Jak wybrać silne uwierzytelnianie: przewodnik zakupowy MFA

gdzie kupujący popełniają błędy

Najczęstszy błąd to traktowanie MFA jako czegoś, co się włącza, a nie czegoś, co się pokrywa. Włączenie go dla osób logujących się do głównej aplikacji jest łatwe. Prawdziwą pracą, i miejscem, w którym kryje się ekspozycja, jest pokrycie każdego konta, każdej aplikacji, każdego admina, każdej tożsamości usługowej i każdego przestarzałego protokołu. Atakującego nie obchodzi, ile Twoich logowań jest chronionych. Obchodzą go te nieliczne, które nie są.

Drugi błąd to wybór słabych czynników i uznanie sprawy za zamkniętą. Kod SMS i sprzętowy klucz bezpieczeństwa oba liczą się jako drugi czynnik w formularzu zgodności. Jeden z nich zatrzymuje atak phishingowy w czasie rzeczywistym, drugi nie. Jeśli kupujesz według definicji z formularza, a nie definicji atakującego, poczujesz się zabezpieczony, zostając w rzeczywistości narażonym.

Trzeci to kupowanie samodzielnego produktu, którego wcale nie potrzebujesz. Większość firm ma już solidne MFA wbudowane w dostawcę tożsamości, którego używa, czy to Microsoft Entra, Okta, czy Google Workspace. Warto to sprawdzić, zanim cokolwiek podpiszesz.

Czwarty to zapominanie o brzegach. Proces odzyskiwania dostępu, reset przez helpdesk, konto administratora break-glass, kontraktor na niezarządzanym laptopie, pracownik pierwszej linii bez firmowego telefonu. To właśnie tu dobrze zaplanowane wdrożenia MFA zaczynają przeciekać, a te miejsca rzadko pojawiają się na demo sprzedażowym.

Wspólny mianownik tych czterech błędów: nie da się sensownie wybrać uwierzytelniania, dopóki nie widzisz swojego obecnego pokrycia i jego luk. Wiedza, kto ma MFA, na jakich aplikacjach, jakimi czynnikami i gdzie są dziury, to dane wejściowe, które nadają sens każdej kolejnej decyzji.

zanim zaczniesz szukać: zobacz swój obecny stan

Zacznij od zmapowania tego, co faktycznie masz. Wyciągnij listę kont i sprawdź, na których MFA jest wymuszone, a nie tylko dostępne. Jest istotna różnica między polityką, która oferuje MFA, a polityką, która je wymaga, i to właśnie w tej różnicy żyją atakujący. Potem sprawdź, jakie czynniki są w użyciu, bo środowisko pokryte w 100% przez SMS jest w zupełnie innym miejscu niż środowisko oparte na kluczach sprzętowych.

Następnie znajdź aplikacje spoza single sign-on. Wszystko, na co zespół zapisał się mailem i hasłem, poza dostawcą tożsamości, niemal na pewno w ogóle nie jest chronione przez Twoją politykę MFA. To osobne drzwi wejściowe i potrzebują własnej odpowiedzi.

Potem sprawdź przestarzałe protokoły uwierzytelniania. Stare protokoły, które nie obsługują nowoczesnego MFA, jak basic auth na niektórych endpointach poczty i kalendarza, to stały sposób na obejście zabezpieczeń. Jeśli są nadal włączone, atakujący może często całkowicie pominąć Twoje MFA, wchodząc starymi drzwiami. Zamknięcie ich to często najbardziej wartościowa rzecz, jaką zrobisz, i nie kosztuje nic poza uwagą.

