Vícefaktorová autentifikace (MFA)

Co dělá

Při zapnuté MFA nestačí k přihlášení znát heslo. Po zadání hesla musí osoba zadat 6místný kód vygenerovaný aplikací pro autentifikaci na svém telefonu (například Google Authenticator, Authy nebo 1Password). Kód je TOTP - jednorázové heslo závislé na čase. Nový kód se objeví každých 30 sekund a platí pouze po tuto krátkou dobu.

• Nastavení zobrazí QR kód. Naskenováním tohoto kódu pomocí aplikace pro autentifikaci se přidá účet, poté zadáním aktuálního kódu z aplikace se potvrdí, že vše funguje, a MFA se zapne.
• Odtud dál přihlášení i citlivé stránky, jako je Můj profil, žadají o kód.
• Vypnutí odstraní MFA z účtu.

Jak to funguje a proč

Při nastavení aplikace vytváří náhodný tajný klíč, uloží ho zašifrovaný a zobrazí jako QR kód. Tajný klíč zůstává uzamčený, dokud není ověřen první kód - takže nedokončené nastavení nikoho nezamkne. Pokud je zadaný kód chybný, aplikace jednoduše požádá znovu o stejný QR kód; nic se neaktivuje, dokud některý kód odpovídá.

Tajný klíč se zašifruje ještě před uložením, takže ani kopie databáze kódy neodhalí. Vypnutí MFA vyžaduje být přihlášen, což znamená, že cizí osoba ji nemůže vypnout, aniž by prošla právě tím kontrolním krokem, který MFA vynucuje.

Časté použití

• Ochrana admin účtů, které by mohly měnit nastavení jiných lidí.
• Přidání druhého zámku pro účty přístupné ze sdílených nebo cestovních zařízení.
• Splnění bezpečnostní politiky, která vyžaduje MFA pro přihlášení zaměstnanců.