MFA czy FIDO2 - jak chronić dostęp firmowy?

Sprawdź, MFA czy FIDO2 lepiej ogranicza ryzyko przejęcia kont oraz jak zaprojektować ochronę dostępu dla złożonej organizacji i jej systemów krytycznych.

Przejęte konto użytkownika nadal pozostaje jednym z najkrótszych wektorów prowadzących do incydentu. Atakujący nie musi przełamywać zabezpieczeń sieciowych, jeśli może zalogować się jako pracownik, administrator lub dostawca. Pytanie MFA czy FIDO2 warto więc postawić inaczej: które mechanizmy uwierzytelniania faktycznie ograniczają ryzyko phishingu, kradzieży poświadczeń i nieautoryzowanego dostępu do zasobów krytycznych?

Dla organizacji złożonych, obsługujących wiele systemów, lokalizacji i grup użytkowników, nie jest to wybór między dwoma równorzędnymi technologiami. MFA opisuje model uwierzytelniania wieloskładnikowego, natomiast FIDO2 jest standardem, który może zapewnić szczególnie odporną na phishing formę MFA. Różnica ma bezpośrednie znaczenie dla architektury tożsamości, polityk dostępu, procesu wdrożenia i poziomu ryzyka akceptowanego przez organizację.

MFA czy FIDO2 - różnica, która ma znaczenie

MFA, czyli Multi-Factor Authentication, wymaga potwierdzenia tożsamości z użyciem co najmniej dwóch różnych czynników. Mogą to być wiedza użytkownika, na przykład hasło lub PIN, posiadanie urządzenia albo klucza, a także cecha biometryczna. Do MFA zalicza się zarówno kod jednorazowy z aplikacji uwierzytelniającej, powiadomienie push, wiadomość SMS, jak i logowanie kluczem sprzętowym.

FIDO2 to otwarty standard uwierzytelniania oparty na kryptografii klucza publicznego. Użytkownik potwierdza logowanie na urządzeniu za pomocą PIN-u, biometrii lub lokalnej metody odblokowania, lecz sekret uwierzytelniający nie jest przekazywany do systemu docelowego. Serwer otrzymuje potwierdzenie kryptograficzne związane z konkretną usługą lub domeną.

Ta cecha decyduje o przewadze FIDO2 w obronie przed phishingiem. Kod TOTP można wpisać na fałszywej stronie, a powiadomienie push można zatwierdzić pod presją lub wskutek tzw. MFA fatigue. Klucz FIDO2 weryfikuje kontekst usługi, dlatego nie powinien uwierzytelnić użytkownika wobec domeny podszywającej się pod właściwy portal. Standard FIDO2 nie zastępuje więc MFA - jest jego bardziej odporną implementacją w scenariuszach, które wymagają silnego potwierdzenia tożsamości.

Gdzie klasyczne MFA nadal ma zastosowanie

Organizacje nie powinny traktować każdego mechanizmu MFA jako niewystarczającego. Aplikacje generujące kody jednorazowe są dostępne, stosunkowo proste we wdrożeniu i często dobrze obsługiwane przez starsze systemy. Mogą stanowić etap przejściowy dla użytkowników zewnętrznych, aplikacji o niskim poziomie ryzyka albo środowisk, w których integracja z FIDO2 nie jest jeszcze możliwa.

SMS jako drugi składnik jest rozwiązaniem najsłabszym z popularnych metod. Zagrożenia obejmują przejęcie numeru telefonu, błędy w procesie obsługi operatora, przekierowanie wiadomości oraz podatność na socjotechnikę. W środowiskach regulowanych, przy dostępie administracyjnym lub zdalnym dostępie do danych wrażliwych, SMS nie powinien być docelową metodą ochrony.

Powiadomienia push poprawiają wygodę, lecz wymagają właściwej konfiguracji. Warto stosować number matching, ograniczać liczbę prób uwierzytelnienia i korelować żądania z kontekstem sesji. Samo kliknięcie „zaakceptuj” nie daje pewności, że użytkownik świadomie zatwierdził prawidłowe logowanie.

Kiedy FIDO2 powinno być standardem

FIDO2 jest szczególnie uzasadnione tam, gdzie konsekwencje przejęcia konta są wysokie. Dotyczy to administratorów systemów, zespołów bezpieczeństwa, operatorów infrastruktury, osób zatwierdzających płatności, użytkowników PAM oraz pracowników mających dostęp do danych osobowych, informacji niejawnych lub systemów operacyjnych.

W organizacjach publicznych i przedsiębiorstwach zarządzających infrastrukturą krytyczną istotny jest również dostęp realizowany przez podmioty zewnętrzne. Serwisanci, integratorzy, dostawcy oprogramowania oraz konsultanci często potrzebują dostępu czasowego i uprzywilejowanego. W takim przypadku FIDO2 należy połączyć z kontrolą dostępu warunkowego, ograniczeniem czasu sesji oraz PAM. Silne uwierzytelnienie nie rozwiązuje problemu nadmiernych uprawnień, ale znacząco zmniejsza prawdopodobieństwo wykorzystania przejętego konta.

