uwierzytelnianie wieloskładnikowe

Uwierzytelnianie wieloskładnikowe (multi-factor authentication, MFA) to logowanie, które wymaga co najmniej dwóch dowodów tożsamości należących do różnych kategorii. CISA opisuje MFA jako warstwowe zabezpieczenie konta: usługa wpuszcza użytkownika dopiero po przedstawieniu kombinacji dwóch lub więcej uwierzytelniaczy ^[3]. Dzięki temu samo wykradzione hasło nie wystarcza do zalogowania. OWASP podkreśla, że dwa składniki tej samej kategorii, na przykład dwa hasła, nie tworzą MFA ^[2].

Jak działa

NIST wyróżnia trzy kategorie składników: coś, co wiesz (hasło), coś, co masz (urządzenie, karta, token) i coś, czym jesteś (cecha biometryczna) ^[1]. Biometria pełni według NIST rolę składnika tylko w połączeniu z innym, nigdy samodzielnie ^[1]. OWASP dodaje dwie kategorie pomocnicze: miejsce, w którym jesteś (adres IP, geolokalizacja), i coś, co robisz (profil zachowania, sposób pisania na klawiaturze) ^[2].

W typowym logowaniu do panelu użytkownik podaje najpierw hasło, a potem drugi składnik. Schemat poniżej pokazuje wariant z kodem jednorazowym (OTP) z aplikacji w telefonie.

RYS. 1Logowanie z drugim składnikiem

Szczególnym przypadkiem MFA jest uwierzytelnianie dwuskładnikowe (2FA), w którym składniki są dokładnie dwa.

Rodzaje

Drugi składnik może mieć różną postać. Metody różnią się przede wszystkim odpornością na phishing.

NIST uznaje za odporne na phishing uwierzytelnianie kryptograficzne związane z konkretną sesją, w tym implementacje FIDO2 / WebAuthn ^[1]. Metody wymagające ręcznego wpisania wyniku, czyli kody OTP i kody pozapasmowe, za odporne uznane być nie mogą, bo wpisany kod nie jest związany z sesją ^[1]. CISA wskazuje FIDO/WebAuthn jako jedyne szeroko dostępne uwierzytelnianie odporne na phishing ^[3]. Na tej samej technice opiera się passkey. Osobną kategorią jest uwierzytelnianie biometryczne.

W WordPressie

Drugi składnik logowania do WordPressa można dodać wtyczką. Społecznościowa wtyczka Two Factor z katalogu WordPress.org obsługuje kody z aplikacji (TOTP), kody wysyłane e-mailem i jednorazowe kody zapasowe ^[7]. Każdy użytkownik konfiguruje metody we własnym profilu ^[7]. WebAuthn nie jest w niej obsługiwany natywnie i wymaga osobnej wtyczki ^[7].

MFA ma największy sens na kontach o szerokich uprawnieniach. Role i uprawnienia użytkowników określają, kto może instalować wtyczki i edytować kod, a więc które konta są najcenniejszym celem. OWASP zaleca wymagać drugiego składnika nie tylko przy logowaniu, ale też przy zmianie hasła lub adresu e-mail, wyłączaniu MFA i podnoszeniu uprawnień do administratora ^[2].

WordPress.org stosuje MFA wobec twórców rozszerzeń. Od 1 października 2024 roku autorzy wtyczek i motywów z prawem zapisu do repozytorium muszą mieć włączone uwierzytelnianie dwuskładnikowe ^[8]. Uzasadnienie: te konta mogą wypchnąć zmiany do wtyczek i motywów używanych przez miliony witryn ^[8]. Ponieważ 2FA nie da się zastosować do samego repozytorium kodu, WordPress.org wprowadził też osobne hasła SVN o wysokiej entropii ^[8]. Chodzi o ograniczenie ryzyka, że przejęte konto autora posłuży do ataku na łańcuch dostaw (supply chain attack).

Znaczenie i ograniczenia

Według badań Microsoftu, przytaczanych przez OWASP, MFA zatrzymałoby 99,9% przejęć kont ^[2]. OWASP nazywa je najsilniejszą obroną przed atakami na hasła, w tym przed credential stuffing i atakiem siłowym (brute-force) ^[2]. CISA ujmuje to ostrożniej: użytkownicy z włączonym MFA są znacznie rzadziej skutecznie atakowani ^[3].

MFA nie jest jednak nieprzekraczalne:

• Phishing w czasie rzeczywistym. W kampanii UNC1151 opisanej przez CERT Polska atakujący po podaniu hasła przez ofiarę automatycznie próbowali logowania i prosili ją o kod, przejmując kody SMS i kody z aplikacji Google Authenticator ^[6]. To schemat phishingu AiTM (adversary-in-the-middle).
• Zmęczenie powiadomieniami. Atakujący zasypuje ofiarę prośbami o zatwierdzenie logowania, licząc na jedno przypadkowe kliknięcie; zob. MFA fatigue.
• Przejęcie numeru telefonu. OWASP ostrzega, że kody SMS są narażone na podmianę karty SIM i przeniesienie numeru ^[2]; zob. wyłudzenie duplikatu karty SIM (SIM swap).
• Kradzież sesji po zalogowaniu. MFA chroni moment logowania, a nie już wydany token; przejęty token sesyjny działa bez drugiego składnika.

Obowiązki prawne

Dyrektywa NIS2 wymienia MFA wśród środków zarządzania ryzykiem. Art. 21 ust. 2 lit. j obejmuje „w stosownych przypadkach – stosowanie uwierzytelniania wieloskładnikowego lub ciągłego” ^[4]. Dotyczy to podmiotów kluczowych i ważnych w rozumieniu dyrektywy. W poradniku o bezpieczeństwie kont CERT Polska zaleca włączać uwierzytelnianie dwu- lub wieloskładnikowe wszędzie tam, gdzie serwis to umożliwia ^[5].

Dobre praktyki

• Włączyć MFA na wszystkich kontach administratorów i redaktorów, a także na kontach hostingu, poczty i rejestratora domeny.
• Dla kont o najwyższych uprawnieniach wybierać metody odporne na phishing, zgodnie z zaleceniem CISA ^[3].
• Przy włączaniu MFA wydać i bezpiecznie przechować jednorazowe kody zapasowe, na przykład w menedżerze haseł ^[2].
• Ograniczać liczbę nieudanych prób. NIST wymaga zablokowania danego uwierzytelniacza po najwyżej 100 kolejnych błędach ^[1].
• Nie traktować MFA jako powodu do słabszych haseł; oba składniki powinny być silne, zob. bezpieczne hasła.