Co to jest uwierzytelnianie wieloczynnikowe (MFA)?

Jak działa uwierzytelnianie wieloczynnikowe?

Uwierzytelnianie wieloczynnikowe (MFA) wykorzystuje wiele technologii do uwierzytelniania tożsamości użytkownika. W przeciwieństwie do tego, uwierzytelnianie jednoczynnikowe (lub po prostu "uwierzytelnianie") wykorzystuje pojedynczą technologię do udowodnienia autentyczności użytkownika. W przypadku MFA, użytkownicy muszą połączyć technologie weryfikacji z co najmniej dwóch różnych grup lub czynników uwierzytelniania. Czynniki te dzielą się na trzy kategorie: coś, co wiesz, coś, co masz i coś, kim jesteś. Z tego powodu używanie kodu PIN i hasła (oba z kategorii "coś, co wiesz") nie byłoby uważane za uwierzytelnianie wieloczynnikowe, podczas gdy używanie kodu PIN i rozpoznawania twarzy (z kategorii "coś, czym jesteś") byłoby. Należy pamiętać, że hasło nie jest wymagane, aby zakwalifikować się do MFA. Rozwiązanie MFA może być całkowicie pozbawione hasła.

Dopuszczalne jest również stosowanie więcej niż dwóch metod uwierzytelniania. Jednak większość użytkowników chce uwierzytelniania bez tarcia (możliwość bycia zweryfikowanym bez konieczności przeprowadzania weryfikacji).

Jakie czynniki uwierzytelniające są wykorzystywane w MFA?

Poniżej przedstawiamy trzy główne kategorie:

Coś, co znasz (czynnik wiedzy)
Jest to zazwyczaj hasło, kod PIN lub hasło lub zestaw pytań bezpieczeństwa i odpowiadających im odpowiedzi, które zna tylko dana osoba. Aby wykorzystać czynnik wiedzy do MFA, użytkownik końcowy musi poprawnie wprowadzić informacje odpowiadające danym, które zostały wcześniej zapisane w aplikacji online.
Coś, co posiadasz (czynnik posiadania)
Przed smartfonami użytkownicy nosili przy sobie tokeny lub karty elektroniczne, które generowały jednorazowe hasło lub kod dostępu (OTP), który można było wprowadzić do aplikacji online. Obecnie większość użytkowników instaluje na swoim smartfonie aplikację uwierzytelniającą, która generuje klucze bezpieczeństwa OTP.
Coś, czym jesteś (czynnik dziedziczenia)
Dane biometryczne dotyczące danej osoby obejmują odciski palców, skany siatkówki oka, rozpoznawanie twarzy i głosu oraz zachowania (takie jak siła lub szybkość pisania lub machania na ekranie).

Aby uzyskać uwierzytelnianie wieloczynnikowe, do procesu uwierzytelniania muszą być użyte co najmniej dwie różne technologie z co najmniej dwóch różnych grup technologicznych. W rezultacie stosowanie kodu PIN w połączeniu z hasłem nie byłoby uznawane za uwierzytelnianie wieloczynnikowe, podczas gdy stosowanie kodu PIN z rozpoznawaniem twarzy jako drugiego czynnika - tak. Dopuszczalne jest również stosowanie więcej niż dwóch form uwierzytelniania. Jednak większość użytkowników coraz częściej chce uwierzytelniania bez tarcia (możliwość bycia zweryfikowanym bez konieczności przeprowadzania weryfikacji)

Jaka jest różnica między uwierzytelnianiem dwuskładnikowym a wieloczynnikowym?

Aby uznać dane rozwiązanie za uwierzytelnianie dwuskładnikowe (2FA), zawsze wymaga ono od użytkownika przedstawienia dwóch czynników uwierzytelniających z dwóch różnych kategorii, takich jak czynnik posiadania i czynnik wiedzy, w celu zweryfikowania jego tożsamości. Uwierzytelnianie wieloczynnikowe ma szerszy zakres niż uwierzytelnianie dwuskładnikowe. Wymaga on od organizacji wykorzystania dwóch lub więcej czynników w procesie uwierzytelniania.

Jakie są różne rodzaje technologii uwierzytelniania wieloczynnikowego?

