Viacfaktorové overenie (MFA, multi-factor authentication) znamená, že pri prihlásení nestačí len heslo. Používateľ musí preukázať svoju identitu ešte iným, nezávislým spôsobom. Dvojfaktorové overenie (2FA) je najbežnejší prípad MFA, keď sa kombinujú presne dva faktory.

Faktory sa delia do troch skupín: niečo, čo viete (heslo, PIN), niečo, čo máte (telefón, bezpečnostný kľúč, čipová karta), a niečo, čím ste (odtlačok prsta, tvár). Dva rôzne kódy z rovnakej skupiny, napríklad heslo a bezpečnostná otázka, sa za skutočné MFA nepovažujú.

Prečo heslo nestačí

Heslá sa dajú uhádnuť, vylákať phishingom, kúpiť z uniknutých databáz alebo použiť znova, ak ich zamestnanec používa aj inde. MFA spôsobí, že samotné heslo útočníkovi nestačí. Preto ho vyžadujú bezpečnostné rámce, poisťovne kybernetických rizík aj odporúčania pre opatrenia podľa smernice NIS2 a zákona o kybernetickej bezpečnosti, najmä pri vzdialenom a administrátorskom prístupe.

Metódy a ich odolnosť

  • SMS a hlasový hovor – lepšie ako nič, no zraniteľné voči presmerovaniu čísla.
  • Kód z aplikácie (TOTP) – časovo obmedzený kód generovaný v telefóne.
  • Push notifikácia – pohodlná; bezpečnejšia s overovaním číslom (number matching).
  • FIDO2 kľúče, Windows Hello for Business, passkeys – takzvané phishing-odolné metódy viazané na konkrétnu webovú adresu.

Útočníci reagujú: posielajú opakované žiadosti o schválenie, kým ich unavený používateľ nepotvrdí (MFA fatigue), alebo cez falošnú prihlasovaciu stránku zachytia celé prihlásenie. Proti tomu pomáhajú phishing-odolné metódy a pravidlá podmieneného prístupu. Pri výbere metódy preto nerozhoduje len pohodlie, ale aj to, aké citlivé systémy účet chráni; pre administrátorov sa odporúčajú tie najodolnejšie.

Ako MFA zaviesť bez chaosu

  1. Začnite administrátorskými a privilegovanými účtami.
  2. Pokračujte vzdialeným prístupom (VPN, e-mail, cloudové aplikácie).
  3. Vopred pripravte postup pre stratený telefón a nové zariadenie.
  4. Zablokujte staršie protokoly, ktoré MFA obchádzajú.
  5. Zamestnancom vysvetlite, prečo nikdy neschvaľovať žiadosť, ktorú sami nevyvolali.

Časté otázky

Je 2FA to isté ako MFA?

2FA je podmnožinou MFA. MFA môže zahŕňať aj viac než dva faktory, v praxi sa však oba pojmy často používajú zameniteľne.

Musí každý zamestnanec potvrdzovať prihlásenie pri každom otvorení e-mailu?

Nie. Pri dobre nastavenom podmienenom prístupe sa druhý faktor vyžaduje podľa rizika, napríklad z nového zariadenia alebo inej krajiny, nie pri každej akcii.

MFA patrí k základu ochrany identít v službe Modern End User Services. Ako zapadá do širšieho Zero Trust prístupu, opisuje článok o posilňovaní kybernetickej odolnosti.