Definicja MFA
Multi-Factor Authentication (MFA) to technika uwierzytelniania tożsamości użytkownika, która wymaga co najmniej dwóch z trzech kategorii składników: czegoś, co użytkownik zna (np. hasło), coś, co posiada (np. token, smartfon), lub czym jest (np. odcisk palca, rozpoznawanie twarzy). MFA znacząco utrudnia przejęcie konta nawet w przypadku kradzieży hasła.
Typowe czynniki MFA
| Kategoria | Przykłady |
|---|---|
| Wiedza (knowledge) | Hasło, PIN, odpowiedź na pytanie kontrolne |
| Posiadanie (possession) | Telefon z aplikacją OTP, klucz sprzętowy (np. YubiKey), karta inteligentna |
| Cechy biometryczne (inherence) | Odcisk palca, skan twarzy, głosu lub siatkówki |
Architektura MFA
- Mechanizm podstawowy - najczęściej hasło lub login + hasło.
- Mechanizm dodatkowy - kod OTP (TOTP/SMS), aplikacja mobilna, token sprzętowy lub biometria.
- Broker tożsamości (IdP) - obsługuje proces uwierzytelnienia (np. Azure AD, Okta).
- Kanał dostarczania - push, SMS, e-mail, aplikacja mobilna lub protokół FIDO2/WebAuthn.
Zastosowania MFA w organizacjach
- Dostęp do systemów korporacyjnych (VPN, ERP, CRM).
- Logowanie do kont e-mail, chmurowych i bankowych.
- Autoryzacja transakcji finansowych i zmian krytycznych ustawień.
- Wymóg zgodności z normami ISO 27001, NIS2, PCI DSS i GDPR.
Korzyści wdrożenia MFA
- Redukcja ryzyka przejęcia konta - nawet przy złamaniu hasła.
- Spełnienie wymogów audytowych - kluczowy element programów GRC.
- Ochrona pracy zdalnej - bezpieczny dostęp spoza sieci firmowej.
- Zwiększenie zaufania klientów i partnerów - potwierdzona tożsamość użytkowników.
Wyzwania i ograniczenia
- User experience - dodatkowe kroki mogą zniechęcać użytkowników.
- Zarządzanie tokenami i urządzeniami - ryzyko zgubienia lub kompromitacji.
- Koszty wdrożenia - integracja z istniejącymi systemami może być złożona.
- Ataki socjotechniczne - MFA nie chroni przed phishingiem proxy i SIM-swappingiem.
Trendy w MFA
- Passwordless - logowanie bez hasła z wykorzystaniem FIDO2 i biometrii.
- Adaptive MFA - dynamiczne dostosowanie wymagań na podstawie ryzyka.
- MFA push phishing-resistant - nowe metody potwierdzania (np. numer do przepisania).
- Zgodność z Zero Trust - MFA jako warunek dostępu kontekstowego.
- Integracja z MDM/UEM - MFA tylko na zgodnych, zaufanych urządzeniach.
Narzędzia i dostawcy MFA
- Microsoft Authenticator, Google Authenticator, Duo, Okta Verify, Authy
- Klucze sprzętowe: YubiKey, Feitian, SoloKey
- Rozwiązania enterprise: PingID, Cisco Duo, Azure MFA, ForgeRock