Poniżej przedstawiono typowe technologie MFA:

Uwierzytelnianie biometryczne
Technologie biometryczne są formą uwierzytelniania, która dokładnie i bezpiecznie uwierzytelnia użytkowników za pomocą ich urządzeń mobilnych. Najczęściej stosowanymi metodami biometrycznymi są skanowanie linii papilarnych i rozpoznawanie twarzy. Uwierzytelnianie biometryczne obejmuje również biometrię behawioralną, która zapewnia niewidzialną warstwę bezpieczeństwa poprzez ciągłe uwierzytelnianie osoby na podstawie unikalnych sposobów interakcji z komputerem lub urządzeniem mobilnym: naciśnięcia klawiszy, wzór machnięcia palcem, ruchy myszy i inne.
Sprzętowe tokeny sprzętowe
Sprzętowe urządzenia uwierzytelniającetomałe, łatwe w użyciu urządzenia, które właściciel nosi przy sobie w celu autoryzacji dostępu do usługi sieciowej. Dzięki obsłudze silnego uwierzytelniania za pomocą kodów jednorazowych (OTP), tokeny fizyczne stanowią czynnik posiadania dla uwierzytelniania wieloczynnikowego, zapewniając jednocześnie większe bezpieczeństwo bankom i dostawcom aplikacji, którzy muszą zabezpieczyć wiele aplikacji za pomocą jednego urządzenia.
Uwierzytelnianiemobilne
Uwierzytelnianie mobilne to proces weryfikacji użytkownika za pomocą jego urządzenia z systemem Android lub iOS lub weryfikacji samego urządzenia. Technologia ta pozwala użytkownikom logować się do bezpiecznych lokalizacji i uzyskiwać dostęp do zasobów z dowolnego miejsca przy zachowaniu zwiększonego bezpieczeństwa.
Uwierzytelnianie pozapasmowe
Ten typ uwierzytelniania wymaga zastosowania dodatkowej metody weryfikacji poprzez oddzielny kanał komunikacyjny, zazwyczaj połączenie internetowe danej osoby oraz sieć bezprzewodową, w której działa jej telefon komórkowy. Są to przykłady technologii pozapasmowych:
- Kod Cronto®
  Ten kolorowy kod przypominający QR może uwierzytelnić lub autoryzować transakcję finansową. Osoba widzi ten kolorowy kod QR wyświetlany przez przeglądarkę internetową. Tylko urządzenie zarejestrowane przez daną osobę może odczytać i odszyfrować kod. Zawiera on szczegóły transakcji, które użytkownik może zweryfikować przed jej dokonaniem, co czyni go bardzo bezpiecznym.
- Powiadomienie Push
  Powiadomienia Push dostarczają kod uwierzytelniający lub jednorazowy kod dostępu na urządzenie mobilne użytkownika. W przeciwieństwie do wiadomości SMS, powiadomienie pojawia się na ekranie blokady urządzenia.
- Wiadomość tekstowa SMS lub wiadomość głos
  owa Kody jednorazowe są dostarczane do urządzenia mobilnego użytkownika za pośrednictwem wiadomości tekstowej SMS lub wiadomości głosowej.
- Soft token
  Oprogramowanie uwierzytelniające lub "tokeny oparte na aplikacji" generują jednorazowy kod PIN do logowania. Często te tokeny programowe są wykorzystywane w przypadkach użycia MFA, w których urządzenie użytkownika - w tym przypadku smartfon - zapewnia czynnik posiadania.

Dlaczego organizacje potrzebują uwierzytelniania wieloczynnikowego?

Oszustwa polegające na przejęciu konta (ATO) są rosnącym zagrożeniem cyberbezpieczeństwa, napędzanym przez wyrafinowaną inżynierię społeczną (np. ataki phishingowe), mobilne złośliwe oprogramowanie i inne ataki. Prawidłowo zaprojektowane i wdrożone metody MFA są bardziej niezawodne i skuteczne w walce z wyrafinowanymi atakami niż przestarzałe uwierzytelnianie jednoczynnikowe za pomocą nazwy użytkownika/hasła, które może być łatwo skompromitowane przez cyberprzestępców za pomocą powszechnie dostępnych narzędzi hakerskich.

Jakie są kluczowe korzyści z MFA?

