Daugiaveiksnio autentifikavimo (MFA) sprendimai

Daugiaveiksnis autentifikavimas (angl. Multi-Factor Authentication, MFA) – tai prisijungimo būdas, kai naudotojas savo tapatybę patvirtina ne tik slaptažodžiu ar PIN kodu, bet ir fiziniu įrenginiu: aparatiniu saugumo raktu, lustine kortele ar išmaniuoju telefonu. Pavogti ar išvilioti prisijungimo duomenys yra vienas dažniausių būdų patekti į organizacijos sistemas, todėl stipri autentifikacija yra viena veiksmingiausių priemonių apsaugoti duomenis ir reputaciją.

„Blue Bridge“ parenka ir diegia atsparius sukčiavimui (angl. phishing-resistant) autentifikavimo sprendimus, paremtus FIDO2 (passkeys) ir PKI (skaitmeninių sertifikatų) technologijomis. Naudojame „Yubico“ YubiKey aparatinius raktus ir Europos Sąjungoje kuriamą „ProID“ platformą: lustines korteles, mobiliąją programėlę, vienkartinio prisijungimo (SSO) ir sertifikatų valdymo įrankius. Vienu įrenginiu darbuotojai saugiai jungiasi prie kompiuterio, VPN, nuotolinio darbalaukio, debesų paslaugų ir verslo sistemų, o kortelė gali tarnauti ir patekimui į patalpas bei elektroniniam parašui.

Pagrindiniai MFA privalumai

Apsauga nuo sukčiavimo – FIDO2 ir PKI autentifikavimas kriptografiškai susietas su tikra svetaine ar serveriu, todėl išvilioti duomenys ar perimtas kodas užpuolikui nepadeda.

Viena darbuotojo tapatybė – tas pats raktas ar kortelė naudojami prisijungti prie Windows, VPN, RDP ir debesų paslaugų, o su SSO – prie daugelio programų vienu prisijungimu.

#greita

#paprasta

#saugu

Prisijungimas vienu prisilietimu ar PIN kodu, be SMS ir programėlių kodų perrašymo. Diegimą pradedame nuo didžiausios rizikos naudotojų (administratorių, nuotolinio darbo), todėl apsauga veikia jau po pirmojo etapo.

Vienas raktas ar kortelė kompiuteriui, VPN, debesų paslaugoms, durims ir el. parašui. Raktus ir sertifikatus išduodame, blokuojame ir keičiame centralizuotai, o naudotojams nebereikia atsiminti daugybės slaptažodžių.

Privatūs raktai saugomi apsaugotame luste ir negali būti nukopijuoti. YubiKey 5 FIPS serija validuota pagal FIPS 140-3, o ProID+Q kortelės yra sertifikuoti kvalifikuoto parašo įrenginiai (QSCD) pagal eIDAS.

Kaip tai veikia?

1. Įvertiname esamą situaciją

Naudotojų grupes, sistemas (Active Directory, Entra ID, VPN, RDP, verslo ir debesų sistemas), dabartinius prisijungimo būdus, fizinės prieigos sistemas ir reguliacinius reikalavimus (NIS2, eIDAS).

2. Suprojektuojame sprendimą

Kiekvienai naudotojų grupei parenkame tinkamą autentifikatorių (YubiKey raktą, ProID lustinę kortelę ar ProID Mobile), sertifikatų (PKI) infrastruktūrą, SSO, prieigos politikas ir atsarginio prisijungimo procedūras praradus raktą.

3. Atliekame bandomąjį diegimą

Su IT administratoriais ir privilegijuotais naudotojais, patikriname suderinamumą su jūsų sistemomis

4. Pateikiame ir diegiame sprendimą

Personalizuojame ir išduodame raktus bei korteles, integruojame juos su katalogų tarnyba, VPN, nuotoliniu darbalaukiu, debesų paslaugomis ir, pageidaujant, patekimo į patalpas sistema. Slaptažodžių ir SMS kodų atsisakome palaipsniui.

5. Prižiūrime ir konsultuojame

Valdome raktų ir sertifikatų gyvavimo ciklą (išdavimą, blokavimą praradus, keitimą, atnaujinimą), mokome naudotojus ir administratorius, teikiame techninę pagalbą.

Kodėl rinktis atsparų sukčiavimui autentifikavimą, o ne SMS kodus ar slaptažodžius?

SMS kodai, vienkartiniai kodai programėlėse ir „push“ patvirtinimai gali būti perimti per apgaulingos svetainės tarpininką (angl. adversary-in-the-middle) arba išvilioti siunčiant pakartotines užklausas („MFA nuovargio“ ataka). FIDO2 ir PKI autentifikavimas kriptografiškai susietas su tikru serveriu ar svetaine, todėl apgaulingoje svetainėje jis tiesiog neveikia.

Privatusis raktas sukuriamas ir lieka saugiame luste – jo negalima nukopijuoti ar išgauti. Prisijungimui reikia ir fizinio įrenginio, ir naudotojo PIN kodo ar piršto atspaudo (YubiKey Bio serija).

Mažiau slaptažodžių reiškia mažiau slaptažodžių atkūrimo užklausų ir mažesnį IT pagalbos tarnybos krūvį, o naudotojai prisijungia greičiau.

MFA yra dalis platesnio saugumo portfelio

Naudojimo atvejis	YubiKey	ProID
Prisijungimas prie Windows kompiuterių	Taip	Taip (kortelė, ProID Mobile)
VPN ir nuotolinis darbas	Taip	Taip
Nuotolinis darbalaukis (RDP)	Taip	Taip
Debesų paslaugos ir verslo sistemos	Taip (FIDO2, passkeys)	Taip (ProID SSO)
El. laiškų ir dokumentų pasirašymas, šifravimas	Taip (PIV sertifikatai)	Taip
Kvalifikuotas el. parašas pagal eIDAS	–	Taip (ProID+Q)
Patekimas į patalpas, spausdinimas ir kitos bekontaktės funkcijos	–	Taip (ProID+)
Darbuotojo pažymėjimas su grafiniu personalizavimu	–	Taip