Konto firmowe wymaga uwierzytelnienia sprzętowego

Konto firmowe wymaga uwierzytelnienia sprzętowego wskazuje na politykę zgodności urządzeń (Conditional Access) wymuszającą klucz FIDO2 lub certyfikat urządzenia przed dostępem do zasobów.

Czym jest komunikat „Konto firmowe wymaga uwierzytelnienia sprzętowego”

Komunikat „Konto firmowe wymaga uwierzytelnienia sprzętowego” oznacza, że dostęp do firmowych danych, aplikacji lub panelu logowania został uzależniony od użycia dodatkowego elementu potwierdzającego tożsamość oraz zaufanie do urządzenia. Samo podanie hasła nie wystarcza, ponieważ organizacja stosuje regułę bezpieczeństwa, według której logowanie musi zostać zatwierdzone za pomocą fizycznego klucza bezpieczeństwa, zapisanych poświadczeń urządzenia albo certyfikatu przypisanego do konkretnego komputera.

W praktyce może być wymagany klucz zgodny ze standardem FIDO2, moduł zabezpieczeń komputera, certyfikat urządzenia lub inny mechanizm kryptograficzny ustanowiony przez administratora. Uwierzytelnienie sprzętowe ma potwierdzić, że poza znajomością hasła dostępne jest również uprawnione urządzenie lub fizyczny token. Ogranicza to ryzyko przejęcia konta w sytuacji, gdy hasło zostanie wyłudzone, ujawnione w wyniku wycieku albo zapisane w niebezpiecznym miejscu.

Taki komunikat nie musi oznaczać awarii konta. Często jest informacją o aktywnej polityce dostępu warunkowego, która sprawdza jednocześnie dane logowania, stan zabezpieczeń komputera, sposób uwierzytelnienia oraz zgodność urządzenia z wymaganiami organizacji. Jeżeli komputer nie ma właściwego certyfikatu, klucz nie został zarejestrowany albo system nie potrafi skorzystać z wymaganej funkcji ochronnej, logowanie może zostać zatrzymane mimo poprawnego hasła.

Kontekst techniczny i różnica między hasłem a uwierzytelnieniem sprzętowym

Hasło jest informacją, którą można skopiować, odgadnąć lub przechwycić. Uwierzytelnienie sprzętowe opiera się natomiast na elemencie pozostającym pod kontrolą użytkownika lub organizacji. Klucz bezpieczeństwa może przechowywać dane kryptograficzne, których nie trzeba przepisywać do formularza logowania. Podczas próby dostępu wykonywana jest operacja potwierdzająca posiadanie właściwego urządzenia, a system weryfikuje odpowiedź bez ujawniania sekretu używanego do ochrony konta.

W przypadku certyfikatu urządzenia mechanizm działania jest nieco inny. Komputer otrzymuje certyfikat oraz odpowiadający mu klucz prywatny, a system logowania sprawdza, czy przedstawione poświadczenie pochodzi z zatwierdzonego urządzenia. Certyfikat może być zapisany w magazynie systemowym, module TPM albo innym chronionym obszarze. Jeśli został usunięty, wygasł lub przestał być rozpoznawany po zmianie konfiguracji, pojawia się żądanie dodatkowego uwierzytelnienia lub blokada dostępu.

FIDO2 wykorzystuje kryptografię klucza publicznego i może współpracować z kluczem USB, urządzeniem z obsługą komunikacji bezprzewodowej albo funkcją zabezpieczeń wbudowaną w komputer. Podczas rejestracji tworzone jest powiązanie między kontem a konkretnym mechanizmem uwierzytelniającym. Późniejsze logowanie wymaga użycia tego mechanizmu oraz, zależnie od konfiguracji, potwierdzenia obecności użytkownika, kodu PIN lub biometrii. Z tego powodu problem może dotyczyć zarówno konta, jak i lokalnej konfiguracji systemu.

Warto odróżnić wymaganie sprzętowe od zwykłego uwierzytelniania wieloskładnikowego opartego na kodzie z wiadomości lub aplikacji. Oba rozwiązania dodają drugą warstwę ochrony, lecz klucz sprzętowy lub certyfikat urządzenia wiążą dostęp z konkretnym przedmiotem albo komputerem. Taki model utrudnia wykorzystanie samych przejętych danych logowania na innym urządzeniu.

