Hasło jest podstawowym sposobem zabezpieczania większości firmowych kont. Problem w tym, że samo hasło coraz częściej nie wystarcza. Może zostać wyłudzone podczas phishingu, przejęte w wyniku wycieku danych, odgadnięte albo wykorzystane przez napastnika, który zdobył je w inny sposób. I właśnie dlatego coraz więcej firm stosuje MFA, czyli uwierzytelnianie wieloskładnikowe.
Zasada jest bardzo prosta: samo hasło nie wystarcza do zalogowania się. Użytkownik musi potwierdzić swoją tożsamość również w inny sposób. Może to być na przykład:
- potwierdzenie logowania na smartfonie,
- jednorazowy kod,
- token sprzętowy,
- klucz bezpieczeństwa,
- dane biometryczne.
ESET oferuje własne rozwiązanie tego typu – ESET Secure Authentication.
Czy MFA jest potrzebne każdej firmie? Czy wystarczy zabezpieczyć nim administratorów? I czy uwierzytelnianie wieloskładnikowe rzeczywiście chroni przed phishingiem? Sprawdźmy.
Czym jest MFA?
MFA to skrót od Multi-Factor Authentication, czyli uwierzytelniania wieloskładnikowego. Jest to metoda weryfikowania tożsamości użytkownika, w której do potwierdzenia dostępu wykorzystywane są co najmniej dwa różne czynniki uwierzytelniające.
Najprościej można to zobrazować tak:
- Hasło → pierwszy czynnik
- telefon / kod / token / klucz bezpieczeństwa → drugi czynnik
Dopiero po poprawnym potwierdzeniu obu elementów użytkownik uzyskuje dostęp. Dzięki temu przejęcie samego hasła nie musi oznaczać automatycznie przejęcia konta.
Dlaczego samo hasło już nie wystarcza?
Wyobraźmy sobie pracownika, który używa firmowego konta Microsoft 365. Jego hasło zostaje wyłudzone przez phishing. Napastnik zna więc login + hasło
Jeżeli konto zabezpieczone jest wyłącznie hasłem, atakujący może próbować zalogować się do konta. Jeżeli natomiast wymagane jest dodatkowe potwierdzenie, samo poznanie hasła może nie wystarczyć. Napastnik potrzebuje jeszcze drugiego elementu uwierzytelnienia. To właśnie podstawowa idea MFA.
Jak działa uwierzytelnianie wieloskładnikowe?
MFA wykorzystuje różne rodzaje czynników uwierzytelniających. Najczęściej dzieli się je na trzy grupy.
Coś, co użytkownik zna
Na przykład:
- hasło,
- PIN,
- odpowiedź na określone pytanie.
Coś, co użytkownik posiada
Na przykład:
- smartfon,
- token sprzętowy,
- klucz bezpieczeństwa.
Coś, czym użytkownik „jest”
Czyli cecha biometryczna:
- odcisk palca,
- rozpoznawanie twarzy,
- inne dane biometryczne.
ESET również wskazuje te trzy podstawowe kategorie czynników uwierzytelniających. Najważniejsze jest to, aby wykorzystane czynniki nie były po prostu drugim sposobem wpisania tego samego hasła.
MFA a 2FA – czy to jest to samo?
Te pojęcia są często używane zamiennie, ale nie są dokładnie tym samym.
- 2FA, czyli Two-Factor Authentication, oznacza wykorzystanie dwóch czynników.
- MFA, czyli Multi-Factor Authentication, jest pojęciem szerszym i oznacza wykorzystanie co najmniej dwóch czynników.
W praktyce wiele rozwiązań nazywanych MFA wykorzystuje właśnie dwa czynniki, dlatego określenia MFA i 2FA często pojawiają się obok siebie. Dla użytkownika najważniejsza informacja jest jednak prosta: logowanie wymaga czegoś więcej niż samego hasła.
Przykład: co się dzieje po przejęciu hasła?
Załóżmy, że pracownik otrzymuje fałszywą wiadomość:
„Twoje konto Microsoft 365 zostanie zablokowane. Kliknij tutaj, aby je zweryfikować.”
Pracownik klika link i wpisuje login oraz hasło. Atakujący otrzymuje te dane.
Bez MFA
Może próbować zalogować się przy użyciu zdobytych danych.
Z MFA
Oprócz hasła potrzebuje również drugiego czynnika.
Jeżeli użytkownik nie potwierdzi logowania, atak może zostać zatrzymany na tym etapie.
Oczywiście MFA nie jest magiczną tarczą chroniącą przed każdym możliwym atakiem, ale znacząco podnosi poprzeczkę dla atakującego.
