Administrator musi się zalogować podczas awarii internetu. Pracownik w podróży otwiera laptop bez dostępu do sieci Wi-Fi. Stacja robocza działa w sieci wewnętrznej z ograniczoną łącznością zewnętrzną. W każdym z tych przypadków organizacja nadal musi zweryfikować tożsamość osoby, która się loguje.
Uwierzytelnianie MFA w trybie offline przy użyciu metody FIDO pozwala użytkownikom ukończyć uwierzytelnianie wieloskładnikowe za pomocą zarejestrowanego klucza bezpieczeństwa FIDO2 lub innego obsługiwanego uwierzytelniacza FIDO bez połączenia z internetem. Komputer lokalnie sprawdza odpowiedź kryptograficzną uwierzytelniacza, więc podczas tego logowania nie musi łączyć się z usługą MFA w chmurze.
Organizacje, które korzystają z uwierzytelniania odpornego na phishing w trybie online, mogą dzięki temu zachować tę ochronę również wtedy, gdy połączenie z chmurą jest niedostępne.
Rozwiązanie Rublon MFA obsługuje uwierzytelnianie MFA w trybie offline przy użyciu metody FIDO dzięki trybowi Offline Mode w konektorze Rublon MFA dla logowania do systemu Windows i poprzez protokół RDP.
Uwierzytelnianie MFA odporne na phishing podczas logowania offline do systemu Windows
Rozpocznij bezpłatny, 30-dniowy okres próbny rozwiązania Rublon MFA i zabezpiecz obsługiwane logowania do systemu Windows za pomocą kluczy bezpieczeństwa FIDO, nawet gdy komputer nie ma połączenia z internetem.
Co to jest uwierzytelnianie MFA w trybie offline przy użyciu metody FIDO?
Uwierzytelnianie MFA w trybie offline przy użyciu metody FIDO to uwierzytelnianie wieloskładnikowe, w którym lokalny komponent weryfikuje odpowiedź uwierzytelniającą FIDO bez konieczności utrzymywania połączenia z usługą MFA w chmurze.
Typowym przykładem jest logowanie do systemu Windows, które wymaga podania hasła użytkownika, a następnie użycia zarejestrowanego klucza bezpieczeństwa FIDO. Hasło stanowi jeden składnik uwierzytelniania, a klucz drugi. W zależności od uwierzytelniacza i żądania uwierzytelnienia użycie klucza może również wymagać podania kodu PIN lub weryfikacji biometrycznej.
Uwierzytelnianie FIDO korzysta z kryptografii klucza publicznego: klucz bezpieczeństwa przechowuje klucz prywatny, a system używa odpowiadającego mu klucza publicznego do weryfikacji. Podczas logowania klucz bezpieczeństwa podpisuje cyfrowo odpowiedź na żądanie systemu. System sprawdza ten podpis, aby potwierdzić, że do tego logowania używany jest zarejestrowany klucz.
Klucz bezpieczeństwa FIDO2 nie potrzebuje własnego połączenia z internetem. Aplikacja lub system operacyjny musi jednak obsługiwać weryfikację offline. Samo podłączenie klucza FIDO2 do komputera bez dostępu do sieci nie włącza automatycznie uwierzytelniania MFA offline.
Jaka jest różnica między uwierzytelnianiem FIDO online i offline?
Główna różnica polega na tym, gdzie weryfikowana jest odpowiedź uwierzytelniająca i które usługi muszą być dostępne.
| Aspekt | Uwierzytelnianie FIDO online | Uwierzytelnianie FIDO offline |
| Weryfikacja | Dostępna usługa uwierzytelniania weryfikuje odpowiedź | Weryfikację przeprowadza lokalny komponent |
| Zależność od sieci | Klient musi mieć dostęp do odpowiedniej usługi | Etap uwierzytelniania MFA można ukończyć bez połączenia z usługą w chmurze |
| Przygotowanie | Uwierzytelniacz musi być zarejestrowany, a konfiguracja sieci i zapory musi umożliwiać połączenia z usługą MFA w chmurze na wymaganych portach | Uwierzytelniacz musi być zarejestrowany, a komputer musi mieć skonfigurowane uwierzytelnianie MFA offline i zapisane dane potrzebne do weryfikacji |
| Zmiany na koncie | Dostępna usługa może korzystać z aktualnych informacji o koncie | Punkt końcowy korzysta z informacji dostępnych lokalnie |
| Obsługiwane zasoby | Logowanie do aplikacji i systemów zintegrowanych z usługą MFA w chmurze | Logowanie do aplikacji i systemów obsługujących lokalną weryfikację uwierzytelniania FIDO |
Jak działa uwierzytelnianie MFA w trybie offline przy użyciu metody FIDO?