Jako część strategii bezpieczeństwa, organizacje wykorzystują MFA, aby osiągnąć:

Większe bezpieczeństwo U
wierzytelnianie wieloczynnikowe zapewnia większe bezpieczeństwo w porównaniu z hasłami statycznymi i procesami uwierzytelniania jednoczynnikowego.
Zgodność z przepisami prawnymi
Uwierzytelnianie wieloczynnikowe może pomóc organizacjom w zachowaniu zgodności z przepisami branżowymi. Na przykład MFA jest niezbędna do spełnienia wymogu silnego uwierzytelniania określonego w dyrektywie PSD2 dla silnego uwierzytelniania klienta (SCA).
Lepsze doświadczenie użytkownika
Zniesienie zależności od haseł może poprawić doświadczenie klienta. Skupiając się na wyzwaniach uwierzytelniania o niskim współczynniku tarcia, organizacje mogą zwiększyć bezpieczeństwo i poprawić doświadczenia użytkowników.

W jaki sposób cloud computing wpływa na MFA?

Banki, instytucje finansowe i inne organizacje świadczące usługi finansowe zaczynają odchodzić od aplikacji hostowanych wewnętrznie na rzecz aplikacji opartych na chmurze, takich jak Office 365, Salesforce, Slack i OneSpan Sign. W rezultacie, ilość wrażliwych danych i plików przechowywanych w chmurze rośnie, zwiększając ryzyko naruszenia bezpieczeństwa danych osobowych (PII), które napędza przejęcia kont. Dodatkowym zagrożeniem dla bezpieczeństwa jest fakt, że użytkownicy aplikacji SaaS mogą znajdować się w dowolnym miejscu, nie tylko w sieci korporacyjnej. Dodatkowe warstwy bezpieczeństwa zapewniane przez MFA w porównaniu z prostą ochroną hasłem mogą pomóc w przeciwdziałaniu tym zagrożeniom. Oprócz wiedzy, posiadania i czynników dziedziczenia, niektóre technologie MFA wykorzystują czynniki lokalizacyjne, takie jak adresy MAC (Media Access Control) urządzeń, aby zapewnić, że zasób jest dostępny tylko z określonych urządzeń.

Innym sposobem, w jaki chmura wpływa na MFA, jest hosting rozwiązań MFA w chmurze, które są zazwyczaj bardziej opłacalne we wdrożeniu, mniej skomplikowane w administrowaniu i bardziej elastyczne niż rozwiązania dostępne lokalnie. Produkty oparte na chmurze mogą oferować więcej opcji skierowanych do użytkowników mobilnych, takich jak mobilne aplikacje uwierzytelniające, powiadomienia push, analiza kontekstowa, np. geolokalizacja, oraz biometria.

Jak banki mogą zacząć korzystać z uwierzytelniania wieloczynnikowego?

Rozwiązania OneSpan w zakresie uwierzytelniania wieloczynnikowego zostały zaprojektowane od podstaw w celu zabezpieczenia kont i transakcji poprzez oferowanie wielu czynników uwierzytelniania przy jednoczesnym spełnieniu wymagań dotyczących prostego procesu logowania. Firma OneSpan zainwestowała wiele czasu i zasobów, aby stworzyć łatwe w użyciu, skalowalne i niezawodne rozwiązania, które zapewniają silne uwierzytelnianie przy użyciu szeregu łatwych opcji weryfikacji - takich jak kolorowe kody QR i Bluetooth. Obejmują one:

Dlaczego konsumenci usług finansowych powinni korzystać z MFA?

Konsumenci powinni korzystać z MFA zawsze, gdy mają dostęp do wrażliwych danych. Dobrym przykładem jest korzystanie z bankomatu w celu uzyskania dostępu do konta bankowego. Właściciel konta korzysta z MFA łącząc coś, co zna (PIN) z czymś, co posiada (karta bankomatowa). Podobnie, logując się do konta Facebook, Google lub Microsoft z nowego miejsca lub urządzenia, konsumenci korzystają z MFA, wprowadzając coś, co znają (hasło) oraz drugi czynnik, czyli coś, co posiadają (aplikacja mobilna, która otrzymuje powiadomienie push lub SMS).

Uwierzytelnianie wieloczynnikowe FAQ

Co sprawia, że MFA jest tak bezpieczna?