Czy MFA chroni przed phishingiem?
Może znacząco ograniczyć skutki phishingu, ale nie każdy mechanizm MFA zapewnia taki sam poziom ochrony.
To ważne rozróżnienie. Jeżeli użytkownik podał napastnikowi hasło, dodatkowy czynnik może uniemożliwić zalogowanie się. Jednocześnie istnieją bardziej zaawansowane ataki phishingowe, które próbują przechwycić również element uwierzytelniania. Dlatego MFA powinno być połączone z:
- ochroną poczty,
- filtrowaniem phishingu,
- edukacją użytkowników,
- bezpiecznym zarządzaniem urządzeniami,
- odpowiednimi politykami dostępu.
MFA jest więc ważną warstwą ochrony, ale nie jedyną.
ESET Secure Authentication – czym jest?
ESET Secure Authentication to rozwiązanie ESET przeznaczone do uwierzytelniania wieloskładnikowego. Producent opisuje je jako rozwiązanie chroniące organizacje przed słabymi hasłami i nieautoryzowanym dostępem. Może działać zarówno w modelu chmurowym, jak i lokalnym. Rozwiązanie może wykorzystywać między innymi:
- smartfony,
- aplikację mobilną,
- powiadomienia push,
- kody jednorazowe,
- tokeny sprzętowe,
- klucze bezpieczeństwa FIDO,
- mechanizmy biometryczne urządzenia.
Dzięki temu firma może dobrać sposób uwierzytelniania do swoich potrzeb.
ESET MFA – potwierdzanie logowania telefonem
Jednym z najwygodniejszych sposobów korzystania z MFA jest smartfon. Użytkownik próbuje zalogować się do chronionej usługi. Na telefonie pojawia się powiadomienie. Użytkownik potwierdza logowanie. I gotowe.
ESET Secure Authentication obsługuje uwierzytelnianie push, które pozwala zatwierdzić logowanie jednym dotknięciem bez konieczności każdorazowego wpisywania kodu jednorazowego. To rozwiązanie może być szczególnie wygodne dla pracowników korzystających z VPN czy aplikacji webowych.
Czy MFA wymaga specjalnych tokenów?
Nie. ESET Secure Authentication może wykorzystywać smartfony użytkowników, więc w wielu przypadkach nie ma potrzeby kupowania dodatkowych urządzeń. ESET oferuje jednak również obsługę tokenów sprzętowych i kluczy bezpieczeństwa FIDO, dlatego organizacja może dobrać metodę uwierzytelniania do swoich wymagań.
To istotne na przykład w środowiskach, w których smartfon nie powinien być jedynym sposobem potwierdzania tożsamości.
Gdzie warto stosować MFA?
Właściwie wszędzie tam, gdzie przejęcie konta może spowodować realne szkody. Szczególnie warto zabezpieczyć MFA:
- konta administratorów,
- VPN,
- zdalny dostęp do firmowej infrastruktury,
- pocztę,
- Microsoft 365,
- aplikacje webowe,
- systemy zawierające dane klientów,
- systemy finansowe,
- systemy księgowe,
- konta umożliwiające dostęp do danych firmowych.
ESET Secure Authentication obsługuje m.in. VPN, zdalne logowanie i aplikacje internetowe. ESET wskazuje także możliwość integracji z usługami chmurowymi wykorzystującymi SAML 2.0.
MFA dla administratorów – szczególnie ważne
Jeżeli mielibyśmy wskazać jedną grupę użytkowników, dla której MFA powinno być traktowane jako absolutny priorytet, byliby to administratorzy. Dlaczego? Bo konto administratora może dawać dostęp do:
- wielu komputerów,
- serwerów,
- aplikacji,
- danych,
- konfiguracji bezpieczeństwa,
- kont innych użytkowników.
Przejęcie zwykłego konta jest problemem. Przejęcie konta administratora może być katastrofą. Dlatego dodatkowe zabezpieczenie kont uprzywilejowanych jest jednym z najważniejszych zastosowań MFA.
MFA a praca zdalna
Praca zdalna zwiększyła znaczenie uwierzytelniania wieloskładnikowego. Pracownik może logować się do firmowych zasobów z:
- domu,
- hotelu,
- lotniska,
- samochodu,
- siedziby klienta,
- innego miasta lub kraju.
Firma nie ma już pełnej kontroli nad fizycznym miejscem, z którego następuje logowanie. Dlatego tożsamość użytkownika staje się jednym z najważniejszych elementów bezpieczeństwa. MFA pozwala dodać kolejną warstwę weryfikacji niezależnie od tego, gdzie znajduje się pracownik.