Szczegóły konfiguracji zależą od używanego rozwiązania MFA. W przypadku klucza bezpieczeństwa FIDO proces zwykle wygląda następująco:
- Zarejestruj klucz. Zarejestruj klucz bezpieczeństwa na koncie użytkownika w systemie MFA.
- Skonfiguruj uwierzytelnianie offline na tym komputerze. Postępuj zgodnie z instrukcją używanego rozwiązania MFA. Zanim użyjesz klucza bez połączenia z usługą w chmurze, oprogramowanie musi zapisać na komputerze dane potrzebne do jego lokalnej weryfikacji.
- Rozpocznij logowanie. Wykonaj wymagany pierwszy krok, na przykład podaj hasło.
- Użyj klucza bezpieczeństwa. Komputer wysyła nowe żądanie uwierzytelnienia, nazywane wyzwaniem. Klucz podpisuje odpowiedź po wykonaniu przez użytkownika wymaganej czynności: dotknięcia klucza, podania kodu PIN lub weryfikacji biometrycznej.
- Poczekaj na zakończenie weryfikacji. Komputer automatycznie sprawdza, czy odpowiedź pochodzi z Twojego zarejestrowanego klucza i dotyczy bieżącej próby logowania. Jeśli wszystkie wymagane kontrole zakończą się pomyślnie, uzyskasz dostęp.
Ten proces chroni przed atakami polegającymi na ponownym wykorzystaniu przechwyconej odpowiedzi: atakujący nie może się zalogować, używając odpowiedzi z wcześniejszego logowania. Każda próba wykorzystuje nowe wyzwanie, a komputer sprawdza, czy podpisana odpowiedź do niego pasuje. To zabezpieczenie jest częścią modelu uwierzytelniania standardu WebAuthn.
Klucz prywatny służący do podpisywania odpowiedzi pozostaje na kluczu bezpieczeństwa. Komputer przechowuje dane do weryfikacji, w tym odpowiadający mu klucz publiczny. Sama kradzież tych danych nie pozwala atakującemu generować prawidłowych podpisanych odpowiedzi ani podszyć się pod klucz bezpieczeństwa.
Czy rejestracja klucza FIDO umożliwia korzystanie z niego do uwierzytelniania MFA offline na każdym komputerze?
Nie. Rejestracja przypisuje klucz bezpieczeństwa do konta użytkownika. Każdy komputer musi dodatkowo obsługiwać uwierzytelnianie FIDO offline i mieć zapisane dane potrzebne do lokalnej weryfikacji tego klucza.
Na przykład pracownik może już korzystać z klucza FIDO na komputerze w biurze. Zanim będzie mógł użyć tego samego klucza offline na nowym laptopie, laptop musi otrzymać dane do uwierzytelniania potrzebne do weryfikacji klucza bez połączenia z usługą w chmurze.
Przygotuj każdy komputer, do którego użytkownik będzie potrzebował dostępu offline. Jeśli ma klucz zapasowy, upewnij się, że dane do uwierzytelniania tego klucza również są dostępne na tych komputerach, i przetestuj oba klucze przed awarią.
Uwierzytelnianie MFA w trybie offline nadal weryfikuje użytkownika
Uwierzytelnianie MFA w trybie offline wymaga obsługiwanego drugiego składnika nawet wtedy, gdy usługa w chmurze jest niedostępna. Pomijanie uwierzytelniania MFA oznacza pominięcie tej weryfikacji.
Skonfiguruj i przetestuj tryb Fail Mode konektora na wypadek, gdy uwierzytelnianie offline jest niedostępne lub jego wymagania nie są spełnione.
Dlaczego warto używać odpornego na phishing uwierzytelniania FIDO MFA w trybie offline?
W przypadku kodów jednorazowych (np. kodów TOTP zdefiniowanych w dokumencie RFC 6238) oszust może przechwycić wpisany kod i przekazać go do prawdziwej usługi. Uwierzytelnianie FIDO korzysta natomiast z poświadczeń kryptograficznych powiązanych ze stroną ufającą, czyli usługą żądającą uwierzytelnienia. Zapewnia to odporność na phishing, której brakuje większości pozostałych metod uwierzytelniania wieloskładnikowego.