Uwierzytelnianie wieloskładnikowe stanowi dodatkową warstwę uwierzytelniania, która znacznie utrudnia cyberprzestępcom skuteczne włamywanie się na konta. Standardowe dane uwierzytelniające (nazwa użytkownika i hasło) są stosunkowo łatwe do uzyskania przez podmioty stanowiące zagrożenie przy użyciu phishingu oraz innych powszechnie dostępnych narzędzi i zasobów. Ponadto, powszechna praktyka ponownego wykorzystywania hasła umożliwia hakerowi narażenie na szwank wielu kont za pomocą jednego udanego ataku. W przypadku MFA dane uwierzytelniające muszą pochodzić z dwóch lub więcej różnych kategorii: coś, co znasz (hasło), coś, co posiadasz (kod SMS, karta inteligentna, aplikacja uwierzytelniająca lub token sprzętowy, znany również jako brelok) oraz coś, kim jesteś (dane biometryczne). Złodzieje musieliby wykraść przedmioty poza hasłem, takie jak smartfon czy karta bankowa, co znacznie utrudniłoby im przejęcie kontroli nad Twoim kontem. National Institute of Standards and Technology (NIST) zaleca stosowanie MFA zawsze, gdy jest to możliwe, zwłaszcza w przypadku najbardziej wrażliwych danych, takich jak konta finansowe i dokumentacja zdrowotna.

Co to są "atrybuty ukryte" i czy liczą się one jako czynniki?

Określane również jako uwierzytelnianie kontekstowe, ukryte atrybuty wykorzystują geolokalizację, adres IP, porę dnia i identyfikatory urządzenia, takie jak system operacyjny lub wersja przeglądarki telefonu komórkowego, aby pomóc w ustaleniu, czy tożsamość użytkownika jest autentyczna. Chociaż ukryte atrybuty nie są czynnikami uwierzytelniającymi, ponieważ nie potwierdzają tożsamości użytkownika ani nie zapewniają weryfikacji tożsamości, mogą one pomóc wzmocnić bariery dla cyberataków.

Jaka jest różnica między uwierzytelnianiem dwuskładnikowym a MFA?

Uwierzytelnianie dwuskładnikowe (2FA) to podzbiór uwierzytelniania MFA, który wykorzystuje dwa czynniki z dwóch powyższych kategorii - coś, co wiesz, coś, co masz i coś, kim jesteś - do weryfikacji tożsamości. Uwierzytelnianie wieloczynnikowe może obejmować więcej niż dwa czynniki, chociaż wiele rozwiązań uwierzytelniania wieloczynnikowego wykorzystuje dwa czynniki.
Logicznym pytaniem jest, czy MFA jest bezpieczniejsze niż uwierzytelnianie drugiego czynnika. Ogólnie rzecz biorąc, im więcej czynników jest wymaganych, tym silniejsza jest ochrona zarządzania dostępem; jednak rodzaj czynnika również odgrywa rolę. Dane biometryczne są znacznie trudniejsze do wykradzenia niż hasła. Ponadto większość użytkowników końcowych pragnie prostszego procesu uwierzytelniania i może próbować znaleźć obejścia, jeśli liczba wymaganych czynników stanie się uciążliwa. W rezultacie, modernizacja doświadczenia użytkownika w zakresie uwierzytelniania jest obecnie głównym celem dla wielu banków i instytucji finansowych, zwłaszcza dla użytkowników mobilnych korzystających z aplikacji mobilnej banku.

Jakim typom cyberataków MFA może pomóc zapobiec?

MFA pomaga udaremnić następujące rodzaje cyberataków poprzez wymaganie od użytkownika dodatkowych informacji lub poświadczeń.

