Egy erős jelszó fontos, de önmagában már nem jelent elegendő védelmet egy céges postafiókhoz, felhős tárhelyhez vagy üzleti alkalmazáshoz.

A jelszó adathalász levéllel, megtévesztő bejelentkezési oldallal, rosszul védett eszközről vagy egy másik szolgáltatás adatszivárgásából is illetéktelen kezekbe kerülhet. Ha ugyanazt vagy egy hasonló jelszót több helyen is használják, egyetlen megszerzett belépési adat több céges rendszerhez is utat nyithat.

Ilyenkor a rendszer nem feltétlenül lát támadót. Csak egy felhasználónevet és egy helyes jelszót lát.

Az MFA, vagyis a többtényezős hitelesítés azért fontos, mert a jelszó mellett legalább egy további ellenőrzést is kér. Így egy megszerzett jelszó önmagában már nem feltétlenül elegendő a céges fiókba történő belépéshez.

Mi az MFA?

Az MFA az angol Multi-Factor Authentication rövidítése. Magyarul többtényezős hitelesítésnek nevezzük.

A kétfaktoros hitelesítés, más néven 2FA, az MFA egyik formája. Ennél a rendszer pontosan két különböző ellenőrzési tényezőt használ. Az MFA ennél tágabb fogalom, mert kettő vagy akár több ellenőrzési tényezőt is jelenthet.

A működés lényege egyszerű: a rendszer nem kizárólag egyetlen információ alapján engedi be a felhasználót.

Az azonosítás különböző típusú tényezőkre épülhet:

  • valamire, amit a felhasználó tud, például egy jelszóra;
  • valamire, amivel a felhasználó rendelkezik, például egy telefonra vagy biztonsági kulcsra;
  • valamire, ami a felhasználóhoz köthető, például biometrikus azonosításra.

A belépéshez például szükség lehet a felhasználónévre és a jelszóra, majd ezt követően:

  • egy hitelesítő alkalmazás jóváhagyására;
  • az alkalmazásban megjelenő egyszer használatos kódra;
  • egy fizikai biztonsági kulcs használatára;
  • egy passkey használatára;
  • vagy az eszközön elérhető biometrikus azonosításra.

Ez nem tesz lehetetlenné minden visszaélést, de jelentősen megnehezíti, hogy valaki kizárólag egy ellopott jelszóval hozzáférjen egy céges fiókhoz.

Miért nem elég önmagában egy erős jelszó?

Az erős és minden szolgáltatásban egyedi jelszó továbbra is fontos. A probléma az, hogy még egy jól megválasztott jelszó is illetéktelen kezekbe kerülhet.

A jelszólopás ritkán úgy történik, hogy valaki közvetlenül elkéri a belépési adatot.

A támadó küldhet egy megtévesztő e-mailt, amelyben arra kéri a címzettet, hogy jelentkezzen be egy hamis oldalon. A felület kinézhet úgy, mint egy ismert levelező, fájlmegosztó vagy felhős szolgáltatás valódi bejelentkezési oldala.

A felhasználó beírja a címét és a jelszavát, az oldal pedig továbbítja ezeket az adathalász oldal üzemeltetőjének.

Jelszó kerülhet illetéktelen kézbe akkor is, ha:

  • ugyanazt a jelszót több szolgáltatásban használják;
  • egy kevésbé védett weboldal felhasználói adatai kiszivárognak;
  • a jelszót nem megfelelő helyen tárolják;
  • egy kártékony program hozzáfér a gépen megadott adatokhoz;
  • a felhasználó egy hamis bejelentkezési oldalon adja meg;
  • vagy a jelszó túl egyszerű és könnyen kitalálható.

Egy erős, egyedi jelszó csökkenti a kockázatot. Az MFA pedig arra az esetre biztosít további védelmi réteget, ha a jelszó mégis illetéktelen kézbe kerül.

Mi történhet egy feltört céges postafiókkal?

A céges postafiók nem egyszerűen levelek tárolására szolgál.

A levelezésben szerepelhetnek szerződések, ajánlatok, számlák, ügyféladatok, belső információk és folyamatban lévő tárgyalások. A postafiók gyakran más szolgáltatások jelszó-visszaállításához is használható.

Ha valaki hozzáfér egy céges fiókhoz, betekintést kaphat a vállalkozás működésébe. Megismerheti, kivel kommunikál a felhasználó, milyen ügyek vannak folyamatban, és kitől lenne hihető egy pénzügyi vagy hozzáférési kérés.

