Multi Factor Authentication (MFA)

Co je to MFA?

Zkratka MFA pochází z anglického slovního spojení Multi Factor Authentication. Do češtiny se toto slovní spojení často překládá jako vícefaktorové ověřování nebo vícefaktorová autentizace. MFA jistě znáte například z přihlášení do své banky.

Jak MFA funguje?

Vícefaktorové ověřování (MFA) přidává do procesu přihlašování další vrstvu ochrany. Při přístupu k účtům nebo aplikacím provádějí uživatelé dodatečné ověření identity, například nasnímají otisk prstu nebo zadají kód, který jim přijde na telefon.

Proč MFA?

Technologie MFA přináší mnohonásobně vyšší zabezpečení uživatelských účtů a dat proti zcizení a zneužití. Pro případného narušitele je tento způsob zabezpečení často neřešitelným problémem, a i v případě zcizení hesla jsou uživatelský účet a data pro útočníka nedostupné. Z pohledu uživatele se jedná o minimální zásah do jeho práce, přitom zabezpečení uživatelského účtu a dat vzroste několikanásobně.

MFA na Jihočeské univerzitě

Na JU bude MFA nasazeno při přihlášení do cloudu Microsoft 365 (dále jen M365) a v rámci jednotného přihlášení (SSO) následně i na další služby jako je například Service Desk, spisová služba atd.. MFA je v prostředí M365 zajišťováno pomocí Azure AD. Vzhledem k tomu, že na JU studuje velké množství zahraničních studentů, kteří se do M365 často hlásí z domovských států není možné aplikovat regionální ochranu přístupu do M365 a MFA je jedinou logickou volbou ochrany.

Registrace sekundárního způsobu ověření MFA v prostředí M365

Povinná pro všechny studenty i zaměstnance JU
Lhůta pro registraci je 14 dnů od prvního přihlášení do M365
Po uplynutí lhůty bude registrace vynucena a bez jejího nastavení nebude možné se do M365 a navázaných služeb přihlásit

Ověřování přístupu pomocí MFA v prostředí M365

Bude vyžadováno vždy pro správce s jakoukoli přidělenou rolí v M365
Bude vyžadováno vždy při přihlašování ze zařízení mimo vnitřní síť JU
Bude vyžadováno vždy v případě rizikového nebo podezřelého chování uživatele
Nebude vyžadováno při standardním chování uživatele při přihlašování z vnitřní sítě JU
Nebude vyžadováno při standardním chování uživatele při přihlašování z vnitřní sítě JU s požitím VPN

Registrace sekundárního ověření MFA

Co je registrace sekundárního ověření MFA?

Registrace sekundárního ověření MFA (dále jen registrace) je pouze výběr a nastavení jednoho z možných způsobů sekundárního ověření. Jednotlivé možné způsoby budou podrobně vysvětleny dále.

Kolik je na registraci MFA času?

Registrovat způsob ověření je potřeba po dobu přechodné lhůty tj. 14 dnů od prvního přihlášení od aktivace administrátorem, po uplynutí této přechodné lhůty bude registrace MFA vynucena a bez ní nebude možné se do M365 přihlásit. Například pokud se uživatel přihlásí do M365 až za 30 dnů po aktivaci MFA správce, bude lhůta pro registraci 30 + 14 dnů po aktivaci MFA správcem.

Pozor, pokud je ověření pomocí MFA z nějakého důvodu vynuceno je potřeba registrovat sekundární způsob ověření ihned a přechodná lhůta není poskytována.

Jak poznám, že se mám registrovat ověřovací metodu MFA?

Pokud se uživateli po přihlášení objeví následující obrazovka na obrázku vlevo, jedná se o spuštění procesu registrace, který je možné v prvních 14 dnech přeskočit Pokud se zobrazí obrazovka vpravo, nelze již registraci odkládat a musí být provedena okamžitě.