MFA i VPN
VPN jest jednym z klasycznych przykładów zastosowania MFA.
Załóżmy, że pracownik chce połączyć się z firmową siecią. Najpierw podaje login + hasło. Następnie musi potwierdzić swoją tożsamość drugim czynnikiem. Dzięki temu nawet jeśli hasło zostanie przejęte, atakujący nadal musi pokonać kolejną warstwę zabezpieczeń.
ESET Secure Authentication jest przeznaczone m.in. do zabezpieczania dostępu VPN.
MFA a Microsoft 365
Microsoft 365 jest jednym z najważniejszych przykładów środowiska, które powinno być chronione wielowarstwowo. W firmowym Microsoft 365 mogą znajdować się:
- wiadomości e-mail,
- dokumenty,
- dane klientów,
- OneDrive,
- SharePoint,
- Teams,
- kalendarze,
- informacje finansowe,
- dane pracowników.
Przejęcie konta użytkownika może więc oznaczać znacznie więcej niż dostęp do skrzynki pocztowej. Może otworzyć drogę do wielu firmowych danych. Dlatego MFA powinno być jednym z podstawowych elementów ochrony tożsamości użytkowników Microsoft 365.
Czy MFA jest potrzebne małej firmie?
Tak – choć zakres wdrożenia może być inny niż w dużej organizacji. Mała firma nie musi od razu budować skomplikowanego systemu bezpieczeństwa. Warto jednak zacząć od najważniejszych kont. Na początek można objąć MFA:
- administratorów,
- dostęp VPN,
- pocztę,
- Microsoft 365,
- najważniejsze aplikacje biznesowe.
Dopiero później można rozszerzać zakres zabezpieczeń. Najważniejsze jest rozpoczęcie działania.
Czy MFA powinno być obowiązkowe dla wszystkich pracowników?
W wielu firmach jest to bardzo rozsądne rozwiązanie. Jeżeli MFA chroni tylko administratorów, pozostali użytkownicy nadal mogą stać się punktem wejścia do organizacji. Atakujący może przejąć zwykłe konto, a następnie próbować wykorzystać je do dalszego ataku. Dlatego docelowo warto rozważyć MFA dla wszystkich użytkowników mających dostęp do istotnych danych lub systemów. Oczywiście zakres i sposób wdrożenia powinny zależeć od konkretnego środowiska.
Czy MFA może być uciążliwe dla pracowników?
To jeden z najczęstszych argumentów przeciwko MFA. Użytkownik musi wykonać dodatkową czynność podczas logowania. Ale warto zadać sobie pytanie: ile czasu zajmuje potwierdzenie logowania, a ile kosztuje odzyskanie konta po skutecznym ataku?
Nowoczesne mechanizmy, takie jak push, pozwalają ograniczyć niedogodności. ESET Secure Authentication umożliwia potwierdzanie logowania jednym dotknięciem na urządzeniu mobilnym. W praktyce dobrze skonfigurowane MFA może być dla użytkownika niemal niezauważalne.
MFA nie oznacza, że można zapomnieć o hasłach
To kolejny ważny punkt. Wprowadzenie MFA nie oznacza, że hasła przestają mieć znaczenie. Nadal warto stosować:
- długie hasła,
- unikalne hasła,
- menedżer haseł,
- politykę bezpiecznych haseł,
- ograniczenie uprawnień użytkowników.
MFA jest dodatkową warstwą, a nie usprawiedliwieniem dla używania słabych haseł.
Co jeśli użytkownik straci telefon?
To jeden z problemów, które należy przewidzieć podczas wdrażania MFA. Firma powinna posiadać procedurę awaryjną. Powinna wiedzieć:
- jak zablokować dostęp,
- jak zresetować metodę uwierzytelniania,
- jak zweryfikować tożsamość pracownika,
- jak odzyskać dostęp,
- kto może wykonać taką operację.
Dobrze zaprojektowane MFA nie powinno opierać całego bezpieczeństwa organizacji na jednym telefonie bez możliwości odzyskania dostępu.
Czy ESET Secure Authentication działa tylko na smartfonach?
Nie. Smartfon jest jedną z podstawowych metod, ale ESET Secure Authentication obsługuje również inne sposoby uwierzytelniania, w tym tokeny sprzętowe i klucze bezpieczeństwa FIDO. Dzięki temu można dobrać metodę do wymagań organizacji.
MFA w chmurze czy On-Prem?
ESET Secure Authentication może być wdrażane zarówno:
- w chmurze,
- lokalnie (On-Prem).
