Drugi składnik logowania jest tą zmianą, po której wyciek hasła przestaje wystarczać, żeby wejść do firmy. Ta strona zbiera w jednym miejscu całość tematu: kto stoi za systemem, który wdrażam, co jego włączenie zmienia w firmie, jak wygląda w sytuacjach z codziennej pracy i którymi drogami dostępu zajmuję się w pierwszej kolejności. Sam przebieg logowania — krok po kroku — opisuję w usłudze Cyberbezpieczeństwo; tutaj rozwijam to, co dzieje się wokół niego.
Kim jest Rublon
Rublon to polski producent systemu uwierzytelniania wieloskładnikowego; firma powstała w Zielonej Górze. Jego głównym produktem jest Rublon MFA — wraz z wtyczkami, które podpinają go do rzeczy, z których firmy korzystają na co dzień: logowania do Windows, zdalnego pulpitu, bram VPN, poczty i kont w Microsoft 365, katalogu użytkowników. Jestem partnerem Rublona i to jego system wdrażam, kiedy trzeba dołożyć drugi składnik do logowania.
Co zmienia MFA w firmie
Samo hasło przestaje otwierać drzwi. Hasło jest tym, co najłatwiej wychodzi z firmy, a jego wyciek zwykle nie zostawia śladu. Po włączeniu drugiego składnika hasło nadal może wyciec, ale przestaje wystarczać — próba wejścia zatrzymuje się na potwierdzeniu, którego nikt z zewnątrz nie ma jak wykonać.
Widać, kto się loguje. Wszystkie potwierdzenia idą przez jedną konsolę, więc powstaje zapis prób: skąd i o której ktoś się logował, co zostało zatwierdzone, a co odrzucone. Bez tego pytanie „czy ktoś obcy próbował wejść w weekend" po prostu nie ma odpowiedzi.
Dostęp odbiera się w jednym miejscu. Odejście pracownika, zgubiony telefon, laptop zostawiony w serwisie — zamiast zmieniać hasła w kilku systemach, wyłączam powiązanie w konsoli i sprawa jest zamknięta dla wszystkich usług naraz.
Reguły zamiast wyjątków. To, kiedy firma pyta o drugi składnik, jest ustawieniem polityki: inaczej dla logowania z firmowego komputera w biurze, inaczej dla wejścia z zewnątrz. Dzięki temu zabezpieczenie nie musi być kompromisem między spokojem a wygodą pracy.
Jak to wygląda w codziennej pracy
Sam przebieg logowania — od podania hasła do wejścia — opisuję krok po kroku w usłudze Cyberbezpieczeństwo. Poniżej pokazuję, jak ten jeden dodatkowy krok wypada w sytuacjach, które w małej firmie zdarzają się naprawdę.
Przy biurku, z telefonem pod ręką. Na telefonie pojawia się pytanie o potwierdzenie; zatwierdzenie zajmuje tyle, co odblokowanie ekranu. To domyślny wariant dla stanowisk biurowych i przy nim zostaje większość osób.
Tam, gdzie telefonu nie ma. Na hali produkcyjnej, w gabinecie zabiegowym albo w miejscu, gdzie telefonu nie wolno wnosić, drugim składnikiem jest klucz sprzętowy: pracownik wkłada go do portu USB i dotyka. Klucz nie potrzebuje zasięgu ani baterii i można go zostawić przy stanowisku, jeśli pracuje na nim jedna osoba.
W trasie i bez zasięgu. Kod jednorazowy z aplikacji powstaje na urządzeniu, więc działa też w hotelu bez internetu i w miejscu bez zasięgu. Kiedy i to zawodzi, zostaje lista kodów zapasowych — po to, żeby brak zasięgu nigdy nie oznaczał braku dostępu do poczty.
Pierwszy dzień nowej osoby. Przy pierwszym logowaniu pracownik sam rejestruje swój uwierzytelniacz — nie wymaga to mojego udziału ani wizyty przy jego biurku. Nowe konto od początku jest objęte tą samą polityką co pozostałe, więc nie powstaje wyjątek, o którym za pół roku nikt nie pamięta.
Zgubiony telefon. Powiązanie z urządzeniem wyłącza się w konsoli, a pracownik rejestruje nowe. To zmiana ustawienia, nie kolejne wdrożenie — i dlatego zależy mi, żeby każda osoba miała włączoną więcej niż jedną metodę, zanim taka sytuacja nastąpi.
Metody potwierdzania logowania
Metod jest dziesięć i nie są równorzędne. Najmocniejsze są klucze sprzętowe FIDO: potwierdzenie jest związane z adresem strony, na której się logujesz, więc fałszywa strona podszywająca się pod firmowe logowanie nic z nim nie zrobi. Powiadomienie w telefonie jest najwygodniejsze i wystarcza w większości małych firm. Kody z aplikacji sprawdzają się bez zasięgu. Kod SMS traktuję jako ostateczność — dla osoby, która nie chce instalować aplikacji, i pod warunkiem, że nie jest to jedyna metoda w firmie.
W praktyce dobieram dwie metody na osobę: jedną wygodną do codziennego użytku i drugą na wypadek, gdy pierwsza jest niedostępna.
Dziesięć metod drugiego składnika dostępnych w Rublonie. Materiał producenta.
Gdzie włączam drugi składnik
Zaczynam od wypisania dróg, którymi wchodzi się dziś do firmy, i sprawdzenia, które z nich są wystawione wprost do internetu. Najczęściej w grę wchodzą:
Zdalny pulpit. Najczęstsze wejście z zewnątrz i pierwsze miejsce, od którego zaczynam. Potwierdzenie dochodzi do logowania na pulpit oraz do bramy, przez którą pracownicy łączą się spoza biura.
VPN. Drugi składnik podpina się do bramy, na której firma pracuje, przez standardowy protokół uwierzytelniania — bez wymiany urządzenia i bez zmiany sposobu łączenia się po stronie pracownika.
Poczta i konta Microsoft 365. Skrzynka jest tym, przez co najczęściej ktoś próbuje wejść do firmy, i tym, z czego najłatwiej wyprowadzić dane — także wtedy, gdy nikt nie ruszył żadnego serwera.
Logowanie do Windows. Na serwerach i na stacjach roboczych, również przy logowaniu lokalnym, nie tylko zdalnym. To ostatni krok, bo dotyka codziennej pracy najbardziej.
Partnerstwo
Znak partnerski przyznany przez Rublona. Materiał producenta.
Odznakę przyznaje Rublon i mówi ona dokładnie tyle, ile na niej widać: pracuję na tym systemie. Opis samego produktu, wykaz integracji i dokumentacja są u źródła: rublon.com.
Jeśli chcesz sprawdzić, czy drugi składnik da się włączyć na tym, czym Twoja firma już się loguje — napisz, obejrzę to i powiem wprost, od czego zacząłbym w tym konkretnym przypadku.