Způsoby sekundárního ověření

M365 - Azure AD nabízí širokou škálu flexibilních metod vícefaktorového ověřování (MFA) založených na těchto principech:

Něco, co víte: Heslo, PIN nebo odpověď na bezpečnostní otázku.
Něco, co máte: Fyzický předmět, jako je telefon nebo USB token, který vám poskytne jednorázový kód.
Něco, co jste: Biometrická data, jako je otisk prstu nebo rozpoznání obličeje.
Každý uživatel si může zvolit jednu nebo více metod, které mu budou nejvíce vyhovovat. Je jen na uživateli, zda dá přednost zaslání číselného kódu, tak jak je zvyklý například z banky, nebo zda se rozhodne využít pro ověření mobilní aplikaci.
Velmi doporučujeme registrovat si minimálně dva způsoby ověřování a předejít tak možnému výpadku možnosti ověření. Pokud z nějakého důvodu nebudete schopni přihlášení ověřit kontaktujte nás a my vám pomůžeme.
Níže naleznete podrobné návody krok za krokem, jak si jednotlivé způsoby ověření přidat při první aktivaci MFA. Další možnosti je možné přidat v nastavení účtu na adrese https://mysignins.microsoft.com/security-info

Základní způsoby sekundárního ověřování

Jedná se o základní metody, které si může uživatel sám nastavit kdykoli.

Microsoft Authenticator 3.4
Ověřovací aplikace generující softwarové tokeny – OATH OTP kódy
- Google Authenticator 3.5
- Interní nastavení v zařízeních Apple 3.6
- Mnoho dalších aplikací podporujících generování OATH OTP
  - Authy 2-Factor Authentication
  - FreeOTP Authenticator
  - Bitwarden
  - Sophos Authenticator
  - LastPass Authenticator
SMS 3.7

Doplňkové způsoby sekundárního ověřování

Doplňkovou metodu lze v současné době nastavit jako jediné sekundární ověření pouze po dobu přechodné lhůty. Pokud jste tuto lhůtu promeškali nebo vám nebyla poskytnuta je potřeba nejprve registrovat některý ze základních způsobů sekundárního ověření a teprve poté registrovat doplňkovou metodu. Jakoukoli metodu lze kdykoli odstranit.

Klíče zabezpečení tzv. klíčenka s podporou FIDO2
Windows Hello pro firmy

Nouzový způsob sekundárního ověření

Jedná se o kód limitovanou platností na jedno použití, o který můžete zažádat pomocí emailu z univerzitní nebo ověřené soukromé emailové adresy mfa@rt.jcu.cz. Tento kód vám bude zaslán, pokud dojde například ke ztrátě zařízení.

Microsoft Authenticator

Jedná se o aplikaci pro mobilní telefony, tablety nebo jiná zařízení s OS Android nebo iOS přímo od firmy Microsoft. Aplikace uživateli nabídne pohodlný způsob ověření s vysokou mírou zabezpečení, umožňuje ověření pomocí oznámení (doporučeno), ale i pomocí OATH kódu.

Microsoft Authenticator je primární/výchozí způsob ověření pro M365, ale jej použít i pro ověřování přístupu do jiných aplikací a systémů.

Pokud z nějakého důvodu tuto aplikaci nemůžete nebo nechcete použít, naleznete níže i další možnosti.

Instalace Microsoft Authenticator

Pokud jste se rozhodli využít jako způsob ověření tuto aplikaci bude potřeba si ji stáhnout a nainstalovat.[3] Přímo na úvodní obrazovce registrace MFA je možné prokliknout odkaz „Stáhnout hned“.

Instalace Microsoft Authenticator z Google Play

Instalační balíček pro telefony s operačním systémem Android 6.0 a vyšší naleznete na této adrese:

https://play.google.com/store/apps/details?id=com.azure.authenticator

Instalace Microsoft Authenticator z App Store

Instalační balíček pro telefony s operačním systémem iOS 12.0 a vyšší naleznete na této adrese:

https://apps.apple.com/cz/app/microsoft-authenticator/id983156458?l=cs&culture=cs-cz&country=CZ

Registrace MFA v Microsoft Authenticator

Cílem této části je vás krok po kroku provést celým procesem registrace aplikace Microsoft Authenticator. Pro účely tohoto návodu předpokládejme, že přihlašování do M365 probíhá na počítači a ověřovací aplikaci Microsoft Authenticator si instalujete na mobilním telefonu.

