Brak obsługi MFA w aplikacji firmowej

Brak obsługi MFA w konkretnej aplikacji firmowej wskazuje, że dana aplikacja nie integruje się jeszcze z uwierzytelnianiem wieloskładnikowym organizacji — wymaga aktualizacji lub kontaktu z jej dostawcą.

Na czym polega brak obsługi MFA w aplikacji firmowej

Brak obsługi MFA w aplikacji firmowej oznacza, że podczas logowania nie można zastosować dodatkowego składnika potwierdzającego tożsamość użytkownika, takiego jak kod z aplikacji uwierzytelniającej, wiadomość jednorazowa, klucz bezpieczeństwa albo zatwierdzenie operacji na wcześniej zarejestrowanym urządzeniu. Dostęp może być wtedy chroniony wyłącznie hasłem, nawet jeśli w pozostałych systemach organizacji obowiązuje uwierzytelnianie wieloskładnikowe.

Problem może dotyczyć całej aplikacji albo tylko określonego sposobu logowania. Czasem MFA nie jest dostępne przy bezpośrednim logowaniu do programu, ale można je wymusić przez zewnętrznego dostawcę tożsamości. W innych przypadkach aplikacja nie obsługuje protokołów stosowanych przez firmę, nie pozwala na podłączenie dodatkowego mechanizmu ochrony lub korzysta ze starszego modułu logowania, którego nie da się łatwo rozszerzyć.

Nie należy utożsamiać tego z błędnym działaniem samego kodu jednorazowego ani z problemem pojedynczego konta. Jeżeli żaden użytkownik nie może włączyć drugiego składnika, przyczyny należy szukać w funkcjach programu, konfiguracji logowania albo ograniczeniach narzuconych przez dostawcę aplikacji.

Znaczenie MFA w porównaniu z logowaniem tylko hasłem

Logowanie oparte wyłącznie na haśle zależy od jednego sekretu. Gdy hasło zostanie wyłudzone, odgadnięte, ponownie użyte w innym serwisie lub przejęte podczas incydentu, osoba nieuprawniona może uzyskać dostęp bez dodatkowego potwierdzenia. MFA wprowadza kolejną warstwę kontroli, dzięki czemu znajomość hasła nie musi wystarczyć do wejścia na konto.

W aplikacji firmowej szczególne znaczenie ma spójność ochrony z pozostałymi narzędziami używanymi w organizacji. Jeżeli dostęp do poczty, dokumentów i panelu tożsamości jest zabezpieczony wieloskładnikowo, a jeden program pozostaje wyjątkiem, powstaje słabszy punkt w całym modelu dostępu. Taki wyjątek może utrudniać spełnienie wewnętrznych zasad bezpieczeństwa, kontrolę uprawnień i analizę zdarzeń logowania.

Możliwe jest zastosowanie kilku rozwiązań pośrednich, lecz każde ma inne wymagania. Aplikacja może zostać połączona z dostawcą tożsamości przez logowanie jednokrotne, objęta dostępem warunkowym albo zastąpiona nowszą wersją. W przypadku programu działającego lokalnie może być potrzebny dodatkowy moduł, brama dostępu lub zmiana sposobu uwierzytelniania. Przed wyborem rozwiązania powinno zostać sprawdzone, czy aplikacja przechowuje własne konta, czy korzysta z katalogu użytkowników oraz czy dostawca przewidział oficjalną integrację.

Typowe problemy i błędy związane z brakiem MFA

Jednym z częstszych błędów jest uznanie, że włączenie MFA w katalogu użytkowników automatycznie obejmie każdy program używany w organizacji. Tak się nie stanie, jeśli aplikacja omija centralne logowanie i przyjmuje dane bezpośrednio na własnym ekranie. W takim układzie ustawienia ochrony obowiązujące w innych usługach mogą nie mieć żadnego wpływu na tę aplikację.

Innym problemem bywa obsługa tylko jednego, przestarzałego mechanizmu uwierzytelniania. Program może wymagać starszego protokołu, nie rozpoznawać żądań dodatkowego potwierdzenia albo nie przekazywać poprawnie informacji o użytkowniku po zalogowaniu przez zewnętrzny system. Objawem może być brak opcji włączenia MFA, zapętlenie procesu logowania, odrzucenie poprawnych danych lub powrót do formularza hasła po pomyślnej weryfikacji.

Ryzyko zwiększa także tworzenie wyjątków dla kont technicznych, współdzielonych i administracyjnych. Pomijanie dodatkowego składnika może być uzasadnione ograniczeniami starego programu, ale powinno zostać udokumentowane i ograniczone do niezbędnego zakresu. Należy sprawdzić, czy można ograniczyć dostęp do określonych urządzeń, sieci, godzin albo ról, a także czy aktywność takich kont jest rejestrowana.

Przy diagnozie warto ustalić wersję aplikacji, sposób zarządzania kontami, dostępne metody logowania oraz komunikaty pojawiające się podczas próby konfiguracji MFA. Pomocne może być porównanie zachowania zwykłego konta z kontem administracyjnym, sprawdzenie dokumentacji producenta i przejrzenie rejestrów logowania. Nie powinno się natomiast obchodzić problemu przez wyłączanie wymagań bezpieczeństwa w całej organizacji.

W jakich sytuacjach warto skorzystać z pomocy serwisu - Brak obsługi MFA w aplikacji firmowej

Zgłoszenie do serwisu jest zasadne, gdy brak MFA dotyczy programu potrzebnego do codziennej pracy, nie można ustalić, czy ograniczenie wynika z aplikacji czy z konfiguracji konta, albo po zmianie ustawień pojawiają się błędy logowania. Weryfikacji może wymagać także sytuacja, w której dostawca aplikacji deklaruje obsługę wieloskładnikowego logowania, lecz odpowiednia opcja nie jest widoczna lub działa tylko dla części użytkowników.

Przed przekazaniem urządzenia powinno zostać przygotowane oznaczenie problematycznej aplikacji, opis sposobu logowania, treść komunikatu błędu oraz informacja, czy problem występuje na jednym komputerze, czy na większej liczbie stanowisk. Nie należy przekazywać haseł ani kodów jednorazowych. Wystarczające powinny być bezpieczne informacje diagnostyczne, a ewentualne testy należy wykonywać na koncie o ograniczonych uprawnieniach.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie analizie podlega zarówno konfiguracja komputera, jak i sposób uruchamiania aplikacji. Naprawy trwają z reguły do 3 dni roboczych, zależnie od zakresu sprawdzenia i dostępności informacji od dostawcy programu. Po rozpoznaniu przyczyny można określić, czy wystarczy zmiana ustawień, aktualizacja aplikacji, podłączenie centralnego logowania, czy konieczna będzie konsultacja z producentem.