Atak phishingowy:
Szczególnie teraz, przy ogromnym wzroście liczby osób pracujących zdalnie, ataki phishingowe są wykorzystywane w celu nakłonienia pracowników do podania danych uwierzytelniających do sieci, często poprzez wykorzystanie złośliwych linków i załączników lub fałszywych stron logowania do aplikacji SaaS, takich jak Microsoft Office 365. Gdy organizacje wymagają co najmniej dwóch rodzajów uwierzytelniania, takich jak jednorazowy kod dostępu oprócz identyfikatora użytkownika i hasła, złodziejom tożsamości trudniej jest przeniknąć do sieci korporacyjnej lub VPN.
Podmiana SIM:
Ten rodzaj ataku polega na podszywaniu się pod użytkownika urządzenia mobilnego. Napastnicy próbują przekonać dostawcę usług komórkowych użytkownika, aby przeniósł jego dane na nową kartę SIM (subscriber identity module), ponieważ oryginalna karta lub urządzenie zostały utracone lub uszkodzone. Jeśli się powiedzie, podmiana SIM przenosi "własność" numeru telefonu komórkowego na atakującego, który może przechwycić kody SMS wysyłane do urządzenia. Aby przeciwdziałać podmianie SIM, MFA oferuje szereg silnych metod uwierzytelniania (biometria, tokeny programowe, klucze bezpieczeństwa), które pozwalają uniknąć stosowania kodów SMS.
Mobilne
złośliwe oprogramowanie:Ten rodzaj złośliwego oprogramowania jest skierowany na urządzenia mobilne w celu uzyskania dostępu do prywatnych danych. Przykłady obejmują trojany bankowe i mobilne oprogramowanie ransomware. Niestety, hakerzy coraz częściej skupiają się na omijaniu zabezpieczeń MFA dla urządzeń mobilnych, zwłaszcza haseł jednorazowych wysyłanych SMS-em. Aby przeciwdziałać próbom obejścia MFA, zaleca się unikanie SMS-ów i wybieranie silniejszych metod, takich jak biometria (odcisk palca, skan twarzy lub siatkówki oka) i powiadomienia push

Co to jest uwierzytelnianie adaptacyjne?

Uwierzytelnianie adaptacyjne, zwane również uwierzytelnianiem opartym na ryzyku, jest rodzajem MFA, które dostosowuje wymagane czynniki uwierzytelniające w oparciu o poziom ryzyka transakcji. Wykorzystuje on reguły antyfraudowe, aby wywołać predefiniowaną reakcję na próbę uwierzytelnienia. Odpowiedni rodzaj uwierzytelnienia może być zdefiniowany dla odpowiedniego rodzaju postrzeganego ryzyka w oparciu o znane punkty danych.Na przykład, próby z określonej lokalizacji (np. spoza kraju klienta) mogą zostać zdefiniowane w celu uruchomienia określonego rodzaju kombinacji MFA.
Adaptacyjne uwierzytelnianie eliminuje problem "jednego rozmiaru dla wszystkich", który nęka większość dzisiejszych systemów uwierzytelniania: codzienne logowanie z tej samej lokalizacji wymaga tego samego poziomu uwierzytelniania, co zupełnie nowe logowanie z silnie zaatakowanej lokalizacji. Te dwa logowania powinny być traktowane z różnymi poziomami uwierzytelniania.
Inteligentne uwierzytelnianie adaptacyjne idzie o krok dalej, wykorzystując reguły zapobiegające oszustwom wraz z algorytmami uczenia maszynowego, aby zapoznać się z rolą użytkownika i typowymi scenariuszami dostępu, w tym lokalizacjami, urządzeniami i adresami IP. Za każdym razem, gdy użytkownik próbuje się uwierzytelnić, inteligentny adaptacyjny system uwierzytelniania analizuje wszystkie dane kontekstowe, ocenia je w celu określenia skłonności do ryzyka i dostosowuje proces uwierzytelniania do tego poziomu ryzyka.
Jedną z zalet tego podejścia jest elastyczność. Zamiast egzekwować ten sam standardowy wymóg MFA dla każdego użytkownika, adaptacyjne uwierzytelnianie dostosowuje się do sytuacji, upraszczając i przyspieszając rutynowe, mało ryzykowne próby dostępu oraz zwiększając bezpieczeństwo w przypadku prób dostępu o wyższym ryzyku.

Co to są mechanizmy pozapasmowe w MFA i jak one działają?

Uwierzytelnianie pozapasmowe to rodzaj MFA, który wymaga zastosowania dodatkowej metody weryfikacji poprzez oddzielny kanał komunikacyjny. Zazwyczaj polega to na wysłaniu jednorazowego kodu dostępu (OTP) na telefon komórkowy użytkownika, który ma być zastosowany w połączeniu z chronionym hasłem połączeniem internetowym na innym urządzeniu, takim jak komputer stacjonarny lub laptop.
Uwierzytelnianie za pomocą dwóch oddzielnych, niepołączonych kanałów, które musiałyby być jednocześnie złamane przez atakującego, czyni udaną kompromitację znacznie mniej prawdopodobną. Uwierzytelnianie pozapasmowe jest często stosowane przez banki i inne instytucje finansowe o rygorystycznych wymaganiach bezpieczeństwa.