Wytyczne instytutu NIST dotyczące odporności na phishing rozróżniają uwierzytelnianie kryptograficzne i metody wymagające ręcznego wprowadzenia wyniku wygenerowanego przez uwierzytelniacz. Te drugie nie wiążą kodu z właściwą sesją uwierzytelniania.
Weryfikacja FIDO w trybie offline pozwala stosować to podejście kryptograficzne w obsługiwanych scenariuszach logowania bez połączenia z siecią. Punkt końcowy nadal musi egzekwować prawidłowy kontekst uwierzytelniania i chronić komponent podejmujący decyzję o dostępie.
Uwaga
Odporność na phishing nie sprawia, że komputer, którego zabezpieczenia zostały naruszone, staje się godny zaufania. Nadal konieczne są wzmacnianie zabezpieczeń punktu końcowego, szyfrowanie dysku, ograniczanie dostępu administracyjnego i ochrona komponentu logowania.
Jak uwierzytelnianie FIDO offline wypada w porównaniu z uwierzytelnianiem TOTP offline?
Hasła jednorazowe oparte na czasie (ang. Time-Based One-Time Passwords, TOTPs) można generować bez dostępu do internetu. Aby weryfikować je offline, chroniony system musi obsługiwać również lokalną weryfikację oraz dysponować wymaganym współdzielonym sekretem.
Uwierzytelnianie FIDO działa inaczej. Do sprawdzenia odpowiedzi komputer używa klucza publicznego. Nie potrzebuje współdzielonego sekretu, z którego można generować prawidłowe kody uwierzytelniające.
| Cecha | Uwierzytelnianie TOTP offline | Uwierzytelnianie FIDO offline |
| Czynności użytkownika | Wprowadzenie zmieniającego się kodu | Użycie zarejestrowanego uwierzytelniacza oraz, zależnie od wymagań, dotknięcie go, podanie kodu PIN lub weryfikacja biometryczna |
| Dane do weryfikacji | Współdzielony sekret | Klucz publiczny poświadczenia oraz dane rejestracji, w tym jego identyfikator i powiązanie z kontem użytkownika |
| Odporność na phishing | Ręcznie wprowadzane kody nie są odporne na phishing | Zapewnia uwierzytelnianie odporne na phishing dzięki kryptograficznemu powiązaniu uwierzytelniania z właściwą usługą |
| Wymagany smartfon | Zwykle wymagany w przypadku kodów TOTP z aplikacji, ale istnieją też sprzętowe tokeny TOTP | Sprzętowy klucz bezpieczeństwa może działać bez smartfona |
| Planowanie odzyskiwania dostępu | Potrzebna jest osobna metoda odzyskiwania dostępu | Potrzebny jest zapasowy uwierzytelniacz lub inna zatwierdzona metoda odzyskiwania dostępu |
Wskazówka
Tryb Offline Mode w konektorze Rublon MFA dla systemu Windows obsługuje zarówno uwierzytelnianie FIDO, jak i kody dostępu z aplikacji Rublon Authenticator. Daje to organizacjom elastyczność: mogą korzystać ze standardu FIDO do odpornego na phishing uwierzytelniania MFA w trybie offline, zachowując jednocześnie kody dostępu generowane przez aplikację jako alternatywę dla użytkowników o innych potrzebach w zakresie uwierzytelniania.
Czy uwierzytelnianie FIDO MFA w trybie offline automatycznie spełnia wymagania poziomu AAL3 instytutu NIST?
Nie. Sama obsługa uwierzytelniania FIDO nie przesądza o poziomie pewności uwierzytelniania.
Wymagania publikacji NIST SP 800-63B-4 dotyczące poziomu AAL3 obejmują odporność na phishing, klucz prywatny, którego nie można wyeksportować, zatwierdzone mechanizmy kryptograficzne oraz wymagania wobec uwierzytelniaczy, komponentów weryfikujących i procesu uwierzytelniania. To rozróżnienie ma znaczenie przy wyborze między sprzętowym kluczem bezpieczeństwa a synchronizowanym kluczem dostępu. Klucze dostępu, które można synchronizować między urządzeniami, nie spełniają wymagania dotyczącego braku możliwości eksportu klucza prywatnego, dlatego nie mogą być używane na poziomie AAL3. Jest to inny proces niż synchronizacja danych do weryfikacji za pomocą klucza publicznego na komputerze przygotowywanym do uwierzytelniania MFA offline.
