Kétlépcsős azonosítás bekapcsolása céges fiókokon

A jelszó egymagában kevés egy céges fiók védelmére: kitalálható, ellopható, és sokan több webhelyen is ugyanazt használják. A kétlépcsős azonosítás a jelszó mellé egy második lépést kér bejelentkezéskor, például egy értesítés jóváhagyását a telefonon vagy egy ellenőrző kód megadását. Nézzük meg, hogyan megy a kétlépcsős azonosítás bekapcsolása céges fiókokon Microsoft 365 és Google Workspace alatt, és mire figyeljünk a bevezetésnél.

Mit véd ki a kétlépcsős azonosítás

A Microsoft ezt a megoldást többtényezős hitelesítésnek (MFA, multi-factor authentication) nevezi. Két vagy több hitelesítési módot kombinál:

• valamit, amit tudunk, például a jelszót;
• valamit, ami nálunk van, például a telefont vagy egy biztonsági kulcsot;
• valamit, ami a sajátunk, például az ujjlenyomatot vagy az arcfelismerést.

Ha a jelszó illetéktelen kézbe kerül, a második lépés nélkül sem lehet belépni vele. A Microsoft tapasztalata alapján a többtényezős hitelesítéssel és a régi hitelesítési protokollok blokkolásával a gyakori, identitással kapcsolatos támadások több mint 99,9%-a megáll. Nemcsak a vezetők fiókja számít: a támadók gyakran a hétköznapi felhasználókat veszik célba, és egy megszerzett fiókból akár a teljes címtárat letölthetik, hogy adathalász támadást indítsanak az egész szervezet ellen.

Kétlépcsős azonosítás Microsoft 365-ben: a biztonsági alapértékek

Microsoft 365 alatt a legegyszerűbb, külön költség nélküli megoldás a biztonsági alapértékek bekapcsolása. Ez minden felhasználótól megköveteli a regisztrációt, a rendszergazdáktól minden bejelentkezéskor kéri a második lépést, a többiektől pedig akkor, amikor szükséges, és blokkolja a régi hitelesítési protokollokat. A 2019. október 22-én vagy azóta létrehozott bérlőkön előfordulhat, hogy már be is van kapcsolva.

A bekapcsolás lépései:

1. Jelentkezzünk be a Microsoft Entra felügyeleti központba legalább feltételes hozzáférési rendszergazdai szerepkörrel.
2. Nyissuk meg az Entra ID > Áttekintés > Tulajdonságok részt.
3. Válasszuk az Alapértelmezett biztonsági beállítások kezelése lehetőséget.
4. Állítsuk engedélyezettre, majd válasszuk a Mentés lehetőséget.

A bekapcsolás után a felhasználóknak 14 napjuk van a regisztrációra. Hogy a korábban bejelentkezett felhasználók is regisztráljanak, a rendszergazdának vissza kell vonnia a meglévő bejelentkezési tokeneket. Microsoft Entra ID P1 vagy P2 licenc mellett a biztonsági alapértékek valószínűleg nem a megfelelő megoldás, összetett biztonsági követelményekhez pedig a feltételes hozzáférés való. Az adminisztrációhoz érdemes külön fiókot használni, mint a napi munkához. Ezeket a beállításokat kisebb cégnél egy külső rendszergazda is kezelheti.

Regisztráció a felhasználók oldalán

Ha a cég megköveteli a többtényezős hitelesítést, a következő Microsoft 365-bejelentkezéskor a rendszer kéri egy ellenőrzési módszer regisztrálását. A szervezet beállításaitól függően ez lehet a Microsoft Authenticator alkalmazás, az Outlookba épített Authenticator Lite, illetve hardver- és szoftvertoken. A jóváhagyáskor az Authenticator egy számot is kér, amely a bejelentkezési képernyőn jelenik meg; ez a kéretlen jóváhagyási kérések özönére építő támadások ellen véd.

A regisztrált módszereket később a Saját profilban lehet áttekinteni, újat felvenni, a meglévőt módosítani, a már nem használtat eltávolítani. Ha a telefon elveszett vagy lecserélődött, a fiók helyreállításához segítséget kell kérni, ezért érdemes minden felhasználónál egynél több módszert regisztrálni.

Google Workspace: fokozatos bevezetés

Google Workspace alatt a rendszergazdai fiókokra a Google már kötelezővé teszi a kétlépcsős azonosítást. A felhasználóknál a bevezetés lépésenként halad:

• tájékoztassuk a munkatársakat: mi ez, miért vezetjük be, kötelező-e, milyen határidőig és milyen módszerrel kell beállítani;
• a Google Admin konzol hitelesítési beállításainál szuperadminisztrátorként engedélyezzük, hogy a felhasználók bekapcsolhassák;
• a biztonsági jelentésekben kövessük, ki regisztrált már;
• végül kényszerítsük ki, azonnal vagy egy kiválasztott dátumtól; ez utóbbi a választott naptól számítva 24-48 órán belül indul.

Az új munkatársaknak 1 nap és 6 hónap közötti regisztrációs idő adható, ez alatt még csak jelszóval lépnek be. Ha a kikényszerítéskor kizárjuk a szöveges üzenetben vagy hívásban kapott kódokat, az ezeket használó felhasználók kizáródnak a fiókjukból, ezért előtte váltsanak más módszerre. A második lépés kihagyása a megbízható eszközökön csak akkor ajánlott, ha a felhasználók gyakran váltogatják az eszközeiket.

Kép: Microsoft, forrás

Forrás: Kétlépcsős azonosítás bekapcsolása a céges fiókokon (Hivatalos dokumentáció: support.microsoft.com, learn.microsoft.com, support.google.com)