Istnieje kilka sposobów na dostarczenie haseł jednorazowych do urządzenia mobilnego:

Kod QR lub kryptogram wizualny
Powiadomienie Push
SMS (należy pamiętać, że SMS nie jest już zalecanym środkiem bezpieczeństwa, ponieważ hakerowi bardzo łatwo jest ukraść numer telefonu komórkowego użytkownika przy użyciu metody podmiany SIM w celu uzyskania haseł SMS).

Inne metody obejmują wymaganie od użytkownika, aby:

Wykonać połączenie telefoniczne z zarejestrowanego urządzenia (często używane do aktywacji nowej karty kredytowej)
Odpowiedzieć na automatycznie wygenerowany telefon z banku lub innej instytucji
Otrzymują OTP w aplikacji na telefon lub poprzez powiadomienie push, aby autoryzować transakcję w bankomacie lub uzyskać dostęp do portalu internetowego.

Jakie technologie są obecnie badane w celu usprawnienia MFA dla użytkowników mobilnych?

Ponieważ rozwiązania MFA wymuszają dodatkowe środki uwierzytelniania, mogą sprawić, że proces dostępu do konta lub portalu będzie bardziej uciążliwy, szczególnie dla użytkowników telefonów komórkowych. To dodatkowe obciążenie, które spowalnia ludzi lub utrudnia im wykonanie zadania, nazywane jest "tarciem". Aby usprawnić proces uwierzytelniania i zmniejszyć tarcie, nowe "pasywne" technologie działają w tle, nie wymagając działania użytkownika. Jednym z przykładów jest behawioralne uwierzytelnianie biometryczne, które identyfikuje osobę na podstawie jej unikalnych wzorców pisania lub machania podczas interakcji ze smartfonem lub tabletem.
Organizacja Fast Identity Online (FIDO) Alliance została stworzona, aby pomóc w zmniejszeniu zależności od haseł poprzez zastosowanie uwierzytelniania bezhasłowego. Protokoły FIDO wspierają technologie uwierzytelniania, w tym biometrię. Protokół FIDO 2, wdrożony przez Google, Microsoft i innych dostawców, pozwala ludziom używać tokenów sprzętowych zgodnych z FIDO do uwierzytelniania się w przeglądarce bez konieczności wpisywania nazwy użytkownika i hasła. Podobnie, wiele dużych banków wdraża ten protokół, aby umożliwić urządzeniom mobilnym obsługującym FIDO uwierzytelnianie się w ich aplikacjach bankowych bez konieczności wpisywania przez użytkownika końcowego nazwy użytkownika i hasła.

Co to jest standard WebAuthn i jak może on pomóc we wzmocnieniu bezpieczeństwa bankowości internetowej?

WebAuthn próbuje wprowadzić technologię uwierzytelniania w stylu FIDO do aplikacji internetowych.Zapewnia on standardowy sposób dla programistów aplikacji internetowych do implementacji bezpiecznego uwierzytelniania wieloczynnikowego bez konieczności korzystania z bibliotek i systemów uwierzytelniania innych firm.WebAuthn przynosi bezpieczeństwo biometrii i silne uwierzytelnianie do aplikacji internetowych, które wcześniej wymagały ciężkich back-endów i dodatkowych rozważań inżynierskich. Protokół WebAuthn został zaprojektowany, aby dać deweloperom nowszych aplikacji typu single page (SPA) i progresywnych aplikacji internetowych (PWA) sposób na wdrożenie silnego uwierzytelniania wykorzystującego wbudowane technologie urządzeń lokalnych, do których strony internetowe nie miały wcześniej łatwego dostępu.

Skontaktuj się z nami

Skontaktuj się z jednym z naszych ekspertów ds. bezpieczeństwa, aby dowiedzieć się więcej o tym, jak nasze rozwiązania mogą pomóc w Twoich potrzebach w zakresie bezpieczeństwa cyfrowego

Skontaktuj się z nami