Odpowiedni uwierzytelniacz sprzętowy może być elementem rozwiązania o wysokim poziomie pewności uwierzytelniania, ale ocenie musi podlegać cała implementacja. Sama funkcja uwierzytelniania FIDO offline nie stanowi deklaracji zgodności z poziomem AAL3.
Standardy FIDO i wytyczne dotyczące bezpieczeństwa
- Specyfikacja Web Authentication konsorcjum W3C: tworzenie poświadczeń i weryfikacja uwierzytelnienia w3.org
- Specyfikacje stowarzyszenia FIDO Alliance: standardy FIDO2 i WebAuthn, protokół CTAP oraz standard U2F fidoalliance.org
- Arkusz informacyjny agencji CISA: wdrażanie uwierzytelniania MFA odpornego na phishing cisa.gov
Kiedy przydaje się uwierzytelnianie MFA w trybie offline przy użyciu metody FIDO?
Uwierzytelnianie FIDO MFA w trybie offline przydaje się wszędzie tam, gdzie obsługiwane logowanie musi pozostać chronione mimo niedostępności usługi uwierzytelniania w chmurze. Potrzeba ta nie ogranicza się do środowisk przemysłowych czy wojskowych.
Awarie internetu i ciągłość biznesowa
Biuro może stracić dostęp do internetu, mimo że stacje robocze i sieć wewnętrzna nadal działają.
Przygotowane punkty końcowe mogą wtedy nadal lokalnie weryfikować obsługiwane logowania. Przy wsparciu dla FIDO offline administrator może użyć zarejestrowanego uwierzytelniacza FIDO, aby uzyskać dostęp do chronionego systemu bez czekania na przywrócenie łączności z chmurą.
Pracownicy w podróży i niestabilne połączenia
Laptop używany w pociągu, samolocie lub u klienta może przez wiele godzin nie mieć stabilnego połączenia.
Wcześniejsze przygotowanie uwierzytelniania FIDO offline pozwala pracownikowi użyć klucza bezpieczeństwa bez konieczności odbierania powiadomienia mobilnego ani otwierania aplikacji na telefonie. Organizacja może zachować kryptograficzny drugi składnik uwierzytelniania MFA w obsługiwanym scenariuszu logowania, zamiast polegać wyłącznie na danych uwierzytelniania podstawowego zapisanych w pamięci podręcznej.
Miejsca pracy, w których smartfony są zabronione
W niektórych obiektach korzystanie z telefonów jest ograniczone ze względów operacyjnych lub wymagań dotyczących prywatności i bezpieczeństwa.
Indywidualnie przypisany klucz bezpieczeństwa FIDO pozwala wygodnie korzystać z uwierzytelniania MFA bez smartfona. Użytkownicy noszą uwierzytelniacz przy sobie i wykonują wymaganą czynność: dotykają go, podają kod PIN lub przechodzą weryfikację biometryczną.
Sprzętowe tokeny TOTP również mogą działać bez telefonu, ale nie zapewniają takiego samego modelu uwierzytelniania odpornego na phishing.
Współdzielone stacje robocze
Na współdzielonej stacji roboczej każda osoba może korzystać z własnego konta i indywidualnie przypisanego klucza bezpieczeństwa.
Ważne jest odpowiednie przygotowanie: na stacji roboczej muszą być dostępne dane do uwierzytelniania każdego użytkownika, który potrzebuje dostępu offline. Nie należy zakładać, że klucz działający na jednym stanowisku będzie działał offline na wszystkich pozostałych.
Indywidualne uwierzytelniacze zapewniają też większą rozliczalność niż współdzielenie jednego klucza i jednego konta przez cały zespół.
Sieci z ograniczeniami i punkty końcowe bez połączenia z siecią
Uwierzytelnianie obsługujące tryb offline może pomóc chronić punkty końcowe, których łączność zewnętrzna jest ograniczona lub dostępna wyłącznie podczas kontrolowanych prac konserwacyjnych.
Jednak logowanie offline i wdrożenie trwale odizolowane od sieci zewnętrznych mają odmienne wymagania. System, który nigdy nie łączy się z usługami zewnętrznymi, potrzebuje modelu rejestracji, przygotowania do pracy, unieważniania poświadczeń, odzyskiwania dostępu i utrzymania, który działa w ramach tej izolacji.
Uwaga
Rozwiązanie Rublon MFA łączy centralne zarządzanie z ochroną offline obsługiwanych logowań do systemu Windows, umożliwiając organizacjom zabezpieczenie komputerów używanych zarówno online, jak i offline.
