MFA znamená Multi-Factor Authentication (vícefaktorové ověřování). Je to způsob přihlašování, který vyžaduje, aby se uživatel při přihlášení nebo ověřování identity prokázal více než jen heslem (jedním faktorem). Při multifaktorovém ověřování se kombinuje více způsobů ověření, tedy 2 a více. Dvoufaktorové ověření již patří mezi vícefaktorové. Jistě ho většina z nás známe z přihlašování do bankovních aplikací.
Co znamenají faktory (při ověřování)
- Něco, co víte – heslo, PIN, bezpečnostní otázka.
- Něco, co máte – mobilní telefon, hardwarový token, čipová karta.
- Něco, čím jste – biometrie (otisk prstu, rozpoznání obličeje, sken sítnice).
Příklady vícefaktorového ověřování:
- Přihlášení do e-mailu: zadáte heslo (1. faktor) a následně opíšete kód z aplikace v mobilu (2. faktor).
- Online bankovnictví: heslo + potvrzení přes mobilní aplikaci nebo SMS.
Jednoduše shrnuto
- MFA = méně pohodlné, ale mnohem bezpečnější a méně závislé na disciplíně uživatelů
- Zvyšuje ochranu proti krádeži identity.
- Snižuje riziko úspěšného útoku při úniku hesel.
- Je dnes standardem v bankovnictví, cloudových službách i firemních systémech.
Jaké jsou nejčastější další faktory pro MFA ověření ve firmách?
SMS nebo hlasový hovor s jednorázovým kódem (OTP)
- Uživatel dostane kód na mobilní číslo (SMS) nebo hovor s kódem, který zadá.
- Výhoda: jednoduché nasazení, uživatelé většinou mají mobil.
- Nevýhoda: zranitelné vůči např. „SIM swap“ útokům, odposlechu SMS, či man-in-the-middle útokům.
Aplikační autentikátor / mobilní aplikace generující kód nebo push notifikaci
- Např. aplikace jako Microsoft Authenticator, Google Authenticator, Duo Mobile, která vygeneruje časově platný kód nebo přijde push-žádost „Schválit přihlášení?“.
- Výhoda: bezpečnější než SMS, mnohdy lze zabránit phishingu efektivněji.
- Nevýhoda: vyžaduje smartphone / aplikaci, uživatel může ztratit zařízení.
Hardwarové tokeny / bezpečnostní klíče / smart karty
- Fyzické zařízení, které uživatel vlastní: např. USB-klíč (např. YubiKey), smart karta, čipová karta zaměstnance.
- Výhoda: velmi vysoká úroveň bezpečnosti, těžko napadnutelné vzdáleně.
- Nevýhoda: vyšší náklady, logistika, uživatelé si musejí zařízení fyzicky nosit.
Biometrie (otisk prstu, obličejová identifikace, hlasová identifikace)
- Druh „něco co je“. Např. otisk prstu, rozpoznání obličeje či sken duhovky.
- Výhoda: uživatelsky pohodlné, velmi individuální faktor.
- Nevýhoda: otázky ochrany soukromí, obtížné resetování či změna (na rozdíl od hesla).
Push notifikace / schválení přihlášení (na mobilu)
- Uživatel dostane notifikaci: „Pokoušíte se přihlásit z …? ANO / NE“. To je druhá fáze ověření.
- Výhoda: velmi pohodlné; uživatel jen klikne „ANO“.
- Nevýhoda: může být zneužito – např. útok „MFA fatigue“ (uživateli se posílá spousta žádostí, až jednou schválí omylem).