Czym jest uwierzytelnianie wieloskładnikowe? Jak działa MFA i kiedy zawodzi

Uwierzytelnianie wieloskładnikowe (MFA) to metoda logowania, która przed przyznaniem dostępu wymaga podania co najmniej dwóch różnych rodzajów potwierdzenia: czegoś, co znasz, np. hasła, oraz czegoś, co posiadasz, np. telefonu, albo czegoś, czym jesteś, np. odcisku palca. Samo skradzione hasło nie wystarcza już wtedy do przejęcia konta. To sprawia, że MFA jest jednym z najskuteczniejszych środków bezpieczeństwa, jakie organizacja może wdrożyć.

Ale uwierzytelnianie wieloskładnikowe (MFA) to nie pole siłowe. Atakujący nauczyli się zasypywać pracowników prośbami o logowanie, aż ktoś kliknie „zatwierdź”, kradnąć pliki cookie sesji przez fałszywe strony logowania oraz namawiać pracowników pomocy technicznej do zresetowania numeru telefonu. W tym artykule wyjaśniamy, jak działa MFA, które formy są bezpieczne, a które słabe, jak atakujący je omijają oraz czego oczekują organy regulacyjne w Wielkiej Brytanii, UE i USA.

Jak działa uwierzytelnianie wieloskładnikowe

Każdy czynnik uwierzytelniający należy do jednej z trzech kategorii. Uwierzytelnianie wieloskładnikowe (MFA) uznaje się za wieloskładnikowe tylko wtedy, gdy czynniki pochodzą z różnych kategorii; dwa hasła to wciąż tylko jeden czynnik.

• Coś, co znasz. Hasło, kod PIN albo odpowiedź na pytanie zabezpieczające.
• Coś, co masz. Telefon z aplikacją do uwierzytelniania, sprzętowy klucz bezpieczeństwa albo karta chipowa.
• To coś, co cię wyróżnia. Odcisk palca, skan twarzy lub inna cecha biometryczna, zazwyczaj weryfikowana na twoim własnym urządzeniu.

Uwierzytelnianie dwuskładnikowe (2FA) to po prostu uwierzytelnianie wieloskładnikowe (MFA) z dokładnie dwoma składnikami, a w praktyce te terminy są używane zamiennie. Ważniejsze od liczby składników jest to, jak odporny jest każdy z nich na phishing i manipulację.

Rodzaje MFA, od najsłabszego do najsilniejszego

1. Kody SMS i głosowe. To lepsze rozwiązanie niż samo hasło, ale narażone na atak typu „swap SIM”, w którym przestępca przekonuje operatora komórkowego, żeby przeniósł twój numer na swoją kartę SIM.
2. Kody wysyłane e-mailem. Są tak samo bezpieczne jak skrzynka pocztowa, która często jest chroniona tym samym hasłem, które atakujący już zna.
3. Kody z aplikacji uwierzytelniającej. Sześciocyfrowy kod, który zmienia się co 30 sekund. To o wiele bezpieczniejsze niż SMS-y, ale pracownik wciąż może go wpisać na fałszywej stronie logowania.
4. Powiadomienia push z weryfikacją numeru. Aplikacja prosi cię o potwierdzenie logowania i wpisanie numeru wyświetlonego na ekranie. To zapobiega automatycznemu zatwierdzaniu, choć zdeterminowany atakujący wciąż może spróbować nakłonić kogoś do wykonania tej czynności.
5. Klucze dostępu i klucze bezpieczeństwa. Działają one w oparciu o standard FIDO2 i działają wyłącznie na prawdziwej stronie internetowej, więc strona phishingowa nie uzyska żadnych danych. To właśnie agencje bezpieczeństwa nazywają odpornym na phishing uwierzytelnianiem wieloskładnikowym (MFA).

Jak hakerzy omijają uwierzytelnianie wieloskładnikowe (MFA)

• Zmęczenie metodą MFA. Korzystając ze skradzionego hasła, haker wysyła jedno żądanie logowania za drugim, często w nocy, aż pracownik zatwierdzi któreś z nich, żeby w końcu przestały pojawiać się powiadomienia.
• Phishing typu „adversary-in-the-middle”. Fałszywa strona logowania przekazuje w czasie rzeczywistym wszystkie dane do prawdziwej witryny, w tym kod uwierzytelniania wieloskładnikowego (MFA), i kradnie plik cookie sesji, który utrzymuje ofiarę zalogowaną. Nasze zestawienie rodzajów ataków phishingowych pokazuje, jak przekonujące stały się te strony.
• Podmiana karty SIM. Atakujący przejmuje numer telefonu ofiary i odbiera kody SMS.
• Inżynieria społeczna w dziale pomocy technicznej. Dzwoniący podaje się za pracownika, który „zgubił telefon”, i prosi dział pomocy technicznej o zarejestrowanie nowego urządzenia. To działa zaskakująco często, bo pracownicy pomocy technicznej są przeszkoleni, żeby pomagać.

