Mi az a kétlépcsős vagy kétfaktoros (2FA) azonosítás?

A kétfaktoros azonosítás egy olyan biztonsági eljárás, amely két különböző módon ellenőrzi egy személy vagy felhasználó azonosságát az online vagy fizikai hozzáférés során. Az egyik faktor általában valamilyen ismerős adat, például egy jelszó vagy PIN-kód, míg a másik faktor általában valamilyen fizikai eszköz, például okostelefon, biztonsági kulcs vagy ujjlenyomat-olvasó által generált kód.

Az alapvetően három kategóriába sorolható faktorok a következők:

1. Ismereti faktor: Ez az, amit a felhasználó tud, például jelszó, PIN-kód, válasz egy titkos kérdésre stb.

2. Birtoklási faktor: Ez olyan, amit a felhasználó birtokol, például okostelefon, kulcskártya vagy egy másik eszköz, ami egy generált kódot szolgáltat.

3. Biológiai faktor: Ez az, amit a felhasználó testi jellemzője alapján tud igazolni, mint például ujjlenyomat, szemléc olvasása, arcfelismerés stb.

A kétfaktoros azonosítás célja, hogy ne csak egyetlen faktort használjon az azonosításra, mivel egyetlen jelszó vagy egyetlen eszköz elvesztése vagy kompromittálása könnyen hozzáférést biztosíthat a támadók számára. Két vagy több faktor kombinálása jelentősen növeli a biztonságot, mivel a támadóknak mindkét (vagy több) faktort egyidejűleg kellene megszerezniük vagy megkerülniük ahhoz, hogy hozzáférjenek az adott fiókhoz vagy rendszerhez.

Mi a különbség a kétfaktoros és a multifaktoros azonosítás között?

A Kétfaktoros azonosítás (Two-Factor Authentication, 2FA) használatakor az azonosítás két különböző faktor alapján történik. Általában ez az első faktor egy jelszó vagy valamilyen ismereti adat, a második faktor pedig egy birtoklási vagy biometrikus adat. Például a felhasználó megadja a jelszavát (ismereti faktor), majd egy másik eszközön generált kód vagy egy biometrikus azonosítás (például ujjlenyomat) szükséges a belépéshez.

A Multifaktoros azonosítás (Multi-Factor Authentication, MFA) kifejezés általában általánosabb, mint a kétfaktoros azonosítás. A multifaktoros azonosítás lehetővé teszi több mint két azonosítási faktor alkalmazását. Ennek eredményeként három vagy több különböző azonosítási módszer lehet jelen, például egy jelszó (ismereti faktor), egy okostelefonon generált kód (birtoklási faktor) és az ujjlenyomat vagy arcfelismerés (biometrikus faktor).

Összefoglalva, a kétfaktoros azonosítás pontosan két különböző faktort használ az azonosításhoz, míg a multifaktoros azonosítás általában három vagy annál több különböző faktort engedélyez az azonosítási folyamatban. Mindkét módszer célja a biztonság növelése azáltal, hogy több lépcsős ellenőrzést vezet be a felhasználók hozzáférésének megvédelmezésére.

A kétfaktoros azonosítás bekapcsolása a Fenntartó által

Amennyiben bejelentkezéskor a rendszer felhívja a figyelmét a kétfaktoros azonosítás szükségességére, akkor fiókjának biztonsága érdekében a Fenntartója bekapcsolta ezt a funkciót. Ha a felhasználónál be lett kapcsolva a kétfaktoros azonosítás, akkor az alábbi lépésekben mutatjuk be annak beállítását, illetve a további használatát.

Kinek kötelező a a kétfaktoros azonosítás? 

A KRÉTA intézményi adminisztrátorok részére 2024 első negyedévben, fokozatosan bevezetése kerül a 2FA kötelezősége az intézményi adatok ill. admin fiókok felhasználói részére. 

Mi szükséges a 2FA használatához? 

A kétfaktoros azonosítás egy hatékony eszköz a személyes és üzleti adatok védelmére, amely segít minimalizálni az illetéktelen hozzáférésekből származó kockázatokat és az okostelefonora telepíthető autentikátor alkalmazások biztosítják a legjobb védelmet. 

Lehet-e e-mailben vagy SMS-ben kérni a második azonosítási faktort? 

Az e-mail általában nem számít ideálisnak a kétfaktoros azonosítás második tényezőjeként. A kétfaktoros azonosítás célja, hogy két elkülönített, függetlenül működő tényezőt használjon az azonosítási folyamat során. Az e-mail egy tényezője lehet a két faktornak, de a másik tényező nem szabad, hogy közvetlenül a felhasználó e-mail fiókjához kapcsolódjon.

