Többfaktoros hitelesítés bevezetése a cégnél
Miért nem elég a jelszó, melyik második faktor mire jó, és hogyan vezessük be a többfaktoros belépést úgy, hogy a kollégák ne kerüljék meg.
A feltört céges fiókok többsége mögött nem kifinomult támadás áll, hanem egy kiszivárgott vagy kitalált jelszó. A többfaktoros hitelesítés (MFA) ezt a kockázatot csökkenti a legolcsóbban: a jelszó mellé egy második, a felhasználónál lévő tényezőt is kér. Bevezetni mégsem csak technikai feladat, mert ha kényelmetlen, a kollégák megkerülik.
Melyik második faktor mire jó?
| Faktor | Biztonság | Megjegyzés |
|---|---|---|
| SMS-kód | alacsony | SIM-csere és átirányítás ellen nem véd; csak átmenetinek jó |
| Hitelesítő alkalmazás (TOTP) | közepes | ingyenes, offline is működik, de adathalász oldalon a kód is kicsalható |
| Push-értesítés egyeztető számmal | közepes–jó | kényelmes; a számegyeztetés kiszűri a vak jóváhagyást |
| Biztonsági kulcs, passkey (FIDO2) | magas | adathalászat ellen is véd, mert a böngésző ellenőrzi a domaint |
A cél hosszú távon az adathalászat-álló módszer: hardveres kulcs vagy az eszközhöz kötött passkey. Átmenetként a hitelesítő alkalmazás is nagy előrelépés a puszta jelszóhoz képest.
Hol kezdjük?
- Rendszergazdai fiókok: a tartományi, felhős és tűzfal-adminisztrátorok fiókjai az elsők, kivétel nélkül.
- Levelezés és távoli elérés: a webes levelezés, a VPN és a távoli asztal a leggyakoribb belépési pont.
- Pénzügy és HR: a banki és bérszámfejtő rendszerek, ahol egy visszaélés közvetlen kárt okoz.
- Minden más felhős szolgáltatás, lehetőleg központi egyszeri bejelentkezésen (SSO) keresztül, hogy ne kelljen mindenhol külön beállítani.
A felhasználók megnyerése
Jelentsük be előre, mi változik és miért, és adjunk egy-két hét türelmi időt. Tartsunk rövid, gyakorlati bemutatót, és készítsünk egyoldalas leírást képernyőképekkel. A megbízható eszközön ne kérjük a második faktort minden belépésnél – a túl gyakori kérdés vezet a vak jóváhagyáshoz.
Ha elveszik a telefon
Mielőtt élesítünk, legyen kidolgozott folyamat az elveszett vagy lecserélt eszközökre: a felhasználó személyazonosságát ellenőrizni kell, mielőtt új faktort regisztrálunk neki. Ez a lépés a támadók kedvenc célpontja, a csalók gyakran telefonon kérik az ügyfélszolgálattól a „visszaállítást”. Tartsunk fenn két, széfben őrzött vészhelyzeti adminfiókot is hardveres kulccsal, arra az esetre, ha a központi azonosítás nem érhető el.