Pokud máte aplikaci Microsoft Authenticator nainstalovanou klikněte na úvodní obrazovce „Další“. V případě, že aplikaci Microsoft Authenticator ještě nemáte nainstalovanou postupujte podle návodu zde 3.4.1.
Na této informativní obrazovce zvolte opět „Další“.
Na této obrazovce naleznete QR kód pro spárování účtu s aplikací Microsoft Authenticator. POZOR tento QR kód s nikým nesdílejte! Přestože má tento kód dočasnou platnost, není vhodné jej sdílet.
Spusťte aplikaci Microsoft Authenticator na svém mobilním telefonu a na úvodní obrazovce klikněte na volbu „Naskenovat kód QR“.
Naskenujte pomocí mobilního telefonu QR kód. Je možné, že bude potřeba povolit aplikaci Microsoft Authenticator přístup k jednorázovému použití fotoaparátu mobilního telefonu.
Pokud se vše zdařilo, v aplikaci se objeví propojení Microsoft Authenticator na váš univerzitní účet v M365.
Po naskenování QR kódu mobilním telefonem a propojení aplikace s vaším účtem v M365 klikněte na tlačítko „DALŠÍ“.
Na obrazovce se objeví následující sdělení a je očekáváno schválení v rámci vaší mobilní aplikace.
V mobilní aplikaci je potřeba schválit přihlášení stisknutím tlačítka „SCHVÁLIT“. Můžete si zároveň ověřit k jakému účtu schvalujete přihlášení pro případ, že využíváte stejnou aplikaci pro ověřování přístupu do více organizací.
Po schválení na mobilním telefonu je možné pokračovat na počítači kliknutím na tlačítko „DALŠÍ“.
Následně budete informováni o úspěšném přidání MFA ověřování pomocí Microsoft Authenticator.

OATH OTP kód -Google Authenticator

Jedná se o aplikaci pro mobilní telefony, tablety nebo jiná zařízení s OS Android nebo iOS od firmy Google. Aplikace Google Authenticator umožňuje ověřování pomocí tzv. OATH OTP kódů/tokenů s omezenou časovou platností, které mají podobu šestimístného čísla.

Google Authenticator můžete použít i pro ověřování přístupu do jiných aplikací a systémů. Pokud z nějakého důvodu tuto aplikaci nemůžete nebo nechcete použít, naleznete níže i další možnosti.

Instalace Google Authenticator

Pokud jste se rozhodli využít jako způsob ověření tuto aplikaci bude potřeba si ji stáhnout a nainstalovat.

Instalace Google Authenticator z Google Play

Instalační balíček pro telefony s operačním systémem Android (verze se liší podle zařízení) naleznete na této adrese:

https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2

Instalace Google Authenticator z App Store

Instalační balíček pro telefony s operačním systémem iOS 13.0 a vyšší naleznete na této adrese:

https://apps.apple.com/cz/app/microsoft-authenticator/id983156458?l=cs&culture=cs-cz&country=CZ

Registrace MFA v Google Authenticator

Cílem této části je vás krok po kroku provést celým procesem registrace aplikace Google Authenticator. Pro účely tohoto návodu předpokládejme, že přihlašování do M365 probíhá na počítači a ověřovací aplikaci Google Authenticator máte na mobilním telefonu.

Tato část předpokládá, že máte již nainstalovanou aplikaci Google Authenticator na svém mobilním telefonu. V případě, že aplikaci Google Authenticator ještě nemáte nainstalovanou postupujte podle návodu zde 3.5.1.

Na úvodní obrazovce nabízející Microsoft Authenticator klikněte na „CHCI POUŽÍT JINOU OVĚŘOVACÍ APLIKACI“.
Na této informativní obrazovce zvolte „DALŠÍ“.
Na této obrazovce naleznete QR kód pro spárování účtu s aplikací Google Authenticator. POZOR tento QR kód s nikým nesdílejte! Můžete si jej, ale vytisknout nebo uložit a uschovat na bezpečném místě pro případ ztráty nebo poškození mobilního telefonu.
Spusťte aplikaci Google Authenticator na svém mobilním telefonu a na úvodní obrazovce klikněte na volbu „NASKENOVAT KÓD QR“.
Naskenujte pomocí mobilního telefonu QR kód. Je možné, že bude potřeba povolit aplikaci Google Authenticator přístup k jednorázovému použití fotoaparátu mobilního telefonu.
Pokud se vše zdařilo, v aplikaci se objeví propojení Google Authenticator na váš univerzitní účet v M365.
Po naskenování QR kódu mobilním telefonem a propojení aplikace s vaším účtem v M365 klikněte na tlačítko „DALŠÍ“.
Na obrazovce se objeví následující sdělení a je očekáváno zadání šestimístného číselného kódu, který naleznete v aplikaci Google Authenticator a stiskněte „Další“.
Na obrazovce se objeví následující sdělení a je očekáváno zadání šestimístného číselného kódu, který naleznete v aplikaci Google Authenticator a stiskněte „Další“.