Wspólną cechą tych technik jest to, że nie niszczą one samej technologii. Przekonują one osobę, by wpuściła atakującego. Dlatego właśnie uwierzytelnianie wieloskładnikowe (MFA) i podnoszenie świadomości idą w parze.

Zmęczenie MFA: kiedy pracownik zatwierdza atakującego

Zjawisko „MFA fatigue”, znane też jako „push bombing”, stało się szeroko znane w 2022 roku, kiedy to atakujący w ten sposób włamał się do sieci Ubera. Po zalaniu systemu lawiną żądań push atakujący skontaktował się z pracownikiem przez WhatsApp, podając się za pracownika pomocy technicznej, i powiedział, że powiadomienia przestaną się pojawiać, gdy tylko jedno z nich zostanie zatwierdzone. Pracownik to zatwierdził, a atakujący uzyskał dostęp do sieci.

Ochrona opiera się częściowo na rozwiązaniach technicznych, a częściowo na czynniku ludzkim. Sprawdzanie zgodności numerów i ograniczenia dotyczące powtarzających się żądań utrudniają przeprowadzenie ataku. Równie ważna jest prosta zasada, którą każdy pracownik zna na pamięć: nigdy nie zatwierdzaj logowania, którego sam nie zainicjowałeś, i od razu zgłaszaj nieoczekiwane prośby o uwierzytelnianie wieloskładnikowe (MFA), bo to znaczy, że ktoś już ma twoje hasło.

Czego oczekują organy regulacyjne: MFA w Wielkiej Brytanii, UE i USA

• Wielka Brytania. Program Cyber Essentials wymaga uwierzytelniania wieloskładnikowego (MFA) w przypadku usług w chmurze, o ile jest to możliwe, a NCSC zaleca stosowanie go dla wszystkich ważnych kont.
• Unia Europejska. Dyrektywa NIS2 wyraźnie wymienia uwierzytelnianie wieloskładnikowe wśród środków bezpieczeństwa, które muszą uwzględnić podmioty o znaczeniu krytycznym i ważne, a RODO wymaga zastosowania odpowiednich środków technicznych w celu ochrony danych osobowych. W Polsce ustawa o KSC przenosi ten wymóg NIS2 do prawa krajowego, a CERT Polska zaleca uwierzytelnianie wieloskładnikowe dla wszystkich ważnych kont.
• Stany Zjednoczone. Agencja CISA zachęca organizacje do przejścia na uwierzytelnianie wieloskładnikowe (MFA) odporne na phishing, a rozporządzenie FTC w sprawie zabezpieczeń nakłada obowiązek stosowania MFA na wiele firm z branży finansowej, które przetwarzają dane klientów.

Wszędzie widać ten sam trend: uwierzytelnianie wieloskładnikowe (MFA) staje się standardem, a organy regulacyjne coraz częściej pytają nie tylko o to, czy jest włączone, ale też czy chroni przed phishingiem i czy pracownicy wiedzą, jak z niego bezpiecznie korzystać.

Jak wdrożyć uwierzytelnianie wieloskładnikowe (MFA) w pięciu krokach

1. Zacznij od kont, które są najważniejsze. Poczta e-mail, zdalny dostęp, konta administracyjne, systemy finansowe i wszystko, do czego można się dostać przez internet.
2. Wybierz najskuteczniejszą metodę, z której ludzie faktycznie będą korzystać. Aplikacje uwierzytelniające z dopasowywaniem numerów jako standardem, klucze dostępu lub klucze bezpieczeństwa dla administratorów i osób pełniących role wysokiego ryzyka.
3. Wzmocnij procedury w dziale pomocy technicznej. Ustalcie, w jaki sposób użytkownik musi potwierdzić swoją tożsamość przed zresetowaniem lub ponowną rejestracją urządzenia, i trzymajcie się tych zasad – nawet w przypadku prezesa.
4. Wyjaśnij, o co w tym chodzi i jakie są zasady. Pracownicy, którzy rozumieją, na czym polega zmęczenie uwierzytelnianiem wieloskładnikowym (MFA) i potrafią rozpoznać fałszywe strony logowania, potrafią zidentyfikować atak, gdy tylko go zobaczą.
5. Monitoruj sytuację i dbaj o ciągłe szkolenia. Zwracaj uwagę na powtarzające się nieudane lub odrzucone prośby o uwierzytelnianie wieloskładnikowe (MFA) i dbaj o to, by zasady były zawsze aktualne, organizując krótkie, cykliczne szkolenia.