Na koniec oszacuj skalę swojego problemu. Dwudziestoosobowa firma z jednym stackiem SaaS i firma licząca czterdzieści tysięcy osób, z mainframe'ami, pracownikami pierwszej linii i kilkunastoma przejętymi w akwizycjach systemami tożsamości, nie rozwiązują tego samego problemu.

kategoria w prostych słowach

„MFA” obejmuje szeroki zakres rozwiązań, które ogromnie różnią się siłą i sposobem, w jaki zawodzą. Oto ten obszar, mniej więcej od najsłabszego do najsilniejszego.

drabina siły czynników

Kody jednorazowe SMS i e-mail. Kod wysyłany na telefon lub do skrzynki. Lepszy niż samo hasło i przez długi czas był domyślnym wyborem. To też najsłabszy z powszechnych czynników. SIM-swapping, przechwytywanie SS7 i zwykły phishing pokonują go, bo kod to po prostu kolejny sekret, który można wyłudzić od użytkownika. Traktuj SMS jako fallback ostatniej szansy, nie jako podstawowy czynnik.

Kody z aplikacji uwierzytelniającej (TOTP). Rotujący sześciocyfrowy kod z aplikacji. Silniejszy niż SMS, bo nie ma numeru telefonu do przejęcia, i działa offline. Ma jednak podstawową słabość każdego kodu: przekonująca podrobiona strona logowania może poprosić użytkownika o jego wpisanie, a zestaw phishingowy działający w czasie rzeczywistym przekaże go na prawdziwą stronę w ciągu kilku sekund, w których kod jest ważny. W porządku jako szeroki standard, ale nie wystarcza dla Twoich najbardziej wrażliwych kont.

Powiadomienia push. Prompt „zatwierdź to logowanie” na telefonie. Lepszy UX niż wpisywanie kodów i szeroko wdrożony. Słabość, która trafiła na nagłówki, to zmęczenie MFA, czasem nazywane push bombing: atakujący, który ma już hasło, zasypuje użytkownika prośbami o zatwierdzenie, aż zmęczony użytkownik kliknie „tak”. Rozwiązaniem jest number matching, gdzie użytkownik musi wpisać w aplikacji liczbę pokazaną na ekranie logowania. Push z number matching to rozsądny standard. Zwykły push, który pozwala zatwierdzić jednym kliknięciem, już nie, w 2026 roku.

Uwierzytelnianie odporne na phishing. To kategoria, która faktycznie zmienia grę. Wiąże logowanie z prawdziwą stroną i z kluczem prywatnym, który nigdy nie opuszcza urządzenia, więc podrobiona strona nie ma nic do przekazania i nic do przechwycenia. Liczą się dwie odmiany:

• Klucze bezpieczeństwa FIDO2 i passkeye. Sprzętowy klucz, który dotykasz, albo passkey przechowywany w bezpiecznym module telefonu lub laptopa. Logowanie jest kryptograficznie związane z prawdziwą domeną, dlatego przekazane logowanie na podrobioną domenę po prostu zawodzi. Passkeye weszły do mainstreamu i to w tym kierunku zmierza większość dojrzałych programów.
• Uwierzytelnianie oparte na certyfikatach i uwierzytelniacze platformowe. Certyfikaty powiązane z urządzeniem, karty inteligentne (PIV i CAC w administracji publicznej i sektorach regulowanych) oraz uwierzytelniacze platformowe jak Windows Hello czy Face ID. Ta sama zasada, inne opakowanie: dane uwierzytelniające są powiązane z urządzeniem i osobą, i nie ma sekretu wielokrotnego użytku do przechwycenia po drodze.

Najbardziej przydatna rama myślowa: wszystko aż do push włącznie to współdzielony sekret, który można wyłudzić od człowieka, a wszystko w warstwie odpornej na phishing już nie.

uwierzytelnianie adaptacyjne i oparte na ryzyku

Poza samym czynnikiem, nowoczesne uwierzytelnianie decyduje, kiedy w ogóle o coś zapytać. MFA adaptacyjne lub oparte na ryzyku analizuje sygnały (nowe urządzenie, nietypowy kraj, wzorzec niemożliwej podróży, ryzykowna sieć) i podnosi poprzeczkę tylko wtedy, gdy coś wygląda podejrzanie. Dobrze zrobione, ogranicza tarcie przy rutynowych logowaniach i koncentruje mocny czynnik tam, gdzie ma znaczenie. Źle zrobione, staje się czarną skrzynką, której nie da się dostroić. Jeśli idziesz w tę stronę, zależy Ci na rozumieniu i kontrolowaniu polityki, a nie tylko ufaniu wynikowi.

