применение контрольных вопросов наблюдаемым, но предупреждение NIST не позволяет принять наблюдаемость за одобрение.

Проект предлагает также значения для подтверждения в приложении, поведенческих сигналов, электронной почты, одноразового кода, перехода по URL, push-подтверждения, проверки живости лица и passkey. В редакции 02 psk переименован в passkey, чтобы избежать путаницы с предварительно распределённым ключом; call удалён, а описание существующего tel обновлено. Это обслуживание словаря, а не сертификация методов.

OpenID Connect уже разделяет amr, где перечисляются способы, и acr, где задаётся класс контекста аутентификации. RFC 8176 стандартизирует краткие обозначения и приводит пример с pwd и kba. В действующем реестре IANA значение kba сохраняется. Возможность понять старое утверждение не обязывает принимать знание личных фактов как достаточную защиту важной операции.

NIST проводит границу на уровне политики. В актуальной модели вопросы, основанные на знаниях, не являются приемлемым секретом цифровой аутентификации. Требования к аутентификаторам также запрещают предлагать их при выборе пароля. Сохранение названия в реестре и запрет использования в современной политике выполняют разные функции.

Та же осторожность нужна для bg. Под ним могут подразумеваться фоновая сетевая проверка номера телефона, распознавание устройства, геолокация и другие сигналы. NIST разрешает учитывать индикаторы мошенничества при оценке риска, но они не меняют AAL и не заменяют фактор. Контекстный сигнал нельзя превращать в доказательство сильной аутентификации.

Подпись JWT этого не исправляет. Корректная проверка устанавливает издателя, аудиторию, целостность и временные условия. RFC 8725 всё равно требует явной локальной политики алгоритмов, издателей и аудиторий. Криптография защищает содержание заявления, но не улучшает названный в нём метод.

Задача IANA уже: присваивать устойчивые, не конфликтующие имена через Expert Review. На момент фиксации источников предложенные значения редакции 02 отсутствовали в активном реестре, а Datatracker показывал индивидуальный Internet-Draft без stream и уровня стандарта. Даже будущая регистрация определит написание и ссылку, а не разрешение на эксплуатацию.

Оператору нужны две записи. Первая хранит межсистемный факт: издатель, токен, версия словаря и значение AMR. Вторая хранит локальное решение: для какого действия и риска метод разрешён, ограничен, требует сочетания или запрещён, какая версия политики и кто владеет исключением и миграцией.

Minimum Initial Specification Лу Хэна предлагает стандартизировать минимальный общий символ, сохраняя будущие решения локальными. Running-Code Primacy требует смотреть на реально исполненный механизм. Reality Layers не позволяет слить регистрацию, заявление издателя, антифрод-сигнал, класс гарантии и авторизацию в единый положительный статус.

sqa не возвращает контрольным вопросам доверие. Оно может сделать остаточное использование видимым, чтобы его измерить и устранить. Реестр называет реальность; руководство отвечает за то, что считается допустимым.

Источники