Uwierzytelnianie wieloskładnikowe (MFA): jak chroni firmowe tożsamości

Większość udanych włamań do infrastruktury firmowej nie zaczyna się od wyrafinowanego exploita, lecz od przejętych danych logowania. Napastnik, który dysponuje poprawnym loginem i hasłem, nie musi niczego łamać: po prostu się loguje, a systemy bezpieczeństwa widzą ruch użytkownika, a nie atak. Uwierzytelnianie wieloskładnikowe (MFA, multi-factor authentication) jest odpowiedzią na ten problem i jednocześnie najtańszym mechanizmem kontrolnym o tak wysokiej skuteczności.

Dlaczego samo hasło już nie wystarcza

Hasło jest sekretem statycznym, a to oznacza, że raz ujawnione pozostaje użyteczne dla atakującego aż do momentu zmiany. Źródeł wycieków jest wiele: bazy z wcześniejszych naruszeń, phishing, złośliwe oprogramowanie typu infostealer, ponowne użycie tego samego hasła w serwisie prywatnym i firmowym, wreszcie zwykłe zgadywanie w atakach password spraying.

Polityki złożoności haseł problemu nie rozwiązują. Wymuszanie znaków specjalnych i częstych zmian najczęściej prowadzi do przewidywalnych wzorców oraz zapisywania haseł poza kontrolą organizacji. Drugi, niezależny składnik uwierzytelnienia zmienia natomiast reguły gry: sama znajomość hasła przestaje wystarczać do zalogowania.

Czym jest uwierzytelnianie wieloskładnikowe

MFA to metoda weryfikacji tożsamości, w której użytkownik musi przedstawić co najmniej dwa niezależne dowody należące do różnych kategorii:

• coś, co wiesz: hasło, PIN, odpowiedź na pytanie pomocnicze,
• coś, co masz: telefon z aplikacją, klucz sprzętowy, karta kryptograficzna, certyfikat na urządzeniu,
• coś, czym jesteś: odcisk palca, geometria twarzy, inne cechy biometryczne.

Kluczowe jest słowo „niezależne”. Hasło plus pytanie o nazwisko panieńskie matki to nadal jeden składnik, ponieważ oba elementy należą do tej samej kategorii i oba można wykraść tym samym sposobem. Nowoczesne systemy uzupełniają te trzy kategorie o czwarty wymiar: kontekst, czyli lokalizację, stan urządzenia, porę logowania i profil zachowania użytkownika.

Metody MFA i ich realna odporność

Nie wszystkie implementacje MFA chronią w takim samym stopniu. Warto uporządkować je według rosnącego poziomu bezpieczeństwa.

Kody SMS i e-mail (OTP). Najpopularniejsze, najłatwiejsze do wdrożenia i najsłabsze. Podatne na przechwycenie kodu na stronie phishingowej, przejęcie numeru w ataku SIM swap oraz na słabości samej sieci sygnalizacyjnej operatora. Lepsze niż brak MFA, ale nie należy ich traktować jako docelowego rozwiązania dla kont uprzywilejowanych.

Kody TOTP z aplikacji. Generowane lokalnie, co eliminuje zależność od operatora telekomunikacyjnego. Nadal jednak można je wyłudzić: użytkownik przepisuje kod na fałszywej stronie, a napastnik używa go w czasie rzeczywistym.

Powiadomienia push. Wygodne, więc chętnie wdrażane, lecz podatne na zmęczenie użytkownika. Ryzyko ogranicza number matching, czyli wymóg przepisania liczby widocznej na ekranie logowania, oraz prezentowanie kontekstu żądania (lokalizacja, aplikacja, adres IP).

Klucze sprzętowe i passkeys w standardzie FIDO2 / WebAuthn. Uwierzytelnienie oparte na kryptografii asymetrycznej, powiązane z domeną serwisu. Klucz prywatny nigdy nie opuszcza urządzenia, a podpis jest ważny wyłącznie dla właściwej domeny, więc strona podszywająca się pod prawdziwy portal nie uzyska użytecznego materiału. To jedyna kategoria, którą można uczciwie nazwać odporną na phishing.

Certyfikaty na urządzeniach i karty kryptograficzne. Sprawdzają się w środowiskach o wysokich wymaganiach, zwłaszcza tam, gdzie tożsamość użytkownika ma być powiązana z konkretnym, zarządzanym sprzętem.

Jak atakuje się MFA

Wdrożenie MFA nie kończy tematu, ponieważ napastnicy dostosowali techniki. Cztery scenariusze pojawiają się najczęściej.

Phishing z pośrednikiem (adversary-in-the-middle). Ofiara trafia na stronę, która w czasie rzeczywistym przekazuje dane do prawdziwego serwisu. Użytkownik podaje hasło i kod, a atakujący przechwytuje gotowy token sesji. Zabezpieczenia oparte na kodach są tu bezradne, natomiast FIDO2 blokuje atak na poziomie protokołu.

MFA fatigue. Napastnik dysponuje hasłem i wysyła serię powiadomień push, licząc na to, że użytkownik zaakceptuje jedno z nich przez pomyłkę lub dla świętego spokoju. Odpowiedzią jest number matching oraz limity liczby żądań.

SIM swap. Przeniesienie numeru na kartę kontrolowaną przez przestępcę pozwala odbierać kody SMS. Dotyczy zwłaszcza osób pełniących eksponowane funkcje w organizacji.

Kradzież tokenów sesji. Złośliwe oprogramowanie wykrada ciasteczka sesyjne z przeglądarki, dzięki czemu atakujący pomija logowanie w całości. Przeciwdziałanie wymaga krótszych sesji, wiązania tokenu z urządzeniem oraz ciągłej oceny ryzyka po zalogowaniu.

MFA adaptacyjne: bezpieczeństwo bez tarcia

Wymaganie drugiego składnika przy każdej operacji szybko męczy użytkowników i rodzi presję na wyłączanie zabezpieczeń. Podejście adaptacyjne (risk-based authentication) ocenia kontekst każdej próby logowania: czy urządzenie jest znane i zarządzane, czy lokalizacja jest typowa, czy godzina odbiega od zwyczajów, czy w krótkim czasie nie doszło do logowania z dwóch odległych miejsc.

Przy niskim ryzyku sesja przebiega bez dodatkowych pytań. Przy podwyższonym system żąda mocniejszego składnika, a przy wysokim blokuje próbę i uruchamia alert. Efekt jest podwójny: rośnie poziom ochrony, a liczba interakcji wymaganych od pracownika spada.

Wymogi regulacyjne i rynkowe

Dla wielu organizacji MFA przestało być wyborem. Dyrektywa NIS2 wskazuje uwierzytelnianie wieloskładnikowe wśród podstawowych środków zarządzania ryzykiem w podmiotach kluczowych i ważnych. Rozporządzenie DORA nakłada analogiczne wymagania na sektor finansowy, a standard PCI DSS w wersji 4.0 rozszerzył obowiązek MFA na cały dostęp do środowiska danych kartowych. RODO wprost nie wymienia MFA, jednak w praktyce organy nadzorcze oceniają brak silnego uwierzytelnienia jako niedopełnienie obowiązku wdrożenia odpowiednich środków technicznych. Coraz częściej MFA jest też warunkiem uzyskania polisy cyberubezpieczeniowej.