uwierzytelnianie bezhasłowe

Stan docelowy, do którego dąży wiele programów, to całkowite usunięcie hasła, tak by mocny czynnik był jedynym czynnikiem. Uwierzytelnianie bezhasłowe zwykle oznacza passkey lub dane uwierzytelniające powiązane z urządzeniem plus biometrię lub PIN. To rozwiązanie jednocześnie bezpieczniejsze i, po zarejestrowaniu, naprawdę przyjemniejsze w użyciu. Haczyk tkwi w rejestracji i odzyskiwaniu dostępu, czyli w nowej rzeczy, którą trzeba dopiąć. Dobra decyzja zakupowa dzisiaj zostawia otwartą drogę do rozwiązań bezhasłowych, zamiast zamykać Cię na stałe w kodach.

dlaczego to się teraz zmienia

Siła czynnika nagle zaczęła mieć większe znaczenie, bo ataki stały się lepsze. Zestawy phishingowe typu adversary-in-the-middle, sprzedawane jako usługa, ustawiają się między użytkownikiem a prawdziwą stroną i przekazują całe logowanie, łącznie z kodem lub zatwierdzeniem push, w czasie rzeczywistym. Phishing wciąż jest dominującą drogą wejścia i odpowiada za około 60% obserwowanych włamań w danych o zagrożeniach ENISA za 2025 rok, a te zestawy pokonują właśnie to MFA, które wdrożyła większość firm. Uwierzytelnianie odporne na phishing istnieje właśnie po to, żeby złamać ten atak.

co pasuje do Twojej wielkości i sytuacji

• Szczupła / mała firma (poniżej ~50 osób, bez etatu ds. bezpieczeństwa) · Jak wygląda dobre rozwiązanie: Używaj MFA wbudowanego w swojego dostawcę tożsamości. Wymagaj go wszędzie, bez wyjątków. Number matching na push, albo passkeye, jeśli Twój stack je obsługuje. Do tego menedżer haseł. · Czego unikać: Samodzielny produkt MFA. Niemal na pewno jeszcze go nie potrzebujesz.
• Rosnący mid-market (50 do 500) · Jak wygląda dobre rozwiązanie: Czynniki odporne na phishing dla adminów i ról o wysokiej wartości. Push z number matching lub kody z aplikacji dla reszty, z planem na aktualizację. Polityki dostępu warunkowego. Zamknięte przestarzałe protokoły uwierzytelniania. · Czego unikać: Ciężkie platformy adaptacyjne, zanim pokryjesz podstawy i zamkniesz luki w przestarzałych protokołach.
• Większa firma / wiele podmiotów (500 do 2000) · Jak wygląda dobre rozwiązanie: Realnie trwające wdrożenie rozwiązań bezhasłowych. Klucze FIDO2 wydane użytkownikom uprzywilejowanym. Polityki oparte na ryzyku, które aktywnie dostrajasz. Wykrywanie zagrożeń tożsamości pilnujące nadużyć MFA. · Czego unikać: Tolerowanie wyjątków na poziomie jednostek biznesowych, które fragmentują politykę.
• Enterprise / sektor regulowany (2000+, finanse, sektor publiczny) · Jak wygląda dobre rozwiązanie: Uwierzytelnianie odporne na phishing jako domyślne. Karty inteligentne lub certyfikaty urządzeń tam, gdzie są wymagane. MFA na dostępie uprzywilejowanym i zdalnym wymuszone i udokumentowane dla regulatora. · Czego unikać: Wszystko, co nie potrafi wygenerować dowodu audytowego, jakiego oczekuje Twój regulator.