Wersja chmurowa upraszcza infrastrukturę, ponieważ organizacja nie musi utrzymywać własnego serwera dla rozwiązania. Wdrożenie lokalne może natomiast być interesujące dla firm, które mają określone wymagania dotyczące infrastruktury lub zarządzania. Wybór zależy więc od modelu IT organizacji.
Czy ESET MFA jest częścią ESET PROTECT?
MFA jest jednym z modułów platformy ESET PROTECT, ale sposób jego dostępności zależy od wybranego wariantu oraz modelu licencjonowania. ESET prezentuje ESET Secure Authentication również jako samodzielne rozwiązanie MFA. Jednocześnie w aktualnej platformie ESET PROTECT uwierzytelnianie wieloskładnikowe jest jednym z dostępnych modułów, a w wybranych pakietach może być częścią rozwiązania lub dostępne jako dodatkowy moduł. Dlatego przy zakupie warto sprawdzić aktualny zakres konkretnej licencji, zamiast zakładać, że MFA automatycznie znajduje się w każdym pakiecie ESET PROTECT.
Czy ESET PROTECT Advanced ma MFA?
W aktualnej ofercie ESET MFA jest prezentowane również jako dodatek dostępny na żądanie dla ESET PROTECT Advanced. To ważne, ponieważ pokazuje, że firma nie musi automatycznie przechodzić na najwyższy pakiet tylko po to, aby uzyskać MFA. Jeżeli potrzebuje konkretnej funkcji, warto sprawdzić możliwość dokupienia odpowiedniego modułu. To dokładnie ta sama zasada, którą stosujemy w całej naszej serii: nie kupujemy najdroższego pakietu tylko dlatego, że jest najdroższy. Najpierw określamy potrzeby.
MFA jako element wielowarstwowego bezpieczeństwa
MFA najlepiej działa wtedy, gdy jest jednym z kilku zabezpieczeń. Możemy zbudować model:
- Ochrona endpointów → chroni urządzenia użytkowników.
- Ochrona poczty → ogranicza phishing i malware.
- MFA → chroni tożsamość i dostęp.
- Szyfrowanie dysków → chroni dane w przypadku utraty urządzenia.
- Zarządzanie podatnościami → ogranicza wykorzystanie znanych luk.
- Backup → umożliwia odzyskanie danych.
Każda z tych warstw rozwiązuje inny problem. I właśnie dlatego bezpieczeństwo firmy nie powinno opierać się wyłącznie na jednym programie antywirusowym.
MFA a przejęcie konta administratora
Wyobraźmy sobie jeden z najgorszych scenariuszy. Atakujący zdobywa hasło administratora. Bez MFA może próbować wykorzystać je do zalogowania się. Z MFA potrzebuje jeszcze drugiego czynnika. Jeżeli administrator nie zatwierdzi logowania, atakujący może zostać zatrzymany. To pokazuje, dlaczego MFA jest szczególnie ważne dla kont uprzywilejowanych.
Jedno konto administratora może dawać dostęp do całego środowiska firmy.
Jego zabezpieczenie powinno więc mieć najwyższy priorytet.
Czy MFA chroni przed ransomware?
Pośrednio może znacząco ograniczyć ryzyko.
MFA nie wykrywa ransomware i nie usuwa złośliwych plików. Może jednak utrudnić atakującemu przejęcie konta i wykorzystanie skradzionych danych logowania do wejścia do firmowych systemów. Dlatego MFA jest jednym z elementów ochrony przed scenariuszami, w których atak rozpoczyna się od przejęcia tożsamości. Nie zastępuje jednak:
- ochrony endpointów,
- EDR/XDR,
- backupu,
- aktualizacji,
- zarządzania podatnościami.
ESET MFA – czy warto?
Tak. W szczególności warto rozważyć MFA, jeśli firma:
- umożliwia pracę zdalną,
- korzysta z VPN,
- intensywnie korzysta z Microsoft 365,
- posiada administratorów IT,
- przechowuje dane klientów,
- korzysta z aplikacji webowych,
- posiada wiele kont użytkowników,
- przetwarza dane wrażliwe,
- chce ograniczyć ryzyko przejęcia kont.
Koszt i niewielka niedogodność związana z dodatkowym potwierdzeniem logowania są zazwyczaj niewspółmiernie małe w porównaniu z potencjalnymi konsekwencjami przejęcia konta.
