MFA – uwierzytelnianie wieloskładnikowe
MFA (multi-factor authentication), czyli uwierzytelnianie wieloskładnikowe, to sposób logowania, w którym system potwierdza tożsamość użytkownika co najmniej dwoma niezależnymi składnikami z różnych kategorii: czymś, co użytkownik wie (hasło, PIN), czymś, co ma (telefon, klucz sprzętowy), lub czymś, czym jest (odcisk palca, twarz). Samo wykradzione hasło nie wystarcza wtedy do przejęcia konta.
Na czym polega uwierzytelnianie wieloskładnikowe
Hasło da się podejrzeć, odgadnąć, wyłudzić fałszywą stroną logowania albo kupić w bazie wykradzionej z innego serwisu. MFA zakłada, że tak się stanie, i dokłada drugi zamek, którego złodziej hasła nie ma. Składniki muszą pochodzić z różnych kategorii: wiedzy (hasło, PIN), posiadania (telefon z aplikacją, klucz USB, karta) albo cechy użytkownika (odcisk palca, twarz). Niezależność jest tu kluczowa - przejęcie jednego składnika nie może ułatwiać przejęcia drugiego. Dlatego kod wysłany na tę samą skrzynkę, której hasło właśnie wyciekło, chroni słabo.
MFA, 2FA i weryfikacja dwuetapowa - czym się różnią
MFA po polsku to uwierzytelnianie wieloskładnikowe, czyli dwa lub więcej składników. 2FA to jego najczęstsza odmiana: dokładnie dwa składniki, zwykle hasło i telefon. Weryfikacja dwuetapowa to nazwa używana przez wiele serwisów i na ogół oznacza to samo co 2FA. Nie zawsze jednak: hasło i pytanie pomocnicze to dwa etapy, ale oba z kategorii wiedzy, więc to nie jest prawdziwe MFA. Wymóg dwóch niezależnych składników zna każdy klient banku. Od wdrożenia dyrektywy PSD2 dostawcy usług płatniczych muszą w określonych sytuacjach stosować silne uwierzytelnianie klienta, na przykład gdy klient zleca płatność elektroniczną.
Metody MFA - od SMS do klucza sprzętowego
- Kod SMS - najprostszy i najsłabszy. Podatny na przechwycenie numeru (SIM swap) i na wyłudzenie kodu na fałszywej stronie. Lepszy jednak niż samo hasło.
- Aplikacja z kodem jednorazowym (TOTP), na przykład Microsoft Authenticator lub Google Authenticator - kod zmienia się co kilkadziesiąt sekund i nie wymaga zasięgu.
- Powiadomienie push - wygodne, ale znane z ataku „zmęczenia MFA”: przestępca zasypuje użytkownika prośbami, aż ten z rozpędu zatwierdzi jedną z nich.
- Klucz sprzętowy FIDO2 lub passkey - najmocniejsza opcja. Klucz jest powiązany z adresem prawdziwej strony, więc nie zadziała na fałszywej.
- Biometria - odcisk palca lub twarz, zwykle jako sposób odblokowania klucza zapisanego w telefonie lub laptopie.
MFA w firmie: NIS2 i system obiegu dokumentów
MFA przestało być tylko dobrą praktyką. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026 r., wymienia wśród środków bezpieczeństwa podmiotów kluczowych i ważnych bezpieczną komunikację elektroniczną z uwierzytelnianiem wieloskładnikowym „w stosownych przypadkach”. Podmioty objęte ustawą od jej wejścia w życie mają na wdrożenie systemu zarządzania bezpieczeństwem informacji czas do 3 kwietnia 2027 r.
W systemie obiegu dokumentów MFA chroni to, co najcenniejsze: akceptacje płatności, akta pracownicze, umowy. Najprościej włączyć je raz, u firmowego dostawcy tożsamości. Platforma JobRouter®, na której e-MSI wdraża procesy, obsługuje logowanie przez SSO i Active Directory. Jeśli logowanie przez SSO prowadzi przez dostawcę tożsamości, który wymaga MFA, ta sama ochrona obejmuje także obieg dokumentów. Dostęp po zalogowaniu wyznaczają role, a każda operacja trafia do dziennika audytowego. Przy podpisie elektronicznym w JobRouter® Sign osoba z zewnątrz może zostać objęta uwierzytelnianiem dwuskładnikowym - wtedy potrzebny jest jej numer telefonu komórkowego. Więcej na stronie bezpieczeństwo systemów.