Wstępna konfiguracja, obejmująca instalację, rejestrację uwierzytelniacza FIDO i synchronizację danych użytkownika, wymaga połączenia z internetem. Tak przygotowane komputery mogą następnie lokalnie weryfikować obsługiwane logowania FIDO bez połączenia z internetem. Ten model wdrożenia nie jest przeznaczony dla środowisk trwale odizolowanych od sieci zewnętrznych, które na żadnym etapie nie mogą połączyć się z interfejsem Rublon API.
Jak rozwiązanie Rublon MFA obsługuje uwierzytelnianie FIDO offline?
Metoda uwierzytelniania FIDO w rozwiązaniu Rublon MFA obsługuje klucze bezpieczeństwa i klucze dostępu we wspieranych integracjach. Opisana tutaj implementacja uwierzytelniania FIDO offline to konektor Rublon MFA dla logowania do systemu Windows i poprzez protokół RDP.
Konektor dodaje etap uwierzytelniania MFA do obsługiwanych logowań do systemu Windows. Gdy komputer nie jest w stanie połączyć się z interfejsem Rublon API, tryb Offline Mode może zweryfikować obsługiwany, zarejestrowany uwierzytelniacz FIDO na podstawie wcześniej zsynchronizowanych danych na tym komputerze.
Pozwala to rozszerzyć uwierzytelnianie MFA odporne na phishing na obsługiwane scenariusze dostępu offline do systemu Windows, przy jednoczesnym zarządzaniu szerszym wdrożeniem uwierzytelniania MFA w organizacji za pomocą tej samej platformy uwierzytelniania dwuskładnikowego.
Wypróbuj Rublon MFA →
Lokalne logowania do systemu Windows i monity mechanizmu UAC
Dla lokalnego logowania do systemu Windows rozwiązanie Rublon MFA obsługuje uwierzytelnianie offline za pomocą kluczy bezpieczeństwa FIDO2 i FIDO U2F, w tym obsługiwanych kluczy zabezpieczonych kodem PIN lub wyposażonych we wbudowany czytnik linii papilarnych.
Ta sama możliwość jest dostępna dla monitów mechanizmu User Account Control (UAC) chronionych przez rozwiązanie Rublon MFA. Administrator może więc ukończyć dodatkowy etap uwierzytelniania dla chronionego żądania podniesienia uprawnień, gdy komputer jest offline.
Uwierzytelnianie podstawowe nadal musi zakończyć się pomyślnie. Uwierzytelnianie MFA w trybie offline nie zastępuje weryfikacji konta w systemie Windows ani nie przyznaje uprawnień, których konto nie ma.
Uwierzytelnianie FIDO offline dla połączeń przez protokół RDP
Podczas logowania przez protokół RDP rozwiązanie Rublon MFA przeprowadza uwierzytelnianie FIDO za pomocą przekierowania WebAuthn. Okno uwierzytelniania pojawia się na komputerze klienta, a nie w sesji zdalnej.
Obsługiwane opcje obejmują klucze bezpieczeństwa oraz zgodne klucze dostępu FIDO2 dostępne po stronie klienta. Uwierzytelniacz musi być zarejestrowany na koncie użytkownika w rozwiązaniu Rublon MFA, a jego dane do uwierzytelniania muszą zostać wcześniej zsynchronizowane na zdalnym komputerze z systemem Windows.
Środowisko korzystające z protokołu RDP musi obsługiwać przekierowanie WebAuthn i zezwalać na jego użycie. Jeśli chcesz dowiedzieć się więcej o tym procesie, dokumentacja firmy Microsoft opisuje, jak żądania standardu WebAuthn są przekierowywane między sesją zdalną a urządzeniem lokalnym.
Uwaga
W tym przypadku „offline” oznacza, że zdalny komputer nie może połączyć się z interfejsem Rublon API. Samo połączenie przez protokół RDP może działać w sieci lokalnej bez dostępu do internetu. Dostępne opcje kluczy dostępu FIDO zależą od dostawcy kluczy dostępu i środowiska klienta.
Przygotowanie punktów końcowych z systemem Windows do uwierzytelniania FIDO MFA w trybie offline
Przygotuj i przetestuj konkretne komputery i konta, które będą wymagały dostępu offline:
- Zainstaluj obsługiwaną wersję konektora. Postępuj zgodnie z dokumentacją konektora Rublon MFA dla Windows i RDP, uwzględniając aktualne wymagania dotyczące systemu operacyjnego i uwierzytelniaczy.
