MFA

1.1    Co je to MFA?

Zkratka MFA pochází z anglického slovního spojení Multi Factor Authentication. Do češtiny se toto slovní spojení často překládá jako vícefaktorové ověřování nebo vícefaktorová autentizace. MFA jistě znáte například z přihlášení do své banky.

1.2    Jak MFA funguje?

Vícefaktorové ověřování (MFA) přidává do procesu přihlašování další vrstvu ochrany. Při přístupu k účtům nebo aplikacím provádějí uživatelé dodatečné ověření identity, například nasnímají otisk prstu nebo zadají kód, který jim přijde na telefon.

1.3    Proč MFA?

Technologie MFA přináší mnohonásobně vyšší zabezpečení uživatelských účtů a dat proti zcizení a zneužití. Pro případného narušitele je tento způsob zabezpečení často neřešitelným problémem, a i v případě zcizení hesla jsou uživatelský účet a data pro útočníka nedostupné. Z pohledu uživatele se jedná o minimální zásah do jeho práce, přitom zabezpečení uživatelského účtu a dat vzroste několikanásobně.

1.4    MFA na Jihočeské univerzitě

Na JU bude MFA nasazeno při přihlášení do cloudu Microsoft 365 (dále jen M365) a v rámci jednotného přihlášení (SSO) následně i na další služby jako je například Service Desk, spisová služba atd.. MFA je v prostředí M365 zajišťováno pomocí Azure AD. Vzhledem k tomu, že na JU studuje velké množství zahraničních studentů, kteří se do M365 často hlásí z domovských států není možné aplikovat regionální ochranu přístupu do M365 a MFA je jedinou logickou volbou ochrany.

1.4.1     Registrace sekundárního způsobu ověření MFA v prostředí M365

·        Povinná pro všechny studenty i zaměstnance JU

·        Lhůta pro registraci je 14 dnů od prvního přihlášení do M365

·        Po uplynutí lhůty bude registrace vynucena a bez jejího nastavení nebude možné se do M365 a navázaných služeb přihlásit

1.4.2     Ověřování přístupu pomocí MFA v prostředí M365

·        Bude vyžadováno vždy pro správce s jakoukoli přidělenou rolí v M365

·        Bude vyžadováno vždy při přihlašování ze zařízení mimo vnitřní síť JU

·        Bude vyžadováno vždy v případě rizikového nebo podezřelého chování uživatele

·        Nebude vyžadováno při standardním chování uživatele při přihlašování z vnitřní sítě JU

·        Nebude vyžadováno při standardním chování uživatele při přihlašování z vnitřní sítě JU s požitím VPN

2      Registrace sekundárního ověření MFA

2.1    Co je registrace sekundárního ověření  MFA?

Registrace sekundárního ověření MFA (dále jen registrace) je pouze výběr a nastavení jednoho z možných způsobů sekundárního ověření. Jednotlivé možné způsoby budou podrobně vysvětleny dále.

2.2    Kolik je na registraci MFA času?

Registrovat způsob ověření je potřeba po dobu přechodné lhůty tj. 14 dnů od prvního přihlášení od aktivace administrátorem, po uplynutí této přechodné lhůty bude registrace MFA vynucena a bez ní nebude možné se do M365 přihlásit. Například pokud se uživatel přihlásí do M365 až za 30 dnů po aktivaci MFA správce, bude lhůta pro registraci 30 + 14 dnů po aktivaci MFA správcem.

Pozor, pokud je ověření pomocí MFA z nějakého důvodu vynuceno je potřeba registrovat sekundární způsob ověření ihned a přechodná lhůta není poskytována.

2.3    Jak poznám, že se mám registrovat ověřovací metodu MFA?

Pokud se uživateli po přihlášení objeví následující obrazovka na obrázku vlevo, jedná se o spuštění procesu registrace, který je možné v prvních 14 dnech přeskočit Pokud se zobrazí obrazovka vpravo, nelze již registraci odkládat a musí být provedena okamžitě.