Multi-Factor Authentication (MFA)

Multi-Factor Authentication (MFA), czyli uwierzytelnianie wieloskładnikowe, to sposób potwierdzania tożsamości, który wymaga co najmniej dwóch niezależnych dowodów (czynników) z różnych kategorii. Dostęp dostajesz dopiero wtedy, gdy poprawnie przejdziesz wszystkie wymagane czynniki. Dzięki temu samo wykradzione hasło nie wystarczy, żeby zalogować się na konto.

Ważne, by czynniki pochodziły z różnych kategorii. Połączenie hasła i pytania pomocniczego to dwa razy „coś, co wiesz” — i nie liczy się jako pełne MFA, bo jedno i drugie da się wykraść tym samym sposobem, na przykład przez phishing (podstawioną fałszywą stronę). Cała siła MFA polega na tym, że napastnik musiałby złamać kilka niezależnych kanałów naraz.

Jakie są trzy kategorie czynników uwierzytelniania?

MFA łączy czynniki z osobnych kategorii. Klasycznie są trzy, czasem uzupełniane o czynniki zależne od kontekstu:

• Coś, co wiesz (wiedza) — hasło, PIN, fraza odzyskiwania, odpowiedź na pytanie pomocnicze.
• Coś, co masz (posiadanie) — telefon z aplikacją uwierzytelniającą, sprzętowy klucz bezpieczeństwa (np. FIDO2), karta kryptograficzna, token generujący kody.
• Coś, czym jesteś (cecha biometryczna) — odcisk palca, geometria twarzy, skan tęczówki, próbka głosu.

W praktyce dochodzą czynniki dodatkowe: lokalizacja (geolokalizacja po adresie IP, geofencing) oraz zachowanie (sposób pisania na klawiaturze, sposób korzystania z urządzenia). Same w sobie rzadko wystarczają za pełny czynnik, ale są mocno wykorzystywane w MFA adaptacyjnym.

Czym MFA różni się od 2FA?

Two-Factor Authentication (2FA), czyli uwierzytelnianie dwuskładnikowe, to szczególny przypadek MFA, w którym wymagane są dokładnie dwa czynniki. MFA to pojęcie szersze: obejmuje 2FA oraz każdą konfigurację z dwoma lub większą liczbą czynników. Krótko mówiąc: każde 2FA jest MFA, ale nie każde MFA kończy się na dwóch czynnikach. W mowie potocznej terminy bywają używane zamiennie, ale w dokumentacji bezpieczeństwa to rozróżnienie ma znaczenie przy projektowaniu zasad dostępu.

Jak działa uwierzytelnianie wieloskładnikowe?

Typowy przebieg ma trzy etapy:

1. Rejestracja (enrollment) — użytkownik przypisuje dodatkowy czynnik do konta: instaluje aplikację TOTP i skanuje kod QR z sekretem, rejestruje klucz sprzętowy albo zapisuje dane biometryczne na urządzeniu.
2. Uwierzytelnianie — po podaniu pierwszego czynnika (zwykle hasła) system prosi o kolejny: kod jednorazowy, zatwierdzenie powiadomienia push albo potwierdzenie kluczem.
3. Decyzja o dostępie — dostęp zostaje przyznany dopiero po poprawnym przejściu wszystkich czynników; nieudana próba jest odrzucana i może trafić do logów.

Jakie są metody MFA i czym różnią się pod względem bezpieczeństwa?

• Kody SMS / e-mail (OTP) — proste i powszechne, ale najsłabsze. SMS da się przejąć przez podmianę karty SIM (SIM swap), przechwycić w sieci operatora (protokół SS7) lub wyłudzić phishingiem. Lepsze niż samo hasło, ale niezalecane dla kont krytycznych. OTP to kod jednorazowy (one-time password).
• TOTP (Time-based One-Time Password) — kody jednorazowe zależne od czasu, generowane lokalnie w aplikacji (np. zgodnie z RFC 6238) na podstawie sekretu i bieżącego czasu, zwykle co 30 sekund. Nie wymagają sieci komórkowej i są odporne na SIM swap, ale wciąż da się je wyłudzić — kod można podać na fałszywej stronie, a napastnik przekaże go dalej.
• Powiadomienia push — zatwierdzasz logowanie jednym dotknięciem w aplikacji. Wygodne, ale podatne na MFA fatigue (zmęczenie powiadomieniami): napastnik zasypuje użytkownika prośbami o akceptację, licząc, że ten w końcu kliknie „zatwierdź”.
• Klucze sprzętowe FIDO2 / WebAuthn — fizyczne klucze lub passkeys oparte na kryptografii klucza publicznego. Uwierzytelnienie jest na stałe powiązane z domeną serwisu, więc nie da się go wyłudzić ani odtworzyć na fałszywej stronie.
• Biometria — odcisk palca czy twarz, najczęściej sprawdzane lokalnie na urządzeniu (np. w jego bezpiecznym module), bez wysyłania wzorca na serwer.
• Karty i certyfikaty PKI — uwierzytelnianie oparte na certyfikatach (smart card, PIV/CAC), również uznawane za odporne na phishing.

