Vícefaktorové ověření (MFA) už není nadstandard. Heslo, ať je jakkoli silné, je jediná věc, kterou lze vylákat phishingem, znovu použít nebo nechat uniknout — a druhý faktor je proti tomu nejúčinnější obranou s nejmenší námahou. Těžká otázka nikdy nezněla, jestli MFA přidat, ale jak, aniž by se každodenní přihlašování stalo pro všechny utrpením.
Většina systémů nutí do volby všechno, nebo nic: zapnout MFA pro celou organizaci, nebo pro nikoho. Platforma teď volí přesnější cestu — vícefaktorové ověření, které vynutíte podle role, takže nejsilnější ochrana dopadne přesně tam, kde na ní záleží, a tření zůstane tam, kde má opodstatnění.
Problém všechno, nebo nic
Zapněte MFA pro všechny a ochráníte citlivé účty — za cenu druhého kroku pro každého příležitostného uživatele, každého, kdo se jen dívá, každého občasného přispěvatele, každý den. Nezapněte ho pro nikoho a vaše nejnebezpečnější účty mají stejně tenkou obranu jako ty nejméně rizikové. Ani jedno není správně. Finanční tým, administrátoři a lidé, kteří mohou měnit konfiguraci, druhý faktor opravdu potřebují. Uživatel na částečný úvazek, který se jen dívá, patrně ne. Dobré pravidlo s těmito případy zachází různě.
MFA, které jde za rolí
Kdo co smí, už popisujete pomocí rolí. Vynucení druhého faktoru teď zapadá přímo do tohoto modelu: u kterékoli role lze nastavit, že při přihlášení vyžaduje druhý faktor. Přiřaďte roli někomu a požadavek zdědí automaticky — není co udržovat u jednotlivých uživatelů a nehrozí, že by se zapomnělo ochránit nováčka, který nastoupil do citlivého týmu.
Lidé mívají víc než jednu roli, a tak je pravidlo prosté a bezpečné: platí nejsilnější požadavek ze všech rolí uživatele. Zabezpečení se skládá směrem nahoru. Udělte někomu privilegovanou roli a jeho přihlášení je pevnější ve chvíli, kdy ji dostane, bez ohledu na to, čím vším je jinak.
Dva způsoby, jak prokázat, že jste to vy
Různé organizace — a různé role — chtějí různou míru jistoty, a tak jsou k dispozici dvě metody. První je jednorázový číselný kód poslaný na e-mail uživatele: prostý, nevyžaduje nic navíc a proti samotnému heslu je to jasný krok vpřed. Druhá je časově omezený kód z autentizační aplikace — Google Authenticator, Authy, 1Password nebo jakýkoli běžný ekvivalent — pro silnější ochranu vázanou na zařízení. Vyberete, kterou metodu role vyžaduje; o zbytek se postará platforma.
Nastavení jednou a automaticky
U metody s autentizační aplikací proběhne zavedení při prvním použití bez zásahu administrátora. Uživatele provede rychlé nastavení — naskenuje QR kód svou aplikací, kdo potřebuje, má i ruční variantu — a od té chvíle kódy generuje jeho aplikace. Žádný samostatný projekt zavádění, žádný lístek na helpdesk, aby byl uživatel chráněný. Když to poprvé potřebuje, nastaví si to, a je hotovo.
Žádné tiché obcházení
Druhý faktor je jen tak dobrý jako mezery kolem něj, a tak jsou ty zjevné uzavřené. Faktor se ověřuje při každém přihlášení — žádné „tomuto zařízení věř a přestaň se ptát“, což je přesně to pohodlí, které MFA v praxi podkopává. A hlavně: účet, jehož role vyžaduje MFA, ho nemůže obejít statickým API klíčem ani jednokrokovým přihlašovacím odkazem. Síla pravidla „tato role potřebuje dva faktory“ drží u každé cesty dovnitř, ne jen u přihlašovacího formuláře. Ochrana znamená přesně to, co říká.
Proč na tom záleží
Zabezpečení, které nejde zacílit, nakonec uplatňujete málo, protože nasadit ho všude je příliš drahé. Tím, že platforma váže vícefaktorové ověření na role, vám umožní zvednout laťku přesně tam, kde je riziko — u privilegovaných, finančních a administrátorských účtů — a přitom nechá uživatele s nízkým rizikem nezatížené. Škáluje stejně jako vaše organizace, přes model rolí, který už máte postavený, a zavírá postranní dveře, kvůli nimž z MFA tak často bývá spíš divadlo než ochrana.
Přirozeně zapadá k ostatním nástrojům správy na platformě: role a oprávnění určují, co uživatel smí, správa citlivých údajů drží přihlašovací údaje mimo dosah a vynucení druhého faktoru teď posiluje samotné vstupní dveře — přiměřeně, automaticky a přesně tam, kde na tom záleží.