A megszerzett postafiókból hitelesnek tűnő üzenetek is küldhetők. Egy partner vagy kolléga kevésbé gyanakszik, ha az üzenet egy valódi céges címről érkezik, és illeszkedik egy korábbi beszélgetéshez.

A támadó akár olyan levelezési szabályokat is létrehozhat, amelyek bizonyos üzeneteket áthelyeznek vagy elrejtenek. Így a fiók tulajdonosa nem feltétlenül veszi észre azonnal a gyanús tevékenységet.

Ezért a céges levelezés védelmét nem érdemes kizárólag a jelszóra bízni.

„Nálunk nincs semmi érdekes”

Sok kisebb vállalkozás úgy gondolja, hogy nem lehet igazán érdekes célpont.

Nincsenek államtitkai, több milliárdos kutatási eredményei vagy különleges technológiái. Elsőre ezért logikusnak tűnhet a kérdés: miért foglalkozna bárki éppen velünk?

A támadónak azonban nem feltétlenül a cég üzleti titka a legértékesebb.

Értéket jelenthet:

  • egy működő céges postafiók;
  • egy partneri levelezés;
  • egy számlázási folyamat ismerete;
  • az ügyfelek és beszállítók elérhetősége;
  • egy felhős dokumentumtárhoz való hozzáférés;
  • egy hirdetési vagy közösségimédia-fiók;
  • vagy egy olyan felhasználói fiók, amelyből további megtévesztő üzenetek küldhetők.

A kis cégméret tehát nem automatikus védelem. A felhasználói fiókok ugyanúgy belépési pontot jelenthetnek, mint egy nagyobb szervezetnél.

Az MFA nem csak a Microsoft 365-höz fontos

Az MFA-t sokan elsősorban a Microsoft 365 bejelentkezési folyamatából ismerik, de a többtényezős hitelesítés más üzleti szolgáltatásoknál is fontos lehet.

Érdemes bekapcsolni minden olyan rendszerben, amely támogatja, különösen ha az adott fiók:

  • céges levelezéshez fér hozzá;
  • pénzügyi adatokat kezel;
  • ügyféladatokat tartalmaz;
  • közösségi oldalakat vagy hirdetési fiókokat kezel;
  • weboldalhoz vagy tárhelyhez ad adminisztrátori hozzáférést;
  • fájlmegosztást vagy felhőtárhelyet biztosít;
  • jelszókezelőt nyit meg;
  • távoli elérést tesz lehetővé;
  • vagy más felhasználók fiókjait kezeli.

A Microsoft 365 környezet biztonsága sem ér véget az MFA bekapcsolásával. A felhasználói fiókok, jogosultságok, megosztások, Teams-csoportok és üzleti adatok kezelésének együtt kell működnie.

Erről részletesebben a Microsoft 365: sokkal több, mint céges levelezés című cikkünkben írtunk.

Nem minden MFA-módszer egyformán erős

Az MFA többféle módon megvalósítható.

A lehetséges megoldások közé tartozhat:

  • hitelesítő alkalmazásban megjelenő egyszer használatos kód;
  • mobilalkalmazásban jóváhagyott bejelentkezési kérés;
  • SMS-ben vagy telefonhívással kapott ellenőrzés;
  • fizikai biztonsági kulcs;
  • passkey;
  • biometrikus azonosítás;
  • vagy tanúsítványalapú hitelesítés.

Ezek közös tulajdonsága, hogy a jelszó mellett további ellenőrzést kérnek. A módszerek védelmi szintje, használhatósága és adathalászattal szembeni ellenállása azonban eltérhet.

Egy céges környezetben ezért nemcsak azt kell eldönteni, hogy legyen-e MFA. Azt is át kell gondolni:

  • mely felhasználókra terjedjen ki;
  • milyen hitelesítési módszerek legyenek engedélyezettek;
  • hogyan történjen az első regisztráció;
  • mi legyen elveszett vagy lecserélt telefon esetén;
  • hogyan kapjon új hozzáférést a felhasználó;
  • és ki ellenőrizze a hitelesítési beállításokat.

A cél nem egy újabb felugró ablak létrehozása. A cél egy működő belépésvédelmi folyamat kialakítása.

Az MFA-t nem csak a vezetőknél kell bekapcsolni

Gyakori megoldás, hogy az MFA-t először csak a vezetők vagy a rendszergazdák fiókjainál kapcsolják be.

Ezek valóban kiemelten fontos fiókok. Egy vezető levelezésében érzékeny üzleti információk lehetnek, egy rendszergazdai fiókkal pedig más felhasználók és beállítások is kezelhetők.