ESET MFA – najważniejsze zalety
Najważniejsze korzyści można podsumować następująco:
- dodatkowa warstwa ochrony kont,
- zabezpieczenie przed wykorzystaniem samego skradzionego hasła,
- ochrona dostępu VPN,
- możliwość zabezpieczenia aplikacji webowych,
- obsługa urządzeń mobilnych,
- uwierzytelnianie push,
- obsługa tokenów sprzętowych,
- obsługa kluczy bezpieczeństwa FIDO,
- możliwość wdrożenia chmurowego lub lokalnego,
- możliwość centralnego zarządzania użytkownikami,
- zastosowanie zarówno w małych firmach, jak i dużych organizacjach.
ESET MFA – czy firma naprawdę go potrzebuje?
Jeżeli firma korzysta wyłącznie z kilku komputerów w zamkniętym biurze i nie posiada praktycznie żadnego zdalnego dostępu, zakres zastosowania MFA może być niewielki. Ale współczesne firmy coraz częściej korzystają z:
- Microsoft 365,
- VPN,
- pracy zdalnej,
- aplikacji SaaS,
- bankowości internetowej,
- systemów księgowych,
- chmurowych systemów CRM,
- zewnętrznych usług biznesowych.
W takim środowisku tożsamość użytkownika staje się jednym z najważniejszych elementów bezpieczeństwa. A MFA jest jednym z najprostszych sposobów na dodanie kolejnej warstwy ochrony.
FAQ: ESET MFA
Co oznacza MFA?
MFA to Multi-Factor Authentication, czyli uwierzytelnianie wieloskładnikowe. Do potwierdzenia tożsamości użytkownika wymagane są co najmniej dwa czynniki.
Czy MFA jest tym samym co 2FA?
Nie do końca. 2FA oznacza dokładnie dwa czynniki, natomiast MFA jest pojęciem szerszym i obejmuje uwierzytelnianie wykorzystujące co najmniej dwa czynniki.
Czy ESET ma własne rozwiązanie MFA?
Tak. Jest nim ESET Secure Authentication.
Czy ESET Secure Authentication wymaga smartfona?
Nie. Może korzystać ze smartfona, ale obsługuje również tokeny sprzętowe i klucze bezpieczeństwa FIDO.
Czy MFA chroni przed phishingiem?
MFA może znacząco ograniczyć skutki przejęcia hasła podczas phishingu, ale nie eliminuje wszystkich rodzajów ataków phishingowych.
Czy MFA chroni VPN?
Tak. ESET Secure Authentication może być wykorzystywane do zabezpieczania dostępu VPN.
Czy MFA można wdrożyć w chmurze?
Tak. ESET Secure Authentication oferuje zarówno wdrożenie chmurowe, jak i lokalne.
Czy MFA zastępuje silne hasła?
Nie. MFA powinno być dodatkową warstwą zabezpieczeń, a nie powodem do rezygnacji z dobrych praktyk związanych z hasłami.
Czy każda firma powinna mieć MFA?
Nie ma jednego rozwiązania dla każdej organizacji, ale MFA jest szczególnie wartościowe dla kont administratorów, zdalnego dostępu, VPN, Microsoft 365 i systemów zawierających ważne dane.
Podsumowanie
Hasło jest tylko jednym elementem potwierdzającym tożsamość użytkownika. Jeżeli zostanie przejęte, atakujący może próbować wykorzystać je do uzyskania dostępu do firmowych systemów.
MFA dodaje kolejną warstwę ochrony.
Nawet jeśli napastnik pozna hasło, nadal może potrzebować dodatkowego potwierdzenia tożsamości. ESET Secure Authentication pozwala wdrożyć MFA z wykorzystaniem smartfonów, powiadomień push, kodów jednorazowych, tokenów sprzętowych czy kluczy bezpieczeństwa FIDO. Może działać zarówno w chmurze, jak i lokalnie.
Czy każda firma potrzebuje rozbudowanego systemu MFA?
Nie. Ale w przypadku kont administratorów, VPN, Microsoft 365, pracy zdalnej i dostępu do ważnych danych dodatkowa warstwa uwierzytelniania jest rozwiązaniem, które zdecydowanie warto rozważyć. Bo w dzisiejszym IT nie wystarczy już zapytać:
„Czy użytkownik zna prawidłowe hasło?”
Znacznie lepsze pytanie brzmi:
„Skąd wiemy, że osoba, która zna to hasło, jest rzeczywiście tym użytkownikiem?”
I właśnie na to pytanie odpowiada MFA.
Zobacz też:
ESET i Microsoft 365 – jak chronić firmową pocztę i dane?
ESET – zarządzanie podatnościami: czym jest i dlaczego aktualizacje to za mało?