Mechanizm logowania dwuskładnikowego

1. Czym jest mechanizm logowania dwuskładnikowego?

Mechanizm logowania dwuskładnikowego zabezpiecza konto przed zalogowaniem się na nie przez nieuprawnione osoby. Ponadto, weryfikacja dwuetapowa jest szczególnie przydatna w razie utraty lub kradzieży hasła do konta.

Po odpowiednim skonfigurowaniu ustawień w serwisie (włączeniu weryfikacji dwuetapowej) można zalogować się na swoje konto w dwóch etapach, za pomocą:

• znanych użytkownikowi informacji (np. hasła i loginu),
• narzędzia będącego w posiadaniu użytkownika (np. telefonu, tabletu, klucza sprzętowego).

2. Jak włączyć weryfikację dwuetapową?

Logowanie dwuetapowe należy włączyć dla każdego użytkownika danego konta osobno.

2.1. Użytkownik z pełnymi uprawnieniami (super konto)

Aby dodać logowanie dwuskładnikowe, należy przejść do zakładki Konfiguracja → Użytkownicy, a następnie wybrać włącz na ekranie Hasło i metoda logowania

2.2. Użytkownik z ograniczonymi uprawnieniami

Użytkownik z ograniczonymi uprawnieniami logowanie dwuskładnikowe włączy z poziomu Konfiguracja→ Zmiana hasła i serwisy społecznościowe oraz wybranie włącz na ekranie Hasło i metoda logowania.

3. Metody uwierzytelnienia

Kolejnym krokiem jest skonfigurowanie odpowiednich metod uwierzytelnienia w postaci kodów jednorazowego dostępu na telefonie lub kluczy bezpieczeństwa (U2F). Można wybrać dwie opcje równocześnie lub wybrać tylko jedną z nich.

Uwierzytelnienie polega na potwierdzeniu tożsamości użytkownika podczas logowania. Jego celem jest uzyskanie określonego poziomu pewności, że dana osoba, która loguje się do serwisu jest w rzeczywistości tą, za którą się podaje.

3.1. Kody jednorazowe na telefonie

Aby aktywować kody jednorazowe w aplikacji na telefonie lub tablecie, po włączeniu weryfikacji dwuetapowej w sposób opisany w pkt.2, należy wybrać opcję dodaj w sekcji Dostępne drugie etapy→ Metody uwierzytelnienia → Kody jednorazowe na telefonie

Na kolejnym ekranie należy wybrać skonfiguruj aplikację.

W kolejnym kroku należy zainstalować na telefonie lub tablecie jedną z obsługiwanych przez nasz serwis aplikację, Authy*, FreeOTP lub Authenticator.

Następnie należy zeskanować kod QR lub wprowadzić klucz w aplikacji mobilnej.

Po zeskanowaniu kodu QR, urządzenie mobilne generuje co 30 sekund nowy kod, który należy wprowadzić w pole Kod weryfikujący.

Od teraz podczas logowania do ifirma.pl należy logować się dwuetapowo:

• pierwszym etapem jest podanie loginu i hasła,
• drugim etapem jest wpisanie jednorazowego sześciocyfrowego kodu wygenerowanego w aplikacji mobilnej.

3.2. Klucze bezpieczeństwa

Jako drugi składnik autoryzacji podczas logowania, zamiennie lub wraz z kodami na telefon, można zastosować klucz bezpieczeństwa (U2F/FIDO 2). Aby go aktywować, należy włączyć weryfikację dwuetapową w sposób opisany w pkt.2, a następnie wybrać opcję dodaj w sekcji Dostępne drugie etapy→ Metody uwierzytelnienia→ Klucze bezpieczeństwa.

Na kolejnych ekranach należy wybrać opcję zarejestruj nowy klucz.

oraz zatwierdzić wybór zaznaczając OK.

Kolejne kroki dodawania klucza zapasowego, to:

1. włożenie klucza zabezpieczeń do portu USB,

2. wprowadzenie kodu PIN klucza zabezpieczeń,

3. dotknięcie klucza zabezpieczeń.

Od teraz, podczas logowania do ifirma, po podaniu hasła i loginu, należy nacisnąć lub dotknąć przycisk na zarejestrowanym kluczu, który – jeśli ma diodę – zacznie migać.

Ponadto, jeśli po aktywacji klucza bezpieczeństwa, zaznaczymy “wysyłaj e-mail po użyciu klucza”, to na skrzynkę pocztową będziemy dostawać wiadomości systemowe za każdym razem, kiedy do logowania na konto zostanie użyty dany klucz.

4. Opcje odzyskiwania dostępu

W razie utraty dostępu do klucza zapasowego lub/i jednorazowych kodów dostępu w aplikacji mobilnej, odzyskać dostęp do konta można poprzez

• listę kodów zapasowych,
• przelew weryfikacyjny – w drodze ostateczności.

Lista kodów zapasowych pozwoli zalogować się na konto w razie utracenia dostępu do aplikacji w telefonie lub utraty skonfigurowanych kluczy bezpieczeństwa. Wygenerowaną listę kodów należy przechowywać w bezpiecznym miejscu, do którego tylko dany użytkownik będzie miał dostęp.

Przelew weryfikacyjny jest metodą na odzyskanie dostępu do konta w razie utracenia wszystkich pozostałych narzędzi; telefonu, kluczy bezpieczeństwa, listy kodów zapasowych.

