Uwierzytelnianie wieloskładnikowe (MFA)
Uwierzytelnianie wieloskładnikowe (MFA, Multi-Factor Authentication) to sposób potwierdzania tożsamości użytkownika przy użyciu co najmniej dwóch składników z różnych kategorii. Przykładem jest połączenie hasła z potwierdzeniem posiadania urządzenia lub uwierzytelniacza.
W rozwiązaniach MFA stosuje się trzy podstawowe kategorie składników:
Kategoria | Znaczenie | Przykład |
|---|---|---|
Wiedza | Informacja znana użytkownikowi | Hasło lub PIN |
Posiadanie | Kontrola nad urządzeniem lub uwierzytelniaczem | Aplikacja generująca kody albo klucz bezpieczeństwa |
Cecha użytkownika | Potwierdzenie biometryczne | Odcisk palca używany do odblokowania uwierzytelniacza |
Składniki muszą należeć do różnych kategorii. Hasło i drugi sekret zapamiętany przez użytkownika pozostają składnikami opartymi na wiedzy. Biometria może współpracować z fizycznym uwierzytelniaczem, np. urządzeniem przechowującym klucz kryptograficzny.
Powyższe przykłady opisują MFA ogólnie. Dostępne metody należy sprawdzić dla konkretnego systemu i jego konfiguracji.
Cel biznesowy
Celem MFA jest ograniczenie ryzyka przejęcia konta, szczególnie w sytuacji ujawnienia lub odgadnięcia hasła.
Dodatkowe potwierdzenie tożsamości wzmacnia ochronę dostępu do dokumentów, danych finansowych, informacji pracowniczych i procesów decyzyjnych. Ma to znaczenie również przy pracy zdalnej oraz korzystaniu z aplikacji udostępnianych przez internet.
Korzyści
Prawidłowo wdrożone MFA może zapewnić:
- Ograniczenie ryzyka wykorzystania skradzionego hasła - logowanie wymaga dodatkowego składnika.
- Wzmocnienie ochrony poufnych informacji - dostęp do danych jest poprzedzony dodatkową weryfikacją.
- Lepszą ochronę kont uprzywilejowanych - szczególnie istotnych dla administracji systemem i zatwierdzania działań.
- Spójniejsze wymagania dotyczące logowania - organizacja może określić zasady potwierdzania tożsamości.
- Wzmocnienie dostępu zdalnego - dodatkowy składnik utrudnia wykorzystanie samych danych logowania.
Poziom ochrony zależy od wybranej metody, konfiguracji i sposobu odzyskiwania dostępu.
Jak działa MFA w LOGITO?
Dokumentacja wydania LOGITO 6.4.9 potwierdza wprowadzenie logowania z dodatkowym kodem oraz możliwość włączenia tej funkcji w konfiguracji użytkownika.
Korzyści z LOGITO | Zagrożenia bez LOGITO |
|---|---|
Dodatkowe potwierdzenie tożsamości kodem podczas logowania. | Przy logowaniu wyłącznie hasłem jego ujawnienie może umożliwić przejęcie konta. |
Możliwość włączenia MFA w konfiguracji użytkownika. | Konta bez dodatkowego składnika pozostają bardziej narażone na wykorzystanie skradzionego hasła. |
Ograniczenie ryzyka nieuprawnionego dostępu do dokumentacji firmowej. | Przejęte konto może posłużyć do odczytu lub zmiany dostępnych dokumentów. |
Kontrola dostępu do dokumentów przez uprawnienia użytkowników, zespołów i działów. | Zbyt szerokie uprawnienia mogą zwiększyć zakres danych dostępnych po przejęciu konta. |
MFA potwierdza tożsamość, a uprawnienia określają zakres dostępnych danych i działań. Oba mechanizmy powinny współpracować w ramach przyjętej polityki dostępu.
Podczas wdrożenia warto potwierdzić sposób uzyskiwania kodu, zakres kont objętych zabezpieczeniem, zasady jego egzekwowania oraz procedurę odzyskania dostępu dla używanej wersji systemu.
Przykładowe logowanie z MFA - 5 kroków
Poniższy schemat przedstawia logowanie z hasłem i dodatkowym kodem.
- Rozpoczęcie logowania
Użytkownik otwiera aplikację i podaje wymagane dane, np. identyfikator oraz hasło. - Sprawdzenie pierwszego składnika
System weryfikuje dane i przechodzi do dodatkowego potwierdzenia tożsamości. - Uzyskanie kodu
Użytkownik korzysta z metody drugiego składnika przygotowanej dla jego konta. - Potwierdzenie tożsamości
Kod zostaje przekazany do weryfikacji. System sprawdza poprawność wymaganego potwierdzenia. - Uzyskanie dostępu
Po pomyślnym uwierzytelnieniu użytkownik może korzystać z aplikacji zgodnie ze swoimi uprawnieniami.
Szczegółowy przebieg zależy od zastosowanego mechanizmu logowania. Niektóre uwierzytelniacze mogą łączyć potwierdzenie kilku składników w jednym działaniu użytkownika.
Jak przygotować wdrożenie MFA w organizacji?
- Zidentyfikuj konta i sposoby logowania
Sprawdź, kto korzysta z systemu, jakie uprawnienia posiada i jak obecnie uzyskuje dostęp. - Zweryfikuj możliwości techniczne
Potwierdź wersję aplikacji, dostępne metody MFA i sposób współpracy z używanymi usługami tożsamości. - Ustal zakres i zasady stosowania
Określ grupy użytkowników, wymagania dla administratorów oraz zasady ponownego potwierdzania tożsamości. - Przeprowadź pilotaż
Sprawdź logowanie na reprezentatywnych kontach i urządzeniach. Uwzględnij błędne potwierdzenie oraz niedostępność drugiego składnika. - Przygotuj odzyskiwanie dostępu
Ustal postępowanie przy utracie urządzenia lub zmianie metody. Procedura powinna obejmować sprawdzenie tożsamości osoby zgłaszającej problem. - Przeszkol użytkowników i rozszerz wdrożenie
Wyjaśnij nowy sposób logowania, wskaż kanał pomocy i monitoruj trudności pojawiające się po uruchomieniu.
Planowanie rejestracji użytkowników, pilotażu, komunikacji i odzyskiwania dostępu jest istotną częścią wdrożenia MFA.
Kryteria i ocena
Ocena dotyczy wdrożenia MFA w dostępie do LOGITO i ma charakter orientacyjny.
Kryterium | Ocena |
|---|---|
Czas wdrożenia | Zależny od wersji systemu, liczby kont, metod logowania i przygotowania użytkowników. |
Wpływ na bezpieczeństwo | Istotny przy poprawnym doborze składników i zabezpieczeniu procedury odzyskiwania dostępu. |
Koszt wdrożenia | Zależny od konfiguracji, ewentualnych usług tożsamości, urządzeń i wsparcia. |
Kompatybilność z aktualnymi rozwiązaniami | Wymaga sprawdzenia metod logowania, integracji i obsługiwanych urządzeń. |
Oszczędność czasu w organizacji | Głównie pośrednia: ograniczenie ryzyka incydentów; logowanie może wymagać dodatkowej czynności. |
Podsumowanie
MFA wzmacnia ochronę kont przez wymaganie dodatkowego potwierdzenia tożsamości. LOGITO dokumentuje logowanie z drugim składnikiem w postaci kodu i możliwość jego włączenia dla użytkownika. Skuteczne wdrożenie wymaga właściwej konfiguracji, przygotowania pracowników i sprawdzonego sposobu odzyskiwania dostępu.