A többi felhasználói fiókot azonban szintén védeni kell.

Egy általános céges fiókból is elérhetők lehetnek:

  • belső dokumentumok;
  • ügyféladatok;
  • közös postaládák;
  • Teams-csapatok;
  • SharePoint-webhelyek;
  • OneDrive-fájlok;
  • partneri levelezések;
  • és más üzleti alkalmazások.

A támadó számára egy kevésbé védett felhasználói fiók is használható kiindulópont lehet.

Ráadásul a kollégák gyakran megbíznak az egymástól érkező üzenetekben. Egy valódi belső postafiókból küldött hamis kérés könnyebben tűnhet hitelesnek, mint egy ismeretlen külső címről érkező levél.

Az MFA-t ezért nem különleges extra védelemként, hanem a céges felhasználói fiókok egyik alapvető biztonsági elemeként érdemes kezelni.

A rendszergazdai fiókok külön figyelmet igényelnek

A rendszergazdai hozzáféréssel olyan változtatások is elvégezhetők, amelyek egy általános felhasználó számára nem engedélyezettek.

Egy adminisztrátori fiókból módosíthatók beállítások, kezelhetők felhasználók, jogosultságok adhatók, és új hozzáférések hozhatók létre.

Emiatt ezeknek a fiókoknak az eltérítése különösen nagy kockázatot jelenthet.

A rendszergazdai fiókoknál fontos, hogy:

  • az MFA minden esetben aktív legyen;
  • a fiókot csak adminisztrációs feladatokra használják;
  • ne legyen indokolatlanul sok rendszergazda;
  • a hozzáféréseket rendszeresen felülvizsgálják;
  • a napi levelezés ne adminisztrátori fiókból történjen;
  • és a helyreállítási lehetőségek dokumentálva legyenek.

A rendszergazdai jogosultság nem kényelmi beállítás. Csak annak legyen ilyen hozzáférése, akinek a feladataihoz valóban szükséges.

Mi az az MFA-fárasztás?

Hitelesítő alkalmazás használatakor a felhasználó értesítést kaphat egy bejelentkezési kísérletről.

Ha valaki sorozatosan ilyen kéréseket indít, előfordulhat, hogy a felhasználó figyelmetlenségből, megszokásból vagy az értesítések megszüntetése érdekében jóváhagy egy olyan belépést, amelyet valójában nem a felhasználó kezdeményezett.

Ezért fontos egy egyszerű szabály:

A váratlan MFA-kérést soha nem szabad automatikusan jóváhagyni.

Ha a felhasználó éppen nem próbál belépni, a jóváhagyási kérés gyanús jel lehet. Ilyenkor a kérést el kell utasítani, és a cégnél kialakított biztonsági folyamat szerint jelezni kell az esetet.

Az MFA tehát nem helyettesíti a felhasználók tájékoztatását. A kollégáknak érteniük kell, hogy mit hagynak jóvá, és miért érkezik a kérés.

„Az MFA csak akadályozza a munkát”

Az MFA bevezetésekor gyakori ellenérv, hogy egy újabb lépéssel hosszabb lesz a bejelentkezés.

Bizonyos helyzetekben valóban szükség van egy további jóváhagyásra. Egy megfelelően kialakított rendszer azonban nem feltétlenül kér minden egyes műveletnél új azonosítást.

A valódi kérdés nem az, hogy az MFA igényel-e néhány másodpercet.

A kérdés az, hogy mekkora fennakadást okozna:

  • egy feltört postafiók;
  • egy illetéktelenül elküldött levél;
  • egy kompromittált adminisztrátori fiók;
  • egy üzleti partner megtévesztése;
  • egy elveszített közösségi vagy hirdetési fiók;
  • vagy egy céges dokumentumtárhoz megszerzett hozzáférés.

Egy rövid hitelesítési lépés kellemetlennek tűnhet. Egy biztonsági incidens kivizsgálása és helyreállítása azonban jóval nagyobb terhet jelenthet a vállalkozás számára.

Az MFA bevezetését meg kell tervezni

Az MFA bevezetése nem feltétlenül abból áll, hogy valaki bekapcsol egy beállítást, majd elküld egy rövid üzenetet a kollégáknak.

A bevezetés előtt érdemes felmérni:

  • milyen felhasználói fiókok vannak használatban;
  • mely fiókok rendelkeznek magasabb jogosultsággal;
  • milyen alkalmazásokat és eszközöket használnak a kollégák;
  • vannak-e közösen használt felhasználói fiókok;
  • milyen hitelesítési módszerek állnak rendelkezésre;
  • és hogyan történik majd a segítségnyújtás probléma esetén.