Typowe problemy i błędy powodujące blokadę logowania

Jedną z częstszych przyczyn jest próba zalogowania się z komputera, który nie został wcześniej zarejestrowany lub nie spełnia aktualnych wymagań organizacji. Może to nastąpić po reinstalacji systemu, przywróceniu ustawień fabrycznych, wymianie dysku, zmianie profilu użytkownika albo usunięciu certyfikatu z magazynu systemowego. Dla użytkownika wygląda to jak nagła zmiana zasad, chociaż w rzeczywistości utracone zostało powiązanie między urządzeniem a kontem.

Problemy mogą wynikać również z nieprawidłowej daty i godziny systemowej. Certyfikaty mają określony okres ważności, a błędny czas może spowodować odrzucenie prawidłowego poświadczenia. Podobny skutek może mieć uszkodzony profil użytkownika, nieaktualny składnik systemu odpowiedzialny za logowanie, wyłączona obsługa modułu zabezpieczeń lub brak sterownika potrzebnego do komunikacji z kluczem. W przypadku kluczy USB należy uwzględnić także uszkodzenie portu, problem z koncentratorem USB albo nieprawidłowe rozpoznanie urządzenia.

Odrębną grupę stanowią błędy po stronie rejestracji. Klucz mógł zostać przypisany do innego konta, usunięty z listy dozwolonych metod, zablokowany po wielu błędnych próbach albo pozostawiony bez procedury odzyskiwania. Jeżeli wymagany jest certyfikat urządzenia, jego brak może być skutkiem nieukończonego wdrożenia, wygaśnięcia certyfikatu lub niezgodności między profilem użytkownika a konfiguracją komputera.

Nie powinno się wielokrotnie usuwać poświadczeń ani resetować ustawień zabezpieczeń bez ustalenia, jaka metoda została wymagana. Takie działania mogą skasować działające mechanizmy odzyskiwania albo utrudnić administratorowi ustalenie przyczyny. Przydatne jest zapisanie pełnej treści komunikatu, godziny wystąpienia problemu, użytej metody logowania oraz informacji, czy dostęp z innego zatwierdzonego urządzenia nadal działa.

Kiedy trzeba przekazać urządzenie do naprawy - Konto firmowe wymaga uwierzytelnienia sprzętowego

Do serwisu warto zgłosić się wtedy, gdy wymaganie pojawia się po zmianach sprzętowych lub systemowych, klucz bezpieczeństwa jest wykrywany niestabilnie, certyfikat urządzenia nie jest widoczny albo system nie pozwala przejść przez procedurę logowania mimo zastosowania właściwych danych. Szczególnie pomocna może być weryfikacja stanu systemu, magazynu certyfikatów, modułu zabezpieczeń, sterowników oraz ustawień daty i godziny. Jeżeli problem dotyczy samej polityki konta, potrzebny może być również kontakt z osobą administrującą dostępem, ponieważ lokalna naprawa nie zmieni reguł ustalonych po stronie organizacji.

Przy zgłoszeniu dobrze przekazać dokładny komunikat, nazwę używanej metody uwierzytelniania, informację o ostatnich zmianach w komputerze oraz dane o tym, czy inne konto lub inne urządzenie działa prawidłowo. Nie należy przekazywać hasła ani kodu zabezpieczającego. W Warszawie diagnostykę problemów z laptopem można zlecić firmie Warszawskie Pogotowie Komputerowe 24/7, gdzie naprawy są z reguły realizowane w czasie do 3 dni roboczych.

W przypadku komputera stacjonarnego zasadne jest wcześniejsze ustalenie, czy blokada wynika z awarii podzespołu, nieprawidłowej konfiguracji systemu, czy wyłącznie z reguł dostępu przypisanych do konta. Dzięki temu można oddzielić usterkę techniczną od wymagania bezpieczeństwa i ograniczyć ryzyko niepotrzebnego usuwania certyfikatów, resetowania modułów ochronnych lub ponownej instalacji systemu.