4.1. Lista kodów zapasowych

Kody zapasowe są bardzo pomocne w razie utraty narzędzi, za pomocą których użytkownik dokonywał logowania (telefonu, klucz usb) i braku możliwości otrzymania kodów jednorazowych. Można ją wygenerować po dodaniu przynajmniej jednego mechanizmu weryfikacji dwuetapowej.

Aby dodać listę kodów zapasowych należy przejść do zakładki: Konfiguracja → Użytkownicy (super konto), lub Konfiguracja→ Zmiana hasła i serwisy społecznościowe inny użytkownik niż super konto.)

a następnie w sekcji Opcje odzyskiwania dostępu, w wierszu Lista kodów zapasowych wybrać dodaj.

Na kolejnym ekranie należy wybrać generuj nową listę kodów.

Wygenerowaną listę kodów należy wydrukować lub zapisać na dysku (do którego jest stały oraz bezpieczny dostęp).

W razie utraty dostępu do innych metod autoryzacji (klucza bezpieczeństwa, jednorazowych kodów na telefon) lista kodów zapasowych pomoże nam zalogować się do konta. Podczas logowania, system będzie nas prosił o wpisanie odpowiedniego kodu z wygenerowanej listy.

4.2. Przelew weryfikacyjny

Gdy zostaną utracone wszystkie opcje odzyskiwania dostępu do konta można wykonać przelew weryfikacyjny.

Na podstawie danych z przelewu, upoważnieni pracownicy IFIRMA potwierdzają tożsamość oraz sprawdzają zgodność osoby zlecającej przelew z właścicielem konta. Jeśli weryfikacja będzie pozytywna – konto zostaje aktywowane.
Powyższa procedura może trwać kilka dni.

W sprawie szczegółowych informacji na temat przelewu weryfikacyjnego klienci samodzielnej księgowości oraz pakietu fakturowanie powinni skontaktować się drogą elektroniczną, wysyłając wiadomość z adresu e-mail przypisanego do konta w serwisie na adres e-mail: bok@ifirma.pl.

5. Zaufane urządzenia

Korzystając z zaufanych urządzeń wskazanych przez użytkownika można pominąć mechanizm weryfikacji dwuetapowej podczas logowania do ifirmy, czyli logować się tylko loginem i hasłem.

Urządzenie, z którego zawsze logujemy się na konto i wiemy, że jest bezpieczne można dodać do zaufanych, zaznaczając Dodaj urządzenie do zaufanych podczas logowania przy użyciu weryfikacji dwuetapowej.

Urządzenia dodane jako zaufane będą wykazane na ekranie wraz z dostępnymi metodami uwierzytelnienia.

Aby usunąć dane urządzenie z urządzeń zaufanych wystarczy wybrać ikonę kosza w kolumnie Akcja.

6. Wyłączenie weryfikacji dwuskładnikowej

Logowanie dwuetapowe należy wyłączyć dla każdego użytkownika danego konta osobno. Wyłączenie weryfikacji dwuskładnikowej polega na usunięciu każdej zapisanej metody uwierzytelnienia, czyli klucza bezpieczeństwa oraz jednorazowych kodów na telefonie (usunięcie autoryzacji za pomocą aplikacji na telefonie/tablecie).

6.1. Użytkownik z pełnymi uprawnieniami (super konto)

Aby wyłączyć logowanie dwuskładnikowe, należy przejść do zakładki Konfiguracja → Użytkownicy, a następnie wyłączyć weryfikację dwuetapową w sekcji Hasło i metoda logowania, oraz wybrać konfiguruj.

6.1.1. Usunięcie uwierzytelnienia w postaci kodów na urządzenie mobilne

Aby wyłączyć metodę uwierzytelnienia w postaci kodów jednorazowych na telefon/tablet, w pierwszej kolejności należy wybrać edytuj w wierszu kody jednorazowe na telefonie.

Na następnych ekranach należy wybrać usuń autoryzację za pomocą aplikacji na telefonie.

oraz zatwierdzić wybór zaznaczając tak

6.1.2. Usunięcie uwierzytelnienia w postaci klucza bezpieczeństwa

Aby wyłączyć metodę uwierzytelnienia w postaci klucza bezpieczeństwa, należy wybrać edytuj w wierszu klucze bezpieczeństwa

Na następnych ekranach należy wybrać ikonę kosza znajdującą się w wierszu danego klucza, który chcemy usunąć

oraz zatwierdzić wybór zaznaczając tak

6.2. Użytkownik z ograniczonymi uprawnieniami

Użytkownik z ograniczonymi uprawnieniami może wyłączyć logowanie dwuetapowe z poziomu Konfiguracja→ Zmiana hasła i serwisy społecznościowe, wybierając wyłącz na ekranie Hasło i metoda logowania, a następnie konfiguruj.

6.2.1. Usunięcie uwierzytelnienia w postaci kodów na urządzenie mobilne

Aby wyłączyć metodę uwierzytelnienia w postaci kodów jednorazowych na telefon/tablet należy wybrać edytuj w wierszu kody jednorazowe na telefonie

Na następnych ekranach należy wybrać usuń autoryzację za pomocą aplikacji na telefonie.

oraz zatwierdzić wybór zaznaczając tak.

6.2.2. Usunięcie uwierzytelnienia w postaci klucza bezpieczeństwa

Aby wyłączyć metodę uwierzytelnienia w postaci klucza bezpieczeństwa, należy wybrać edytuj w wierszu klucze bezpieczeństwa.

Na następnych ekranie należy kolejno wybrać ikonę kosza znajdującą się w wierszu danego klucza do usunięcia,

oraz zatwierdzić wybór zaznaczając tak

Autor: Dorota Łesak – ifirma.pl