Az e-mail használata második tényezőként nem ajánlott, mert ha valaki hozzáfér az e-mail fiókhoz (például az e-mail jelszava valahogy kiszivárog vagy ellopódik), akkor mindkét tényezőt könnyen megszerezheti, és a kétfaktoros azonosítás elveszítheti hatékonyságát. Abban az esetben ha a kétfaktoros azonosítás fizikai eszközökre vagy mobilalkalmazásokra épül, az eszközfüggetlen, és a felhasználó bárhol és bármikor hozzáférhet a fiókjaihoz.

Az SMS-üzenetek is könnyen hamisíthatók, és a támadók megtéveszthetik a felhasználókat, hogy megadják az SMS-ben kapott kódot egy hamis weboldalon. Ez a módszer a hagyományos phishing technikákhoz hasonlóan veszélyes lehet, továbbá az SMS-üzenetek nem mindig érkeznek meg azonnal, és a késleltetett kézbesítés problémát okozhat, különösen, ha az azonosítás időérzékeny, mint a KRÉTA rendszer esetében. 

A KRÉTA rendszerben a fent részletezett biztonsági kockázatok miatt sem az e-mail, sem pedig az SMS nem használható azonosításra. 

Mit jelent a megbízható eszköznek történő jelölés?

A második faktor megadásakor a rendszer lehetőséget ad arra, hogy a saját eszközünket megjeleöljük ún. "biztonságos eszközként" és ebben az esetben a belépéshez az adott eszközön a későbbiekben nem lesz szükséges a második faktor. Amikor egy eszközt biztonságosként jelölnek meg a kétfaktoros azonosítás során, az azt jelenti, hogy az adott eszköz megbízhatónak van tekintve a felhasználó által, és ezért nem szükséges minden egyes bejelentkezéskor a második biztonsági lépést megadni. 

A biztonságos eszköznek történő megjelölés általában azt jelenti, hogy az adott eszköz, például egy okostelefon vagy számítógép, be van állítva biztonsági szempontból megbízható eszközként. Ez azt jelenti, hogy az eszközre jellemző tulajdonságok, például azonosító információk vagy digitális aláírások, megfelelően azonosítják azt, és biztosítják, hogy az eszköz nem lett megváltoztatva vagy kompromittálva.

A biztonságos eszköz megjelölése jellemzően egy kényelmi funkció, amely lehetővé teszi a felhasználók számára, hogy gyorsabban és egyszerűbben férjenek hozzá azokhoz a szolgáltatásokhoz vagy alkalmazásokhoz, amelyekhez gyakran kell bejelentkezniük.

A biztonságos eszköznek történő jelölés esetében fontos tudni, hogy ez a funkció jelentősen csökkentheti a kétfaktoros azonosítás biztonsági szintjét, mivel az eszköz elvesztése vagy illetéktelen hozzáférés esetén az illető könnyebben hozzáférhet a felhasználói fiókhoz. Ezért ajánlott csak azokat az eszközöket biztonságosként megjelölni, amelyeket a felhasználó rendszeresen ellenőriz, és amelyek megfelelő fizikai és szoftveres biztonsági intézkedésekkel vannak védve.

Mit jelent az időalapú kétfaktoros azonosítás? 

A KRÉTA által is használt  időalapú kétfaktoros azonosítás (Time-based One-time Password, TOTP) egy népszerű biztonsági módszer, amely hozzáad egy második szintű ellenőrzést a hagyományos jelszóalapú bejelentkezésekhez. A TOTP alkalmazások (pl. Google Authenticator, Microsoft Authenticator, Duo Mobile, NISZ Autentikátor) egyedi, időben korlátozott hozzáférési kódokat generálnak, amelyek néhány másodpercig vagy percig érvényesek.

Lehet-e használni a kétfaktoros azonosítást okostelefon nélkül? 

A KRÉTA rendszer Adminisztrátori modulja az ún. időalapú azonosítási módszert használja, tehát az azonosításhoz mindenképpen szükséges, hogy a felhasználó eszközére (mobil, tablet) telepítve legyen valamelyik autentikátor alkalmazás, e nélkül nem használható. 

Lehet-e egy telefont több fiók kétfaktoros azonosításához is használni? 

Mivel a 2FA alapvetően a felhasználót védi az illetéktelenek által történő belépéstől, ezért egy eszközt csak egy felhasználói fiókhoz lehet hozzákapcsolni.