- Włącz tryb Offline Mode. Upewnij się, że konektor jest skonfigurowany tak, aby chronić wymagany scenariusz logowania.
- Zarejestruj uwierzytelniacz FIDO użytkownika. Użytkownicy mogą samodzielnie rejestrować swoje uwierzytelniacze lub skorzystać z uwierzytelniaczy FIDO zarejestrowanych przez administratora.
- Zsynchronizuj dane uwierzytelniające na każdym komputerze docelowym. Po rejestracji dane synchronizują się automatycznie przy pomyślnym logowaniu online za pomocą dowolnej metody Rublon MFA. Użytkownik nie musi wcześniej logować się online przy użyciu tego konkretnego klucza FIDO.
- Przeprowadź test bez dostępu do interfejsu Rublon API. Sprawdź docelowy proces logowania lokalnego, uwierzytelniania w monicie mechanizmu UAC lub logowania przez protokół RDP i upewnij się, że w danym scenariuszu rzeczywiście wymagane jest uwierzytelnianie MFA.
- Przygotuj sposób odzyskiwania dostępu. Zsynchronizuj i przetestuj zapasowy uwierzytelniacz lub ustal inną zatwierdzoną procedurę odzyskiwania dostępu.
Instrukcje konfiguracji trybu Offline Mode oraz wymagania i informacje o obsługiwanych uwierzytelniaczach FIDO znajdziesz tutaj:
Łączenie ochrony systemu Windows w trybie offline z innymi integracjami MFA
Organizacja może potrzebować uwierzytelniania FIDO offline dla administratorów systemu Windows, uwierzytelniania mobilnego dla pozostałych pracowników i innych metod uwierzytelniania dla jeszcze innych aplikacji.
Rozwiązanie Rublon MFA umożliwia takie szersze wdrożenie dzięki integracjom MFA i politykom dostępu. Administratorzy mogą wybierać obsługiwane metody dla różnych aplikacji i grup, zamiast projektować całe środowisko pod kątem jednego scenariusza offline.
Możliwości działania trybu offline zależą od konkretnej integracji. Obsługa uwierzytelniania FIDO offline w systemie Windows nie oznacza obsługi uwierzytelniania offline w każdej podłączonej aplikacji.
MFA w Windows bez przerw – nawet w przypadku awarii
Przygotuj punkty końcowe z systemem Windows do uwierzytelniania FIDO offline i przetestuj lokalne logowania, chronione monity funkcji UAC oraz obsługiwane połączenia przez protokół RDP, zanim nastąpi utrata łączności.
Co administratorzy powinni przetestować przed wdrożeniem uwierzytelniania FIDO MFA w trybie offline?
Udana demonstracja z jednym kluczem i jednym laptopem to dobry punkt wyjścia. Jednak wdrożenie produkcyjne wymaga również przewidywalnego działania w sytuacjach, gdy niedostępne są poświadczenia, łączność lub sprzęt.
| Test | Co sprawdzić |
| Przygotowany użytkownik i zarejestrowany klucz | Uwierzytelnianie MFA offline kończy się pomyślnie na docelowym punkcie końcowym |
| Użytkownik bez zsynchronizowanych danych do uwierzytelniania | Skonfigurowana odmowa dostępu lub pominięcie uwierzytelniania jest zgodne z wymaganiami organizacji |
| Niezarejestrowany lub niewłaściwy klucz | Uwierzytelnienie zostaje odrzucone |
| Klucz zapasowy | Działa offline po zsynchronizowaniu jego danych |
| Współdzielona stacja robocza | Każdy uprawniony użytkownik może uwierzytelnić się za pomocą własnego poświadczenia |
| Podniesienie uprawnień przez mechanizm UAC | Wymagane konto i scenariusz podniesienia uprawnień są chronione |
| Protokół RDP | Okno uwierzytelniania pojawia się po stronie klienta, a uwierzytelnianie działa przy dozwolonych ustawieniach przekierowania |
| Nieprawidłowy kod PIN lub zablokowany klucz | Użytkownicy otrzymują zrozumiałe instrukcje i mają możliwość odzyskania dostępu |
| Punkt końcowy po przywróceniu łączności | Istotne zmiany dotyczące kont i uwierzytelniaczy są uwzględnione przed kolejnym planowanym okresem pracy offline |
Uwzględnij opóźnienia w unieważnianiu poświadczeń
Punkt końcowy bez połączenia z siecią nie może natychmiast pobrać z chmury informacji o zawieszeniu konta, usunięciu uwierzytelniacza ani nowej polityki.
