Samo hasło, nawet długie i skomplikowane, ma jedną słabość: wystarczy je poznać, żeby przejąć konto. Phishing, wyciek z innej strony, keylogger na zainfekowanym komputerze — a potem ktoś loguje się jako Twój pracownik, z jego uprawnieniami.
MFA (uwierzytelnianie wieloskładnikowe) dokłada drugi element, którego atakujący nie ma — kod z telefonu, powiadomienie do zatwierdzenia, klucz sprzętowy. Samo hasło przestaje wystarczać.
Jak to wygląda w Keycloak
- TOTP na telefonie. Kod zmieniający się co 30 sekund, w aplikacji typu Google Authenticator czy Aegis — najpopularniejsza, najprostsza metoda.
- Klucze sprzętowe (WebAuthn/FIDO2). YubiKey i podobne — dla stanowisk wymagających wyższego poziomu bezpieczeństwa.
- Polityki per grupa. MFA wymagane dla administratorów i działu finansowego, opcjonalne dla reszty — jeśli tak zdecydujesz.
Hasło chroni przed przypadkowym gościem. MFA chroni przed kimś, kto to hasło już zna.
To nie jest tylko dla logowania do aplikacji
Keycloak jako dostawca tożsamości (OIDC) spina się też z innymi systemami wymagającymi silnego uwierzytelnienia — na przykład z dostępem VPN opartym na NetBird, gdzie logowanie do sieci firmowej też może wymagać tego samego, jednego konta i tego samego MFA co reszta systemów.
Konkretny, częsty scenariusz: pracownik gubi telefon z aplikacją MFA. Administrator resetuje jego metodę uwierzytelniania z panelu w kilka minut — nowe urządzenie, nowa konfiguracja, zero przestoju dłuższego niż chwila.
Branże pracujące na szczególnie wrażliwych danych — np. kancelarie prawne — traktują MFA nie jako opcję do rozważenia, tylko jako minimum, bo koszt przejęcia jednego konta jest tam nieporównywalnie wyższy niż w przeciętnej firmie.
Jak SSO zmienia proces przyjmowania i zwalniania pracowników, piszę w kolejnym artykule: onboarding i offboarding z jednym logowaniem.