Wskazówka: rozwijaj swoją ludzką stronę w ramach programu MFA z Guardey

Guardey dba o to, żeby pracownicy wiedzieli, jak się zachować, gdy uwierzytelnianie wieloskładnikowe (MFA) jest poddawane próbie. Co tydzień dostają około trzyminutowe zadanie – na laptopie albo w aplikacji mobilnej na iOS i Androida – dotyczące takich tematów jak nieoczekiwane prośby o logowanie, fałszywe strony logowania, oszustwa związane z pomocą techniczną oraz zasady bezpiecznego korzystania z haseł. Grywalizacja z rankingami i seriami sukcesów motywuje ludzi do działania, symulacje phishingu sprawdzają, czy potrafisz rozpoznać fałszywą stronę logowania, a raporty gotowe do audytu pokazują twoje postępy w zakresie zgodności z NIS2 i ISO 27001. Z Guardey korzysta już ponad 500 organizacji, w tym Parlament Europejski. Zobacz, jak działają nasze szkolenia z zakresu świadomości bezpieczeństwa.

Współpracujesz z partnerem IT? Zapytaj o coś więcej niż tylko włączenie uwierzytelniania wieloskładnikowego (MFA)

Wiele organizacji powierza zarządzanie swoimi kontami Microsoft 365, urządzeniami i bezpieczeństwem dostawcy usług zarządzanych (MSP) – firmie IT, która zajmuje się obsługą informatyczną innych przedsiębiorstw za miesięczną opłatą. Dla większości dostawców MSP wdrożenie uwierzytelniania wieloskładnikowego (MFA) to rutynowa sprawa. Jednak ataki, które omijają MFA, są wymierzone w osoby z niego korzystające, a nie w samą konfigurację. Jeśli MSP zarządza twoją infrastrukturą IT, zapytaj, jak chronią cię przed zmęczeniem związanym z MFA i fałszywymi stronami logowania. Dla dostawców MSP szkolenia to naturalna druga część usługi MFA.

Jednym ze sposobów, w jaki dostawcy usług zarządzanych (MSP) mogą oferować Guardey, jest współpraca z e92plus – dystrybutorem rozwiązań z zakresu cyberbezpieczeństwa, którego oferta obejmuje również zarządzanie tożsamością, dostępem i hasłami. Ich wewnętrzni inżynierowie wspierają partnerów od etapu prezentacji po wdrożenie, dzięki czemu rozwiązania w zakresie uwierzytelniania i podnoszenia świadomości można sprzedawać i dostarczać jako jedną usługę.

Najczęściej zadawane pytania dotyczące uwierzytelniania wieloskładnikowego

Czy MFA to to samo co 2FA?

Prawie. Uwierzytelnianie dwuskładnikowe wykorzystuje dokładnie dwa składniki, podczas gdy uwierzytelnianie wieloskładnikowe może wykorzystywać dwa lub więcej. W codziennym użyciu te terminy oznaczają to samo: dodatkowe potwierdzenie tożsamości oprócz hasła.

Czy MFA da się zhakować?

Samo uwierzytelnianie wieloskładnikowe (MFA) rzadko jest łamane, ale można je ominąć. Najczęstsze metody to zmęczenie MFA, fałszywe strony logowania, które kradną pliki cookie sesji, podmiana karty SIM oraz oszukanie działu pomocy technicznej. Metody odporne na phishing, takie jak klucze dostępu, w połączeniu z przeszkolonymi pracownikami, powstrzymują większość tych ataków.

Czym jest zmęczenie MFA?

„MFA fatigue” to atak, w którym przestępca, który już zna czyjeś hasło, wysyła kolejne prośby o logowanie, aż ofiara zatwierdzi jedną z nich z irytacji lub dezorientacji. Zasada, która pozwala temu zapobiec, jest prosta: nigdy nie zatwierdzaj prośby, której sam nie zainicjowałeś, i zgłoś ją.

Czym jest uwierzytelnianie wieloskładnikowe odporne na phishing?

Uodpornione na phishing uwierzytelnianie wieloskładnikowe (MFA) wykorzystuje klucze dostępu lub sprzętowe klucze bezpieczeństwa zgodne ze standardem FIDO2. Logowanie jest kryptograficznie powiązane z prawdziwą stroną internetową, więc fałszywa strona nie może przechwycić żadnych przydatnych danych. Agencje bezpieczeństwa, takie jak CISA i NCSC, zalecają to rozwiązanie, zwłaszcza administratorom.

MFA to wciąż jedna z najlepszych inwestycji w bezpieczeństwo, jaką może poczynić organizacja. Działa najlepiej wtedy, gdy osoby klikające „zatwierdź” wiedzą, kiedy tego nie robić.