Wdrożenie MFA w firmie - na co uważać
- MFA na wszystkich kontach, zaczynając od administratorów, poczty i dostępu zdalnego.
- Stare protokoły logowania bez MFA wyłączone, bo inaczej omijają całą ochronę.
- Procedura utraty telefonu - kody zapasowe lub drugi klucz i sprawdzanie tożsamości przed resetem.
- Konto awaryjne administratora, chronione osobno i regularnie testowane.
- Szkolenie: prośby o zatwierdzenie logowania, którego nie zaczęliśmy, zawsze odrzucamy i zgłaszamy.
- Pracownicy bez służbowego telefonu - klucze sprzętowe zamiast wymogu instalacji aplikacji na prywatnym urządzeniu.
Przykłady zastosowania
Księgowa loguje się z domu do systemu obiegu faktur. Po haśle zatwierdza logowanie w aplikacji na telefonie służbowym, a przestępca, który zna jej hasło z wycieku, zatrzymuje się na drugim kroku.
Dyrektor finansowy akceptuje paczkę przelewów w bankowości elektronicznej. Bank wymaga hasła i potwierdzenia w aplikacji mobilnej, bo tego wymagają przepisy o silnym uwierzytelnianiu.
Kancelaria prawna wydaje radcom klucze sprzętowe FIDO2 do logowania do poczty i repozytorium akt. Fałszywa strona logowania, nawet łudząco podobna, nie dostanie od klucza ważnej odpowiedzi.
Pracownik magazynu zgubił telefon z aplikacją uwierzytelniającą. Dział IT potwierdza jego tożsamość osobiście, unieważnia stary składnik i rejestruje nowy, zamiast resetować MFA po jednym telefonie.
Kontrahent podpisuje umowę elektronicznie przez link z e-maila. Zanim otworzy dokument, wpisuje kod wysłany SMS-em na numer podany w procesie.
Najczęstsze pytania
Co to jest uwierzytelnianie wieloskładnikowe?
To sposób logowania, w którym system wymaga co najmniej dwóch niezależnych dowodów tożsamości z różnych kategorii, na przykład hasła i kodu z aplikacji na telefonie. Samo hasło, nawet wykradzione, nie wystarcza wtedy do wejścia na konto. Skrót MFA pochodzi od angielskiego multi-factor authentication.
Czym różni się MFA od 2FA?
2FA, czyli uwierzytelnianie dwuskładnikowe, to odmiana MFA z dokładnie dwoma składnikami. MFA jest pojęciem szerszym i obejmuje także logowanie z trzema składnikami. W codziennym użyciu oba skróty często oznaczają to samo: hasło plus drugi składnik, na przykład telefon lub klucz sprzętowy.
Jaka metoda MFA jest najbezpieczniejsza?
Klucz sprzętowy FIDO2 lub passkey. Są powiązane z adresem prawdziwej strony, więc nie da się ich użyć na fałszywej stronie logowania. Aplikacja z kodem jednorazowym jest dobrym kompromisem. Kod SMS jest najsłabszy, ale nadal chroni znacznie lepiej niż samo hasło.
Czy MFA jest obowiązkowe w firmie?
Nie ma ogólnego obowiązku dla wszystkich firm. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa wymaga jednak od podmiotów kluczowych i ważnych uwzględnienia uwierzytelniania wieloskładnikowego w stosownych przypadkach. Banki i inni dostawcy usług płatniczych muszą w określonych sytuacjach stosować silne uwierzytelnianie klientów. W pozostałych firmach o MFA decyduje polityka bezpieczeństwa, czasem także wymagania kontrahentów lub ubezpieczyciela.
Co zrobić po utracie telefonu z aplikacją MFA?
Użyć kodu zapasowego albo drugiego zarejestrowanego klucza, jeśli zostały przygotowane wcześniej. W firmie trzeba zgłosić utratę do działu IT, który po potwierdzeniu tożsamości unieważni stary składnik i pozwoli zarejestrować nowy. Samo zgłoszenie telefoniczne nie powinno wystarczać do resetu.
Jak uruchomić MFA?
W ustawieniach bezpieczeństwa konta włączyć weryfikację dwuetapową lub wieloskładnikową, zarejestrować drugi składnik, na przykład aplikację z kodami lub klucz sprzętowy, i zapisać kody zapasowe. W firmie najprościej włączyć MFA raz, u firmowego dostawcy tożsamości, zaczynając od kont administratorów, poczty i dostępu zdalnego, a stare protokoły logowania bez MFA wyłączyć.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