A felhasználóknak egyértelmű útmutatást kell kapniuk. Tudniuk kell, hogyan regisztrálják a szükséges hitelesítési módszert, mit tegyenek telefoncsere esetén, és kitől kérhetnek segítséget.

A helyreállítási folyamatot is előre meg kell tervezni. Ha valaki elveszíti a telefonját, lecseréli az eszközét vagy nem fér hozzá a hitelesítő alkalmazáshoz, ne rögtönzéssel kelljen visszaadni a hozzáférését.

Ha az MFA bevezetése egy átfogóbb Microsoft 365-átállás, biztonsági felülvizsgálat vagy identitáskezelési projekt része, az egyszeri IT-projektek között önálló, dokumentált feladatként is kezelhető.

Az MFA önmagában nem teljes biztonsági stratégia

A többtényezős hitelesítés fontos védelmi elem, de nem old meg minden biztonsági problémát.

Nem helyettesíti:

  • az egyedi és megfelelően kezelt jelszavakat;
  • a felhasználói jogosultságok ellenőrzését;
  • a kilépő munkatársak hozzáféréseinek megszüntetését;
  • a biztonsági mentést;
  • az eszközök védelmét;
  • az e-mail-biztonsági beállításokat;
  • a rendszeres frissítéseket;
  • és a felhasználók biztonságtudatosságát.

Ha egy felhasználó minden kérésre gondolkodás nélkül jóváhagyást ad, az MFA védelme is gyengülhet. Ha túl sok ember rendelkezik adminisztrátori jogosultsággal, egyetlen fiók kompromittálása nagyobb hatással járhat. Ha egy kilépő kolléga fiókja aktív marad, a technikai védelem mögött a működési folyamat továbbra is hiányos.

Az MFA tehát nem önálló csodamegoldás. Egy olyan többrétegű védelem része, amelyben a felhasználói fiókok, eszközök, adatok és folyamatok együtt kapnak védelmet.

Honnan tudhatod, hogy rendben működik-e nálatok az MFA?

Néhány kérdés gyorsan megmutathatja, hogy az MFA valóban a céges működés része-e, vagy csak néhány fióknál lett alkalomszerűen beállítva:

  • Minden aktív felhasználói fióknál működik?
  • A rendszergazdai fiókok is védettek?
  • Tudjátok, milyen hitelesítési módszereket használnak a kollégák?
  • Dokumentált a telefoncsere és a hozzáférés helyreállításának folyamata?
  • Rendezik a hitelesítési módszereket a munkatárs kilépésekor?
  • Tudják a kollégák, hogy váratlan jóváhagyási kérést nem szabad elfogadni?
  • Van kijelölt személy vagy szolgáltató, aki ellenőrzi a beállításokat?
  • A ritkán használt és közösen kezelt fiókok is szerepelnek a felülvizsgálatban?
  • Egyértelmű, hogyan kell jelezni egy gyanús belépési kísérletet?

Ha ezekre nincs egyértelmű válasz, attól még lehet, hogy az MFA több fióknál aktív. Az viszont nem biztos, hogy egységes, ellenőrzött és fenntartható módon működik.

A jelszó fontos, de már nem elég

A jelszó továbbra is része a biztonságos belépésnek. Fontos, hogy egyedi, megfelelően kezelt és mások számára nehezen kitalálható legyen.

A céges fiókok védelmét azonban nem érdemes egyetlen információra bízni.

Ha a jelszó kiszivárog, az MFA még egy akadályt állít az illetéktelen belépés elé. Ez a plusz lépés a felhasználónak általában rövid művelet, a vállalkozás számára viszont fontos védelmi réteg lehet.

A többtényezős hitelesítés akkor működik igazán jól, ha:

  • minden szükséges fiókra kiterjed;
  • megfelelő hitelesítési módszereket használ;
  • a felhasználók értik a működését;
  • a váratlan kéréseket felismerik;
  • a helyreállítási folyamat dokumentált;
  • és a beállításokat rendszeresen ellenőrzik.

Az MFA nem azért szükséges, mert a kollégák nem tudnak jó jelszót választani.

Azért szükséges, mert még egy jó jelszó is illetéktelen kezekbe kerülhet.

A jelszó azt igazolja, hogy a belépő ismeri a hozzáférési adatot.

Az MFA pedig egy további kérdést is feltesz: valóban a jogosult felhasználó próbál belépni?