User Access Security Broker, czyli wdrożenie MFA bez wyrzeczeń

Rzadko zdarza się, że organizacje decydują się same z siebie zainwestować w technologię silnego uwierzytelniania. Zwykle impuls pojawia się nagle i jest np. efektem cyberataku. Wówczas jednak czasu na reakcję jest już niewiele. W tym artykule tłumaczymy co zrobić, jeśli firma stanie przed wyzwaniem zabezpieczenia wszystkich aplikacji i użytkowników niejako “na wczoraj”.

Dlaczego MFA nie zastąpiło jeszcze zwykłych haseł?

Multi-Factor Authentication (MFA) znane również jako wieloskładnikowe lub po prostu silne uwierzytelnianie to podejście, w którym użytkownik loguje się do zasobów w internecie przy wykorzystaniu nie jednego, lecz wielu składników. Podejście to z roku na rok cieszy się coraz większym zainteresowaniem ze względu na skuteczność.

Nawet najbardziej “staroświecki” dodatkowy składnik uwierzytelniania, czyli znane wszystkim kody SMS, podnoszą już znacznie bezpieczeństwo w porównaniu do zabezpieczenia samym hasłem. Nowoczesne metody, bazujące na kryptografii lub biometrii, to zabezpieczenia, które skutecznie zniechęcają większość atakujących. Czemu więc, skoro MFA jest tak skuteczne, nie zastąpiło jeszcze zwykłych haseł?

Problematyczna integracja silnego uwierzytelniania

Aby aplikacje mogły być zabezpieczone wieloskładnikowym uwierzytelnianiem wymagana jest zwykle ingerencja w kod tych aplikacji. Mówiąc kolokwialnie, programiści muszą po prostu “doszyć” MFA do aplikacji. Jeśli aplikacji w firmie są setki, i zbudowane są na różnych technologiach zadanie to staje się prawdziwym koszmarem.

Co jednak jeśli nastąpi taka konieczność i – czy to ze względu na regulacje czy też ryzyko ataku – aplikacja musi być zabezpieczona MFA?

Kiedy MFA staje się konieczne?

MFA wprowadzane jest często wtedy, kiedy mleko już się rozleje. Zwykle w następstwie poważnego incydentu bezpieczeństwa. Akceleratorem mogą być też różnego rodzaju dyrektywy i regulacje międzynarodowe. Tak było chociażby w przypadku niedawnego rozporządzenia prezydenta Stanów Zjednoczonych Joe Bidena, który narzucił agencjom rządowym konieczność wdrożenia MFA w ciągu 180 dni od jego wydania.

Czy jest to “gaszenie pożaru” po ataku, czy spełnianie rozporządzenia – prawie zawsze działy bezpieczeństwa mają bardzo ograniczony czas na wdrożenie nowej technologii.

Jak szybko wdrożyć MFA w całej firmie?

Jak wcześniej pisaliśmy, wdrożenie MFA wiąże się ze żmudnym, kosztownym i niebezpiecznym (bo często prowadzącym do “fakapu”) procesem integracji. Kilka lat temu powstało jednak nowe podejście do integracji silnego uwierzytelniania, które w ogóle nie ingeruje w kod aplikacji.

Podejście, o którym mowa to zastosowanie brokera bezpieczeństwa (User Access Security Broker), czyli technologii umożliwiającej wdrożenie dowolnej metody MFA na dowolnej ilości aplikacji. Wdrożenie łatwo skaluje się na dziesiątki lub setki aplikacji w firmie, a co za tym idzie pozwala na wprowadzenie silnego uwierzytelniania w całej organizacji, a nie jedynie na garstce wybranych aplikacji.

Broker bezpieczeństwa w akcji

Za technologią brokera stoi polska firma Secfense. Natomiast najbardziej rozpoznawalną organizacją – która zdecydowała się na wykorzystanie tego podejścia – jest BNP Paribas Bank Polska.

“Silne uwierzytelnianie to jeden z najlepszych sposobów, którym firma może chronić siebie i pracowników. Jednocześnie MFA może być bardzo trudne do wdrożenia. Wiedzieliśmy, że nie możemy budować silnego uwierzytelnienia na poziomie aplikacji, aby nie ingerować w ich kod” – mówi Krzysztof Słotwiński, dyrektor Pionu Bezpieczeństwa i Zarządzania Ciągłością Działania w BNP Paribas Bank Polska. “Chcieliśmy wdrożyć MFA tak, aby żadna z chronionych aplikacji nie musiała być w żaden sposób modyfikowana. Drugim ważnym elementem była możliwość wykorzystania dowolnej metody MFA. Wiedzieliśmy, że chcemy wykorzystać mechanizmy, z których już korzystamy. To właśnie umożliwiła nam firma Secfense i User Access Security Broker” – dodaje.

Wdrożenie MFA na żywo

Już za kilka tygodni, 20 kwietnia 2022 roku o godz. 11:00, odbędzie się webinar z osobami stojącymi za stworzeniem technologii brokera bezpieczeństwa. Zaprezentują oni na żywo jak w ciągu kilku minut wdrożyć silne uwierzytelnienie na działającej aplikacji.

Podczas webinaru zobaczą państwo również jak:

• zabezpieczyć dowolną aplikację w zaledwie 5 minut,
• ujednolicić proces uwierzytelniania w całej organizacji,
• wprowadzić firmę na ścieżkę do passwordless, czyli uwierzytelniania bez hasła.

Na bezpłatny webinar zarejestrować można się już dziś pod tym linkiem.