OATH OTP kód – Interní nastavení Apple zařízení

Jedná se interní nastavení zařízení od firmy Apple, které vám umožní používat ověřovací OATH OTP kód bez nutnosti instalovat do vašeho mobilního telefonu nějakou další aplikaci.

Na úvodní obrazovce nabízející Microsoft Authenticator klikněte na „CHCI POUŽÍT JINOU OVĚŘOVACÍ APLIKACI“.
Na této informativní obrazovce zvolte „DALŠÍ“.
Na této obrazovce naleznete QR kód pro spárování účtu s nastavením vašeho Apple telefonu. POZOR tento QR kód s nikým nesdílejte! Můžete si jej, ale vytisknout nebo uložit a uschovat na bezpečném místě pro případ ztráty nebo poškození mobilního telefonu.
V nastavení vašeho telefonu nejděte sekci hesla a přidejte si tam váš účet pokud ho tam ještě nemáte. V editaci vašeho účtu klikněte na „NASTAVIT OVĚŘOVACÍ KÓD“.
Na této stránce klikněte na volbu „NASKENOVAT QR KÓD“.
Naskenujte pomocí mobilního telefonu QR kód.
Pokud se vše zdařilo, v nastavení účtu se objeví sekce „OVĚŘOVACÍ KÓD“ a v ní bude šestimístný číselný kód.
Po naskenování QR kódu mobilním telefonem a propojení aplikace s vaším účtem v M365 klikněte na tlačítko „DALŠÍ“.
Na obrazovce se objeví následující sdělení a je očekáváno zadání šestimístného číselného kódu, který naleznete v aplikaci nastavení uloženého účtu v mobilním telefonu Apple a stiskněte „Další“.
Následně budete informováni o úspěšném přidání MFA ověřování pomocí ověřovací aplikace.

SMS

Ověřování pomocí SMS patří mezi ty nejznámější a nejstarší způsoby dvoufázového ověřování. Pro využití tohoto způsobu bude potřeba zadat vaše telefonní číslo, na které vám bude zasílán šestimístný ověřovací číselný kód.

Tento způsob zvolte, pokud nechcete nebo nemůžete z technických důvodů použít pro ověření ověřovací aplikace (3.4, 3.5).

Registrace MFA s využitím SMS zpráv

Cílem této části je vás krok po kroku provést celým procesem registrace MFA s využitím SMS zpráv na mobilním telefonu.

Na úvodní obrazovce nabízející Microsoft Authenticator klikněte na „CHCI NASTAVIT JINOU METODU“.
Ze zobrazené nabídky si vyberte metodu ověřování „TELEFON“.
Potvrďte výběr zvolené metody ověřování stisknutím tlačítka „POTVRDIT“.
Nastavte region odpovídající vašemu telefonnímu číslu. Ve většině případů to bude „CZECH REPUBLIC (+420)“. TIP: Pro zrychlený výběr klikněte myší do seznamu stiskněte klávesu D a pak šipku nahoru.
Zadejte vaše telefonní číslo (již bez předvolby, 9 číslic bez mezer).
Zkontrolujte, zda máte vybraný způsob „POSLAT KÓD TEXTOVOU ZPRÁVOU“.
Po vyplnění všech voleb stiskněte tlačítko „DALŠÍ“.
V tuto chvíli by měla na váš mobilní telefon dorazit SMS zpráva s ověřovacím číselným kódem. Zadejte kód do pole „ZADAT KÓD“ a stiskněte „DALŠÍ“.
Pokud jste správně zadali ověřovací kód, objeví se vám informace o úspěšné registraci ověřování pomocí SMS. Pro pokračování stiskněte „DALŠÍ“.
Následně budete informováni o úspěšném přidání MFA ověřování pomocí SMS zaslaných na telefonní číslo, které bude na této obrazovce zobrazeno. Pro dokončení registrace stiskněte tlačítko „HOTOVO“.