Warto rozróżnić klucze sprzętowe od kluczy platformowych i passkeys. Klucz sprzętowy jest fizycznym tokenem, który można przypisać do konkretnej osoby, wykorzystać na współdzielonych stanowiskach oraz przechowywać jako zabezpieczony klucz zapasowy. Klucz platformowy korzysta z mechanizmów urządzenia, takich jak Windows Hello, Touch ID czy zabezpieczenia sprzętowe telefonu. Jest wygodny dla użytkownika, ale wymaga dojrzałego zarządzania urządzeniami, procedur odtwarzania dostępu i oceny polityki synchronizacji poświadczeń.

Nie technologia, lecz architektura dostępu

Najczęstszy błąd polega na wdrożeniu MFA wyłącznie dla poczty elektronicznej i uznaniu zadania za zakończone. Tożsamość użytkownika jest jednak wykorzystywana również w VPN, systemach ERP, repozytoriach dokumentów, konsolach chmurowych, narzędziach deweloperskich, aplikacjach SaaS i systemach administracyjnych. Osobną kategorię stanowią konta serwisowe, konta awaryjne oraz tożsamości maszynowe.

Skuteczny program ochrony dostępu zaczyna się od inwentaryzacji systemów i przepływów uwierzytelniania. Należy ustalić, które aplikacje korzystają z centralnego dostawcy tożsamości, które obsługują nowoczesne protokoły federacyjne, a które nadal wymagają poświadczeń lokalnych. Dopiero na tej podstawie można określić docelowy model: FIDO2 dla grup podwyższonego ryzyka, MFA odporne na phishing dla dostępu zdalnego i administracyjnego oraz kontrolowane wyjątki dla systemów legacy.

W architekturze Zero Trust sam fakt poprawnego uwierzytelnienia nie powinien automatycznie oznaczać pełnego zaufania. Decyzja o dostępie powinna uwzględniać rolę użytkownika, kondycję urządzenia, lokalizację, wrażliwość zasobu, porę logowania i ryzyko sesji. Użytkownik administracyjny logujący się z niezarządzanego urządzenia do konsoli produkcyjnej powinien podlegać innym zasadom niż pracownik korzystający z wewnętrznego portalu informacyjnego.

Wdrożenie bez utraty ciągłości działania

Przejście na FIDO2 wymaga przygotowania operacyjnego, nie tylko zakupu tokenów lub włączenia funkcji u dostawcy tożsamości. Pierwszym krokiem powinien być pilotaż obejmujący administratorów, zespół IT i reprezentatywną grupę użytkowników biznesowych. Pozwala on sprawdzić zgodność przeglądarek, urządzeń mobilnych, aplikacji desktopowych oraz procesów wsparcia technicznego.

Równie ważne są scenariusze wyjątkowe. Organizacja musi określić, co dzieje się po utracie klucza, wymianie telefonu, zmianie stanowiska pracy lub awarii dostawcy tożsamości. Procedura odzyskania dostępu nie może stać się furtką dla atakującego podszywającego się pod pracownika. Potwierdzenie tożsamości, zasada dwóch osób w krytycznych przypadkach, czasowe uprawnienia i pełne logowanie działań helpdesku są tu elementami kontroli bezpieczeństwa.

Należy też zaplanować konta awaryjne typu break-glass. Powinny być nieliczne, silnie zabezpieczone, objęte monitoringiem i regularnie testowane. Nie powinny korzystać z tych samych metod odzyskiwania dostępu co zwykłe konta użytkowników. Ich rolą jest zapewnienie ciągłości działania w sytuacji awaryjnej, a nie wygodne omijanie polityki MFA.

Jak podejmować decyzję technologiczną

W praktyce najlepszym wyborem rzadko jest „MFA albo FIDO2”. Dojrzała organizacja buduje hierarchię metod uwierzytelniania, przypisaną do ryzyka zasobu i typu użytkownika. FIDO2 powinno stanowić preferowany standard dla kont uprzywilejowanych, administracji chmurowej, dostępu zdalnego oraz systemów o wysokiej wartości biznesowej. Dla pozostałych scenariuszy można czasowo utrzymać inne formy MFA, pod warunkiem że są świadomie ocenione, monitorowane i mają określony plan modernizacji.

Warto mierzyć efekty wdrożenia nie tylko liczbą zarejestrowanych użytkowników. Znaczenie mają odsetek logowań odpornych na phishing, liczba aktywnych kont bez MFA, czas obsługi incydentów związanych z dostępem, liczba wyjątków od polityk oraz pokrycie kont uprzywilejowanych. Takie wskaźniki pozwalają kierownictwu ocenić, czy inwestycja realnie redukuje ryzyko, a zespołom technicznym identyfikować obszary wymagające dalszej integracji.

Dobrze zaprojektowane FIDO2 nie jest wyłącznie kolejną metodą logowania. Staje się fundamentem polityki dostępu, która łączy ochronę tożsamości, PAM, zarządzanie urządzeniami i zasady Zero Trust. Najlepszym momentem na podjęcie tej decyzji jest czas przed pierwszym incydentem wynikającym z przejętych poświadczeń - gdy organizacja może wdrożyć zmianę metodycznie, bez działania pod presją kryzysu.