Czym jest Uwierzytelnianie wieloskładnikowe?
Uwierzytelnianie wieloskładnikowe (MFA) to metoda uwierzytelniania wymagająca od użytkownika przedstawienia dwóch lub więcej niezależnych poświadczeń z różnych kategorii — coś, co wiesz; coś, co masz; lub coś, czym jesteś — przed udzieleniem dostępu.
Znane również jako: multi-factor authentication, two-factor authentication, 2FA, MFA
Trzy standardowe czynniki uwierzytelniania to: wiedza (hasła, PIN-y), posiadanie (telefony, tokeny sprzętowe, karty inteligentne) i cecha wrodzona (odciski palców, rozpoznawanie twarzy). MFA wymaga poświadczeń z co najmniej dwóch z tych kategorii, więc skompromitowanie jednego czynnika nie wystarczy atakującemu do uzyskania dostępu. Skradzione hasło jest bezużyteczne bez tokena sprzętowego; skradziony telefon jest bezużyteczny bez PIN-u.
Najpowszechniejsze implementacje MFA łączą hasło z jednorazowym hasłem opartym na czasie (TOTP) generowanym przez aplikację uwierzytelniającą, kodem SMS lub powiadomieniem push na urządzeniu mobilnym. Silniejsze implementacje używają sprzętowych kluczy bezpieczeństwa (FIDO2/WebAuthn), które są odporne na phishing, ponieważ kryptograficznie wiążą się z konkretną uwierzytelnianą domeną. Kody SMS, choć lepsze niż samo hasło, są podatne na ataki SIM swapping.
MFA jest jednym z najskuteczniejszych środków bezpieczeństwa, jakie organizacja może wdrożyć. Dane branżowe konsekwentnie pokazują, że MFA blokuje ponad 99% zautomatyzowanych ataków na poświadczenia. Mimo to adopcja pozostaje nierówna — wiele incydentów bezpieczeństwa można przypisać kontom chronionym wyłącznie hasłami, w szczególności kontom usług, starszym systemom i kontom osobistym używanym w wielu usługach.
Jak Vaulted używa Uwierzytelnianie wieloskładnikowe
Vaulted nie używa kont ani uwierzytelniania opartego na logowaniu, więc MFA nie dotyczy bezpośrednio usługi. Jednak opcjonalna ochrona passphrase w Vaulted zapewnia analogiczny drugi czynnik dla dostępu do sekretów. Sam link pełni rolę „czegoś, co masz" (posiadanie URL-a), a passphrase działa jako „coś, co wiesz". Razem zapewniają, że samo przechwycenie linku nie wystarczy do uzyskania dostępu do sekretu — atakujący potrzebowałby również passphrase, która powinna być przekazana osobnym kanałem.