Multifaktorová autentizace
Jako autentizace se označuje postup, pomocí kterého dochází k ověření identity osoby. V informatice se typicky jedná o ověření pomocí jména a hesla, které osoba zadává při přihlašování k určitému systému.
Multifaktorová autentizace (MFA) je bezpečnostní proces, který pro ověření identity uživatele vyžaduje dva nebo více nezávislých faktorů. Kromě zadání přihlašovacího jména a hesla je zapotřebí totožnost potvrdit nějakým dalším způsobem (např. jednorázovým kódem z mobilní aplikace nebo SMS, biometrickým údajem jako otisk prstu nebo rozpoznání obličeje apod.).
Multifaktorová autentizace se někdy označuje i dalšími termíny, jako je např. vícefaktorové ověření, dvoufázová autentizace (2FA) apod.
Význam MFA
- Zvýšení bezpečnosti: Ztěžuje neoprávněným osobám přístup k online uživatelským účtům, i když znají heslo.
- Ochrana citlivých dat: Snižuje riziko krádeže identity a úniku dat uložených v online účtech, jako je internetové bankovnictví, e-mailové schránky nebo sociální sítě.
Jak MFA funguje
MFA obvykle zahrnuje něco, co uživatel zná (heslo nebo PIN), a něco, co má (například kód z mobilní aplikace, SMS nebo hardwarový klíč), nebo něco, čím uživatel je (biometrické údaje). Tímto způsobem se zvyšuje ochrana proti neoprávněnému přístupu k online účtům, jelikož útočník by musel získat dvě různé věci, aby se přihlásil.
- První faktor (znalost): Uživatel zadá své běžné uživatelské jméno a heslo
- Druhý faktor (vlastnictví nebo biometrie): Po úspěšném zadání prvního faktoru systém vyžádá druhý ověřovací prvek. Ten může být například:
-
- Kód ze SMS nebo aplikace: Jednorázový kód (OTP), který je zaslán na registrovaný mobilní telefon nebo je vygenerován v mobilní aplikaci (např. Microsoft nebo Google Authenticator).
- Hardwarový klíč: Fyzický USB klíč, čipová karta nebo podobné zařízení, které se připojí k počítači k ověření.
- Biometrické ověření: Otisk prstu, rozpoznání obličeje nebo jiná biometrická charakteristika.
Jak funguje jednorázový OTP kód
Jednorázový OTP kód, což je zkratka pro One-Time Password (jednorázové heslo), je dočasný bezpečnostní kód používaný k ověření identity uživatele pro jednu konkrétní přihlašovací relaci nebo transakci. Tento kód se liší od běžných hesel tím, že je platný jen krátkou dobu (zpravidla 30 – 60 sekund) a lze ho použít pouze jednou (po použití je kód okamžitě neplatný a pro další pokusy o přihlášení už jej nelze použít), což zvyšuje bezpečnost proti zneužití. OTP kódy jsou posílány například SMS zprávou, e-mailem nebo jsou generovány v autentizační aplikaci.
Autentizační aplikace – Authenticator
Authenticator je speciální ověřovací aplikace, kterou je třeba nainstalovat na nějaké zařízení (typicky chytrý telefon nebo tablet), a slouží ke generování jednorázových OTP kódů. Mezi oblíbené a doporučené aplikace patří Microsoft Authenticator nebo Google Authenticator, případně jiné. Výhodou těchto aplikací je, že jsou nezávislé na telefonním čísle, které uživatel nemusí nikam poskytovat, a generují jednorázové kódy i bez připojení k internetu (Wi-Fi) nebo mobilní síti. Nutná je pouze přesná synchronizace času na daném zařízení. Jednotlivé uživatelské účty se do Authenticatoru přidávají jednoduše nascanováním příslušného QR kódu.
Nastavení MFA
- Instalace aplikace Authenticator pro generování jednorázových OTP kódů do chytrého mobilního telefonu. Aplikace Authenticator jsou volně dostupné na Google Play nebo App Store. Pokud již uživatel má nějakou aplikaci Authenticator nainstalovanou, může tento krok přeskočit.
- Přidání uživatelského účtu do aplikace Authenticator nascanováním příslušného QR kódu pomocí fotoaparátu v telefonu. Pro každého uživatele je vygenerovaný QR, kód který obsahuje jedinečný klíč pro generování jednorázových OTP kódů.
- V aplikaci Authenticator se objeví nový účet, u kterého bude každých 30 sekund generován jednorázový šestimístný OTP kód, který uživatel použije jako druhý faktor ověření.
Uživatelé UTB si účet do aplikace Authenticator přidají během procesu aktivace svého uživatelského účtu UTB, kdy jim bude zobrazen příslušný QR kód. Před aktivací uživatelského účtu je nutné mít v mobilním telefonu aplikaci Authenticator již nainstalovanou. Nastavení MFA je nezbytné pro úspěšné dokončení aktivace uživatelského účtu.