#mfa

Hasło było kiedyś jedynym dowodem tożsamości w internecie i przez lata wystarczało. Przestało, ponieważ hasła wyciekają hurtowo, a osoba, która je zna, wygląda dla systemu dokładnie tak samo jak właściciel konta.

Czym jest MFA

MFA to uwierzytelnianie wieloskładnikowe, czyli logowanie wymagające co najmniej dwóch niezależnych dowodów tożsamości. Pierwszym zwykle pozostaje hasło, czyli coś, co użytkownik wie. Drugim jest coś, co ma przy sobie, albo coś, czym jest.

Trzy rodzaje drugiego składnika spotyka się najczęściej: kod generowany przez aplikację w telefonie, potwierdzenie zatwierdzane dotknięciem ekranu oraz klucz sprzętowy wpinany do portu albo przykładany do telefonu. Odcisk palca i skan twarzy zwykle nie są osobnym składnikiem wysyłanym do serwisu, tylko sposobem odblokowania tego, co i tak leży w urządzeniu.

Jak działa drugi składnik

Najłatwiej widać to na drugim zamku wprawionym w te same drzwi. Złodziej, który dorobił klucz do pierwszego zamka, staje przed drzwiami i nic z tego nie ma, bo drugi zamek otwiera się kluczem, którego nie skopiował, a którego nie da się skopiować zdalnie.

Po metaforze konkret, bo nie wszystkie drugie zamki są równie mocne. Kod z aplikacji można podyktować przez telefon oszustowi podającemu się za dział pomocy, i tak wygląda większość udanych ataków na konta chronione kodem. Klucza sprzętowego podyktować się nie da, ponieważ sprawdza on adres strony, na której właśnie trwa logowanie, i przy stronie podszywającej się pod firmową po prostu milczy.

Czym różni się od dostępu warunkowego

Drugi składnik bywa mylony z regułami logowania i to nieporozumienie kosztuje firmy pieniądze, bo obie rzeczy kupuje się osobno. MFA sprawdza, czy osoba ma klucz. Dostęp warunkowy sprawdza warunki, na jakich go używa: z jakiego urządzenia przychodzi, z jakiego kraju, czy sprzęt jest firmowy i czy ma szyfrowany dysk.

Wynika z tego rzecz istotna przy zakupie: logowanie wieloskładnikowe bywa dostępne w podstawowych planach usług, natomiast reguły opisujące warunki dostępu należą zwykle do droższych. Argument „weźmiemy wyższy plan dla bezpieczeństwa logowania” bywa więc w tej jednej sprawie nietrafiony.

Gdzie włącza się to najpierw

Kolejność jest ustalona i wynika z tego, gdzie atak przynosi napastnikowi najwięcej. Najpierw poczta, bo skrzynka jest kluczem do resetu haseł we wszystkich pozostałych usługach. Potem dostęp zdalny do sieci firmowej. Potem panele administracyjne: konsola serwera pocztowego, panel firewalla, panel systemu kopii zapasowych, konsola narzędzia do automatyzacji.

Ta ostatnia grupa bywa pomijana, choć jest najgroźniejsza. Panel systemu kopii zapasowych albo konsola zarządzania stacjami mają uprawnienia szersze niż konto dowolnego pracownika, a ich przejęcie otwiera napastnikowi wszystkie systemy naraz, bez potrzeby atakowania każdego z osobna.

Na co uważać

Zmiana telefonu potrafi odciąć pracownika od wszystkiego naraz. Kody z aplikacji są przywiązane do urządzenia, więc osoba, która przełożyła kartę do nowego aparatu, odzyskuje dostęp dopiero przez kody zapasowe wygenerowane przy konfiguracji. Firmy zwykle o nich zapominają i jedyną drogą powrotu zostaje konto administratora, które w małych organizacjach bywa jedno i bywa objęte dokładnie tym samym problemem.

Osobno warto pamiętać o kontach, które nie należą do ludzi. Skaner wysyłający dokumenty na skrzynkę, system wystawiający faktury, integracja z bankiem: żadne z nich nie zatwierdzi powiadomienia w telefonie, więc obejmuje się je innym mechanizmem, a nie wyłącza się dla nich wymogu na całą firmę.

Czego MFA nie zatrzyma

Drugi składnik nie chroni przed sesją już przejętą. Napastnik, który wykradł ciasteczko zalogowanej przeglądarki, wchodzi bez pytania o cokolwiek, ponieważ system uznał logowanie za zakończone dawno temu.

Nie zastępuje też porządku w kontach. Konto po byłym pracowniku, do którego nikt nie odebrał uprawnień, jest równie otwarte z drugim składnikiem, jak bez niego, o ile ta osoba ma dalej swój telefon. Uwierzytelnianie odpowiada na pytanie, kto wchodzi, a nie na pytanie, komu wolno wejść, i mylenie tych dwóch pytań zostawia w firmie dziurę, której żadna aplikacja z kodami nie zamknie.