Zaplanuj, w jaki sposób urządzenia otrzymują aktualne dane do uwierzytelniania i co się dzieje, gdy użytkownik opuszcza organizację lub zgubi klucz. Nie zakładaj, że centralne usunięcie uwierzytelniacza natychmiast unieważnia każdą kopię jego danych do weryfikacji przechowywaną na urządzeniu bez połączenia z siecią.
W przypadku długich okresów pracy bez połączenia z siecią oceń udokumentowane ograniczenia produktu oraz możliwości organizacji w zakresie aktualizacji punktu końcowego lub fizycznej kontroli nad nim.
Dostosuj odzyskiwanie dostępu do wymagań bezpieczeństwa
Zarejestrowany zapasowy uwierzytelniacz FIDO pozwala zachować ten sam sposób uwierzytelniania, gdy główny klucz jest niedostępny.
Inne metody odzyskiwania dostępu mogą zapewniać inny poziom pewności uwierzytelniania. Jeśli system musi zawsze korzystać z uwierzytelniania MFA odpornego na phishing, oceń dozwolone metody awaryjne i zachowanie w razie błędów równie starannie jak zwykłe logowanie.
Chroń punkt końcowy i proces uwierzytelniania
Uwierzytelnianie MFA offline opiera się na integralności lokalnego systemu przeprowadzającego weryfikację. Aktualizuj konektor i system operacyjny, chroń lokalne dane do uwierzytelniania, ograniczaj zmiany administracyjne oraz stosuj odpowiednie szyfrowanie dysku i zabezpieczenia rozruchu.
Określ również, jakie sposoby dostępu obejmuje konektor. Nie należy zakładać, że ochrona interaktywnego logowania do systemu Windows zabezpiecza każdą usługę, protokół zarządzania czy aplikację działającą na tym komputerze.
Te zabezpieczenia pomagają zapewnić skuteczność silnego uwierzytelniania w całym wdrożeniu.
Najczęściej zadawane pytania dotyczące offline FIDO MFA
Czy klucz bezpieczeństwa FIDO2 działa bez połączenia z internetem?
Tak. Klucz bezpieczeństwa FIDO2 może wygenerować podpisaną odpowiedź uwierzytelniającą bez połączenia z internetem. Aby można było ukończyć logowanie, aplikacja lub system operacyjny musi również obsługiwać weryfikację offline i już dysponować danymi potrzebnymi do rozpoznania klucza.
Na przykład tryb Offline Mode w konektorze Rublon MFA dla Windows i RDP obsługuje uwierzytelnianie FIDO, gdy komputer nie ma połączenia z internetem, pod warunkiem że tryb Offline Mode jest włączony, a dane użytkownika do uwierzytelniania zostały wcześniej zsynchronizowane.
Czy mogę zalogować się do witryny za pomocą klucza dostępu w trybie offline?
Zwykłe logowanie do witryny hostowanej w internecie wymaga komunikacji z tą witryną lub jej dostawcą tożsamości. Klucz bezpieczeństwa lub klucz dostępu może być dostępny lokalnie, ale usługa zdalna nadal musi wysłać żądanie i zweryfikować odpowiedź.
Inaczej jest w przypadku aplikacji hostowanej lokalnie lub zaprojektowanej z myślą o weryfikacji offline. Uwierzytelnianie offline za pomocą klucza dostępu FIDO może być w niej możliwe w zależności od ustawień i konkretnych funkcji tej aplikacji.
Czy uwierzytelnianie MFA w trybie offline przy użyciu metody FIDO działa z kontami usług Active Directory lub Entra ID?
Tak, pod warunkiem że integracja MFA obsługuje dany typ konta, a system Windows może najpierw zweryfikować dane logowania użytkownika.
Na przykład konektor Rublon MFA dla Windows i RDP może chronić logowania za pomocą kont lokalnej usługi Active Directory. System Windows może zweryfikować konto za pośrednictwem kontrolera domeny w sieci lokalnej bez dostępu do publicznego internetu, a rozwiązanie Rublon MFA weryfikuje uwierzytelniacz FIDO w trybie offline na podstawie wcześniej zsynchronizowanych danych.