Kilka sytuacji przecina wszystkie te przedziały wielkości:

Pracownicy pierwszej linii i bez biurka. Osoby na hali produkcyjnej, w klinice czy przy kasie często nie mają firmowego telefonu i korzystają ze współdzielonych urządzeń. MFA oparte na telefonie się tu nie sprawdza. Odpowiedzią są zwykle klucze sprzętowe, uwierzytelnianie na kartę lub przez zbliżenie, albo logowanie na współdzielonym urządzeniu zaprojektowane pod ten kontekst. Jeśli znacząca część Twojej załogi jest bez biurka, uczyń z tego główne kryterium oceny.

Kontraktorzy i BYOD. Gdy nie kontrolujesz urządzenia, dane uwierzytelniające powiązane z urządzeniem są trudniejsze do wdrożenia i bardziej opierasz się na czynnikach odpornych na phishing, które nie zależą od zarządzania endpointem.

Akwizycje i wiele systemów tożsamości. Jeśli rosłeś przez akwizycje, możesz prowadzić kilku dostawców tożsamości naraz. Samodzielna warstwa uwierzytelniania rozpięta na wszystkich z nich może się opłacać, bo daje jedną spójną politykę MFA na rozdrobnionym środowisku.

Konta współdzielone i uprzywilejowane. Konto administratora break-glass i współdzielony login operacyjny to dokładnie te konta, których chce atakujący, i dokładnie te, które ludzie mają pokusę zwolnić z reguł dla wygody. Potrzebują najmocniejszego czynnika i największej uwagi, nie najmniejszej.

skąd to wziąć: cztery drogi

Wykorzystaj MFA, które już masz. Twój dostawca tożsamości niemal na pewno zawiera MFA, dostęp warunkowy i często opcje odporne na phishing, w warstwie licencyjnej, za którą już płacisz. Dla większości małych i średnich firm to właściwy punkt startowy, a czasem też punkt końcowy. Włącz je, wymagaj wszędzie, wybierz mocne czynniki, zamknij luki w przestarzałych protokołach.

Dodaj samodzielny produkt uwierzytelniający. To się opłaca, gdy MFA Twojego dostawcy tożsamości jest naprawdę słabe, gdy potrzebujesz mocniejszych lub bardziej elastycznych czynników, gdy prowadzisz wiele systemów tożsamości i chcesz mieć jedną politykę na wszystkich, albo gdy wbudowane doświadczenie użytkownika jest na tyle złe, że napędza obejścia.

Przejdź na rozwiązania bezhasłowe. Dedykowana platforma bezhasłowa lub odporna na phishing ma sens, gdy zdecydowałeś się usunąć hasła jako cel strategiczny. To bardziej cel dojrzałości niż zakup startowy.

Skorzystaj z pomocy z zewnątrz. Podejście zarządzane lub współzarządzane pasuje, gdy nie masz rąk do zaplanowania i przeprowadzenia wdrożenia w niechlujnym środowisku, albo gdy chcesz, żeby ktoś niezależny od dostawcy zaprojektował politykę i dobrał czynniki razem z Tobą.

