În acest articol o să discutăm despre procesul de autentificare multifactor (MFA) sau autentificarea în doi pași.

Din punct de vedere al securității, autentificarea bazată exclusiv pe parolă nu mai oferă un nivel suficient de protecție. Utilizatorii aleg adesea parole slabe, reutilizează aceleași combinații pe mai multe platforme sau cad victime campaniilor de phishing, ceea ce face ca atacatorii să poată obține acces cu ușurință la conturi critice. În acest context, autentificarea multifactor (MFA) a devenit o componentă vitală a arhitecturilor de securitate moderne.

MFA presupune utilizarea a cel puțin două metode diferite de verificare a identității, din categorii separate de factori, cu scopul de a asigura că accesul este acordat doar utilizatorului legitim. Este o măsură esențială pentru protejarea infrastructurilor IT, conturilor cloud, aplicațiilor sensibile și a identităților digitale în general, fiind adoptată atât de utilizatori individuali, cât și de companii și instituții guvernamentale.

Factori de autentificare

MFA combină factori din cel puțin două dintre următoarele categorii:

• Ceva ce știi (something you know) – parolă, cod PIN, răspuns la întrebări de securitate;
• Ceva ce ai (something you have) – telefon, token hardware, smartcard, cheie de securitate fizică;
• Ceva ce ești (something you are) – date biometrice precum amprenta, recunoaștere facială sau vocală.

Această separare a factorilor crește semnificativ nivelul de securitate, deoarece compromiterea unui singur factor nu este suficientă pentru a obține acces.

Mecanisme de funcționare

MFA este implementată în mai mulți pași, care implică autentificarea inițială și verificarea suplimentară:

1. Autentificarea primară: utilizatorul introduce o parolă sau un cod PIN. Aceasta este verificată de sistemul de autentificare (ex: server LDAP, IdP, Active Directory);
2. Declanșarea verificării secundare: în funcție de configurație, sistemul solicită un al doilea factor — un cod OTP, o confirmare push sau o scanare biometrică;
3. Validarea și acordarea accesului: dacă ambele etape sunt verificate cu succes, utilizatorului i se acordă acces, de obicei prin emiterea unui token de sesiune (SAML, JWT, Kerberos).

Tehnologii și protocoale utilizate pentru autentificare multifactor

MFA este susținută de mai multe protocoale și standarde:

• TOTP (Time-based One-Time Password): coduri generate la fiecare 30 de secunde, sincronizate cu ceasul intern al aplicației. Utilizat în Google Authenticator, Microsoft Authenticator etc. (RFC 6238);
• HOTP (HMAC-based One-Time Password): coduri generate incremental, folosit în tokenuri hardware mai vechi (RFC 4226);
• FIDO2 / WebAuthn: protocol modern de autentificare fără parolă sau multifactor, bazat pe criptografie cu chei publice, implementat prin chei de securitate (ex: YubiKey) sau module TPM și Windows Hello;
• Push Notification MFA: aplicațiile de autentificare trimit o notificare push către dispozitivul înregistrat; utilizatorul confirmă manual accesul;
• OTP prin SMS sau apel: un cod este transmis prin rețeaua mobilă, dar acest sistem este vulnerabil la atacuri de tip SIM swapping.

Tipuri de tokenuri MFA

1. Aplicații software: rulând pe telefon (ex: Authy, Google Authenticator), folosesc TOTP pentru a genera coduri temporare, funcționează offline;
2. Tokenuri hardware: dispozitive fizice independente (ex: YubiKey, RSA SecurID), nu depind de conectivitate sau aplicații;
3. Smartcarduri: folosite în medii enterprise și guvernamentale, pot conține certificate digitale și necesită cititoare speciale;
4. Biometrie: metode precum amprenta sau recunoașterea facială sunt din ce în ce mai folosite ca al doilea factor sau chiar ca metodă principală în scenarii passwordless.

Avantajele pe care le aduce procesul de autentificare multifactor

• Rezistență crescută la atacuri de tip phishing, brute-force și credential stuffing;
• Compatibilitate cu politici de securitate Zero Trust și scenarii de lucru la distanță;
• Scalabilitate și flexibilitate în funcție de riscurile asociate fiecărui tip de utilizator;
• Conformitate cu reglementările și standardele de securitate (ex: GDPR, HIPAA, NIST, PCI-DSS).

Provocări și limitări autentificare multifactor

• Complexitate administrativă: implementarea MFA necesită infrastructură și proceduri clare de enrollment și recovery;
• Costuri suplimentare: în cazul utilizării tokenurilor hardware sau licențelor comerciale pentru soluții enterprise;
• Rezistența utilizatorilor: percepută ca inconvenient, mai ales dacă este configurată greșit sau prea agresiv;
• Vulnerabilități în metodele mai slabe: OTP prin SMS sau email pot fi interceptate sau redirecționate de atacatori.

Concluzie

Autentificarea multifactor nu mai este opțională în peisajul actual al securității cibernetice. Este una dintre cele mai eficiente metode de protejare a accesului, iar adoptarea ei reduce semnificativ riscurile de phishing, credential stuffing și atacuri de tip brute-force.

Într-o lume în care atacatorii nu mai trebuie să spargă uși, ci doar să găsească o parolă slabă, soluția de autentificare multifactor. devine în mod clar un „must-have” și nu un „nice-to-have”.

Acestea fiind spuse, recomandarea noastră este ca autentificarea multifactor să fie activată oriunde este posibil, pentru a adăuga un strat suplimentar de protecție împotriva accesului neautorizat. Ideal, aceasta ar trebui utilizată împreună cu un manager de parole, care ajută la generarea și stocarea în siguranță a parolelor unice și complexe.

Dacă aveți nevoie de ajutor pentru implementarea sau îmbunătățirea securitații IT a companiei, vă stăm la dispoziție.

Zemernett este o companie de prestări servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să propună soluții tehnice personalizate după nevoile clienților, punând activ umărul la dezvoltarea IT a companiilor client.