W przypadku komputera całkowicie odłączonego od sieci, w tym komputera używanego z kontem usługi Entra ID, system Windows musi już dysponować informacjami i konfiguracją wymaganymi do logowania offline. Etap uwierzytelniania MFA nie znosi tego wymagania.
Czy klucze dostępu funkcji Windows Hello mogą służyć do uwierzytelniania MFA offline?
Można ich używać, jeśli dana integracja i scenariusz logowania je obsługują.
W obsługiwanym przez konektor Rublon MFA dla systemu Windows procesie logowania przez protokół RDP można korzystać ze zgodnych kluczy dostępu FIDO dostępnych po stronie klienta dzięki przekierowaniu WebAuthn. Jest to możliwe, ponieważ udostępniane przez firmę Microsoft interfejsy API standardu WebAuthn w systemie Windows obsługują między innymi funkcję Windows Hello i klucze bezpieczeństwa FIDO2.
Jak użytkownik może odzyskać dostęp po zgubieniu klucza bezpieczeństwa FIDO?
Skorzystaj z wcześniej zarejestrowanego zapasowego uwierzytelniacza, którego dane są już dostępne na punkcie końcowym działającym offline, lub postępuj zgodnie z zatwierdzoną w organizacji procedurą odzyskiwania dostępu.
Zgłoś utratę i usuń zgubiony uwierzytelniacz z odpowiednich kont. Unieważnienie jego rejestracji i usunięcie klucza dostępu z klucza bezpieczeństwa to odrębne czynności. Samo usunięcie lokalnego wpisu w innym miejscu nie sprawia, że zgubiony klucz przestaje stanowić zagrożenie. Przy unieważnianiu trzeba też uwzględnić punkty końcowe odłączone od sieci.
Co się stanie, jeśli kod PIN klucza bezpieczeństwa zostanie zablokowany?
Postępuj zgodnie z wyświetlanymi instrukcjami dotyczącymi uwierzytelniacza. Tymczasowa blokada może wymagać odłączenia i ponownego podłączenia klucza przed kolejną próbą.
Po wyczerpaniu limitu prób wprowadzenia kodu PIN może być konieczne zresetowanie uwierzytelniacza FIDO. Reset usuwa jego poświadczenia FIDO i wymaga ponownej rejestracji. Zanim zresetujesz klucz zapewniający dostęp do wielu kont, skontaktuj się z administratorem lub skorzystaj z przygotowanego rozwiązania zapasowego.
Czy logowanie za pomocą klucza YubiKey w standardzie PIV to to samo co offline FIDO2 MFA?
Nie. Zgodny klucz YubiKey może obsługiwać kilka protokołów, ale uwierzytelnianie za pomocą karty inteligentnej oparte na standardzie Personal Identity Verification (PIV) i standard FIDO2 to różne mechanizmy uwierzytelniania.
Standard PIV wykorzystuje certyfikaty i odpowiednią infrastrukturę do zarządzania nimi. Standard FIDO korzysta z poświadczeń powiązanych ze stroną ufającą. Oba mogą służyć do budowy rozwiązań odpornych na phishing, ale różnią się wymaganiami dotyczącymi wdrożenia i cyklu życia.
Czy uwierzytelnianie FIDO2 offline wymaga rozszerzenia hmac-secret?
Nie zawsze. Rozszerzenie hmac-secret standardu FIDO2 umożliwia użycie sekretu symetrycznego przypisanego do konkretnego poświadczenia, który może służyć do takich operacji jak szyfrowanie i odszyfrowywanie.
Jest to mechanizm odrębny od weryfikacji standardowej podpisanej odpowiedzi uwierzytelniającej FIDO. To, czy produkt wymaga tego rozszerzenia, zależy od jego implementacji. Nie należy zakładać, że jest ono warunkiem koniecznym każdego wdrożenia uwierzytelniania FIDO offline.
Zacznij korzystać z uwierzytelniania MFA offline odpornego na phishing
Wybierz punkt końcowy z systemem Windows i konto, do którego dostęp musi być możliwy podczas awarii. Przygotuj uwierzytelniacz FIDO, zsynchronizuj wymagane dane i przetestuj cały proces logowania bez łączności z chmurą. Następnie przetestuj klucz zapasowy, zachowanie w razie błędów i procedurę odzyskiwania dostępu.
Rozwiązanie Rublon MFA pozwala organizacjom dodać ochronę FIDO offline do obsługiwanych scenariuszy dostępu do systemu Windows, przy jednoczesnym dalszym korzystaniu z tej samej platformy MFA w pozostałej części środowiska.