Czym jest MFA odporne na phishing (phishing-resistant)?

To metody, których nie da się obejść, podsuwając użytkownikowi fałszywą stronę ani przechwytując kod. Należą do nich FIDO2/WebAuthn (klucze sprzętowe, passkeys) oraz uwierzytelnianie PKI. Ich przewaga wynika z dwóch rzeczy. Po pierwsze, używają pary kluczy kryptograficznych, a tajny klucz nigdy nie opuszcza urządzenia. Po drugie, są powiązane z domeną (origin binding) — przeglądarka sprawdza, że adres strony zgadza się z tym, dla którego zarejestrowano klucz. Dlatego atak przez fałszywą stronę pośredniczącą (adversary-in-the-middle, AiTM — napastnik wpinający się między użytkownika a serwis) zawodzi: podpis nie jest ważny dla domeny napastnika. CISA opisuje FIDO/WebAuthn i PKI jako jedyne metody spełniające próg odporności na phishing.

Czym jest MFA adaptacyjne (risk-based)?

MFA adaptacyjne, zwane też uwierzytelnianiem opartym na ryzyku, dobiera wymagania na bieżąco, w zależności od kontekstu sesji: lokalizacji i reputacji adresu IP, rodzaju i znajomości urządzenia, pory logowania, „niemożliwej podróży” (logowanie z dwóch odległych miejsc w krótkim czasie) czy nietypowego zachowania. Przy niskim ryzyku może wystarczyć samo hasło, przy podwyższonym system wymusi dodatkowy czynnik albo zablokuje próbę. Te sygnały trafiają do silników oceny ryzyka, które często korzystają z uczenia maszynowego.

Jakie są typowe ataki na MFA?

MFA mocno podnosi poprzeczkę, ale nie jest nie do obejścia. Najczęstsze techniki:

• Adversary-in-the-Middle (AiTM) — fałszywy serwer wpina się między użytkownika a prawdziwy serwis, w czasie rzeczywistym przekazuje hasło i kod MFA, a potem kradnie token sesji (cookie) i działa dalej bez ponownego logowania.
• MFA fatigue / push bombing — zasypywanie ofiary powiadomieniami push tak długo, aż zaakceptuje jedno z roztargnienia lub zniecierpliwienia.
• SIM swapping — przejęcie numeru telefonu ofiary u operatora, żeby przechwytywać kody SMS.
• Kradzież i odtworzenie tokenu sesji — wykradzione ciasteczko zalogowanej sesji pozwala działać bez przechodzenia MFA.
• Phishing kodów OTP/TOTP — wyłudzenie kodu jednorazowego na podstawionej stronie i natychmiastowe użycie go przez napastnika.

Większość tych technik (AiTM, phishing OTP, push bombing, SIM swap) nie działa wobec MFA odpornego na phishing, bo FIDO2 nie ujawnia żadnego kodu, który można by przekazać dalej, i wiąże podpis z domeną.

Dlaczego MFA ma znaczenie dla monitorowania i wykrywania zagrożeń?

Z perspektywy obrony MFA to nie tylko zabezpieczenie logowania, ale też źródło danych (telemetrii) dla zespołów SOC i systemów monitorujących sieć. W logach uwierzytelniania, ruchu sieciowym i zdarzeniach tożsamości można wychwycić oznaki nadużyć:

• serie odrzuconych powiadomień push do jednego użytkownika (sygnał push bombingu),
• logowania z nowych lokalizacji lub adresów IP o złej reputacji oraz „niemożliwa podróż”,
• logowania korzystające z ważnego tokenu sesji bez wcześniejszego pełnego uwierzytelnienia (oznaka kradzieży ciasteczek lub ataku AiTM),
• nagła zmiana lub usunięcie czynników MFA na koncie (częsty krok przy przejęciu konta).

Zestawienie zdarzeń uwierzytelniania z danymi o ruchu sieciowym pomaga wykryć ataki, które przeszły przez MFA — zwłaszcza wykorzystanie skradzionych sesji — i jest istotnym elementem monitoringu w modelu Zero Trust.

Dowiedz się więcej

• Błędy konfiguracji sieci – jak unikać network configuration errors i poprawić konfigurację routera — MFA ogranicza skutki błędów sieci, bo utrudnia przejęcie dostępu nawet przy złej konfiguracji.
• Identity and Access Management (IAM) — MFA jest elementem IAM, bo wzmacnia uwierzytelnianie i kontrolę dostępu do zasobów.
• Architektura Zero Trust – rola widoczności sieci i mikrosegmentacji w bezpieczeństwie — W Zero Trust MFA potwierdza tożsamość przy każdym dostępie, zgodnie z zasadą „nigdy nie ufaj”.