Uwierzytelnianie wieloskładnikowe

Uwierzytelnianie wieloskładnikowe, uwierzytelnianie wielopoziomowe (ang. multi-factor authentication, MFA) – używanie dodatkowych składników w procesie uwierzytelniania (weryfikacji tożsamości). W szczególności uwierzytelnianie dwuskładnikowe (2FA) może polegać na podaniu hasła jednorazowego (ang. one-time password, OTP) przy logowaniu się do poczty elektronicznej^[1][2].

MFA jest sposobem ochrony dostępu do zasobów cyfrowych, ponieważ utrudnia zalogowanie się do tych zasobów przez nieuprawnione osoby, które zdobyły identyfikator użytkownika i hasło uwierzytelniające. W przypadku stosowania uwierzytelniania wieloskładnikowego użytkownik oprócz podania identyfikatora oraz hasła musi (w kolejnych etapach) podać dodatkowy składnik^[3].

Do uwierzytelniania MFA mogą zostać wykorzystane metody, które można skategoryzować wg następujących kryteriów^[4]:

• „coś, co użytkownik wie”: dane, które zna tylko użytkownik np. hasło, kod PIN;
• „coś, czym użytkownik jest”: dane biometryczne, unikalne cechy fizyczne użytkownika np. odcisk palca, skan tęczówki oka, skan twarzy itp.
• "coś, co użytkownik posiada”: przedmiot lub urządzenie do uwierzytelniania np. token, aplikacja na smartfonie, klucz, karta bankomatowa itp.
• „miejsce, w jakim użytkownik aktualnie się znajduje”: np. wykorzystanie GPS, albo IP do potwierdzenia typowych lokalizacji użytkownika.

Dodatkowe składniki uwierzytelniania użytkownika mogą przybierać różne formy^[5]:

• ograniczone czasowe hasło jednorazowe (TOTP) z aplikacji zainstalowanej na przenośnym urządzeniu internetowym (np. smartfon, tablet), czyli np. token z dedykowanej aplikacja typu Google Authenticator czy Authy;
• token sprzętowy;
• hasło lub link wysłany za pośrednictwem e-mail;
• kod wysłany za pomocą SMS;
• kod z powiadomienia push;
• uwierzytelnianie biometryczne (skanowanie źrenicy oka, linii papilarnych, twarzy, weryfikacja tonu głosu);
• autoryzacja behawioralna;
• pytanie zabezpieczające (użytkownik musi odpowiedzieć na pytanie wg określonego wzorca).

Dyrektywa NIS2 oraz wynikająca z niej nowelizacja polskiej ustawy o krajowym systemie cyberbezpieczeństwa kładą duży nacisk na stosowanie uwierzytelniania wieloskładnikowego (MFA) w organizacjach. Dyrektywa NIS2 wymaga, aby podmioty krytyczne wdrożyły MFA w celu zabezpieczenia połączeń głosowych, tekstowych i wideo. Ponadto, MFA może zostać również zastosowane, aby spełnić wymogi dotyczące ochrony zasobów ludzkich, kontroli dostępu oraz zarządzania łańcuchem dostaw^[6]. W Polsce przepisy te są wdrażane poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. W projekcie znowelizowanej ustawy pojawiły się wymagania dotyczące zarządzania bezpieczeństwem informacji, w tym obowiązek implementacji MFA w celu stosowania bezpiecznych środków komunikacji elektronicznej^[7]. Wdrożenie uwierzytelniania wieloskładnikowego (MFA) w celu zabezpieczenia systemów łączności wewnątrz firmy, tymczasowego przydzielania dostępu, czy ochrony dostępu dostawców do systemu firmy może pomóc w spełnieniu wymagań ustawy o krajowym systemie cyberbezpieczeństwa^[8].