kryteria decyzyjne, które faktycznie mają znaczenie

• Odporność na phishing · Na co zwrócić uwagę: Czy obsługuje FIDO2, passkeye i dane uwierzytelniające powiązane z urządzeniem, i czy możesz je wymusić dla kont, na których Ci zależy? To dziś kryterium numer jeden.
• Szerokość czynników · Na co zwrócić uwagę: Czy obejmuje ludzi, których naprawdę masz, w tym osoby bez smartfona i te na współdzielonych urządzeniach?
• Pokrycie · Na co zwrócić uwagę: Czy chroni każdą aplikację, w tym te poza single sign-on, i czy potrafi zamknąć lub zablokować przestarzałe protokoły uwierzytelniania?
• Kontrola polityki · Na co zwrócić uwagę: Czy możesz ustawić reguły warunkowe i oparte na ryzyku, które rozumiesz i możesz dostroić, zamiast niejasnego wyniku?
• Odzyskiwanie dostępu i fallback · Na co zwrócić uwagę: Co się dzieje, gdy ktoś zgubi klucz lub telefon? Ścieżka odzyskiwania to ulubiony cel atakujących, więc musi być zarówno użyteczna, jak i trudna do nadużycia.
• Doświadczenie rejestracji · Na co zwrócić uwagę: Jak bolesne jest zarejestrowanie wszystkich? Tarcie w tym miejscu tworzy wyjątki, które drążą całą konstrukcję od środka.
• Integracja z dostawcą tożsamości · Na co zwrócić uwagę: Czy pasuje bezproblemowo do dostawcy tożsamości i aplikacji, których już używasz?
• Nakład administracyjny · Na co zwrócić uwagę: Ile bieżącej pracy wymaga utrzymanie, i czy masz do tego ludzi?
• Dowody · Na co zwrócić uwagę: Czy potrafi wygenerować raportowanie pokrycia i audit trail, o które poprosi regulator lub ubezpieczyciel?
• Model kosztowy i UE · Na co zwrócić uwagę: Jak jest wyceniane i gdzie fizycznie znajdują się dane?

Jeśli masz zapamiętać tylko jeden wiersz, niech to będzie odporność na phishing. Większość korzyści bezpieczeństwa z dzisiejszego zakupu uwierzytelniania bierze się z przeniesienia ważnych kont z warstwy współdzielonego sekretu do warstwy odpornej na phishing.

jak wycenia się MFA i jaki jest realny koszt

Uwierzytelnianie zwykle jest wyceniane od użytkownika miesięcznie, i bardzo często jest wpięte w warstwy licencyjne Twojego dostawcy tożsamości, dlatego uczciwym pierwszym krokiem jest sprawdzenie, czy już masz to, co zamierzasz kupić. Mocniejsze funkcje zwykle znajdują się w wyższych warstwach licencyjnych. Cena z cennika rzadko jest realnym kosztem. Budżetuj to, co jest wokół niej:

• Klucze sprzętowe. Jeśli idziesz w stronę kluczy FIDO2, klucze to koszt sprzętowy na osobę, często dwa na osobę, żeby mieć zapasowy. Dla użytkowników uprzywilejowanych to dobrze wydane pieniądze. Na całą załogę suma robi się spora, co jest częścią powodu, dla którego passkeye przechowywane na urządzeniach są atrakcyjne.
• Helpdesk. Każde wdrożenie MFA generuje zgłoszenia o reset i blokady. Obciążenie związane z odzyskiwaniem dostępu to element, który zespoły konsekwentnie niedoszacowują.
• Rejestracja. Zarejestrowanie wszystkich, zwłaszcza pracowników bez biurka i zdalnych, wymaga planowania i czasu. To projekt, nie przełącznik.
• Odnowienie umowy. Pilnuj podwyżki przy odnowieniu i tego, co zmiana warstwy licencyjnej robi z rachunkiem.

jak przeprowadzić ewaluację

Zachowaj dyscyplinę i zwięzłość. Zbuduj shortlistę dwóch, trzech opcji, wliczając w to opcję nierobienia niczego nowego, czyli pełne skonfigurowanie istniejącego dostawcy tożsamości. Potem wyślij skupiony zestaw pytań zamiast ogólnego RFP. Przydatne pytania są konkretne: Jakie czynniki odporne na phishing obsługujecie i czy możemy je wymusić per grupa? Jak obsługujecie użytkownika bez smartfona? Jak wygląda odzyskiwanie dostępu do konta i jak jest chronione przed nadużyciem? Czy możecie chronić aplikacje poza naszym SSO? Czy możecie blokować przestarzałe protokoły uwierzytelniania? Jakie raportowanie pokrycia możecie dostarczyć na potrzeby audytu?

Potem przeprowadź prawdziwy proof of concept. Zarejestruj grupę pilotażową, która celowo zawiera niewygodne przypadki: admina, pracownika bez biurka, kontraktora na niezarządzanym urządzeniu, kogoś, kto celowo zgubi telefon, żebyś mógł przetestować odzyskiwanie dostępu. Wypróbuj czynnik odporny na phishing od początku do końca. Skieruj go na jedną z aplikacji spoza SSO i zobacz, co się stanie. Ustal jasne kryteria sukcesu, zanim zaczniesz.

Na koniec zbierz referencje i zadaj pytanie, które ma znaczenie: nie czy im się podoba produkt, tylko co się popsuło podczas wdrożenia i co chcieliby wiedzieć wcześniej.

pułapki, których nie zobaczysz na demo

SMS po cichu pozostaje domyślnym fallbackiem, więc mocny czynnik, który kupiłeś, stoi przed słabym, na który każdy może się cofnąć. Prompty push zostają skonfigurowane bez number matching, zostawiając otwarty atak na zmęczenie. Przestarzałe protokoły uwierzytelniania zostają włączone w jakimś kącie, a cała inwestycja w MFA może zostać ominięta przez te jedne drzwi. Admini i konta serwisowe dostają wyjątki, bo były niewygodne, co jest dokładnie odwrotnością tego, co powinno się zrobić. A proces odzyskiwania dostępu okazuje się najmiększym elementem całego systemu, bo zmanipulowanie helpdesku jest łatwiejsze niż pokonanie uwierzytelniania.

Wspólny kształt tych wszystkich pułapek: przeciętne logowanie jest dobrze chronione, a wyjątki nie, i to wyjątki są całą grą.

gdzie to spotyka się z przepisami

NIS2 wprost wymienia uwierzytelnianie wieloskładnikowe wśród środków zarządzania ryzykiem w artykule 21, więc dla podmiotów objętych regulacją to wprost wskazany obowiązek, a nie rekomendacja. DORA, dla podmiotów finansowych, wymaga silnego uwierzytelniania na dostępie uprzywilejowanym i zdalnym poprzez swoje standardy techniczne. A ubezpieczyciele cybernetyczni rutynowo już czynią MFA warunkiem ochrony, czasem konkretnie na poczcie, dostępie zdalnym i kontach uprzywilejowanych, i to sprawdzają. Żaden z tych reżimów zwykle nie mówi, jakiego czynnika użyć, ale zarówno kierunek zmian, jak i dane o zagrożeniach wskazują na uwierzytelnianie odporne na phishing.

To kontekst do priorytetyzacji, nie porada prawna, a szczegóły zależą od Twojego sektora i kraju.

ścieżka krok po kroku

Czołgaj się: spraw, żeby MFA było wymagane, a nie tylko dostępne, na każdym koncie i każdej aplikacji, do której masz dostęp. Włącz number matching dla push. Zamknij przestarzałe protokoły uwierzytelniania. Odejdź od samego SMS wszędzie tam, gdzie jest coś lepszego. To samo usuwa większość ryzyka przejęcia konta i w większości jest po prostu konfiguracją tego, co już masz.

Chodź: umieść czynniki odporne na phishing na kontach, których utrata zabolałaby najbardziej, czyli u adminów, w finansach i u każdego z szerokim dostępem. Włącz do polityki aplikacje spoza SSO. Postaw reguły dostępu warunkowego, które naprawdę rozumiesz. Napraw proces odzyskiwania dostępu, żeby nie był najsłabszym ogniwem.

Biegnij: rozszerz uwierzytelnianie odporne na phishing na wszystkich, przejdź w stronę rozwiązań bezhasłowych i dostrajaj polityki oparte na ryzyku realnymi sygnałami. Pilnuj nadużyć MFA za pomocą wykrywania zagrożeń tożsamości. Na tym etapie uwierzytelnianie przestaje być projektem i staje się stałą cechą tego, jak ludzie się logują.