Mechanizm logowania dwuskładnikowego

1. Czym jest mechanizm logowania dwuskładnikowego?

Mechanizm logowania dwuskładnikowego zabezpiecza konto przed zalogowaniem się na nie przez nieuprawnione osoby. Ponadto, weryfikacja dwuetapowa jest szczególnie przydatna w razie utraty lub kradzieży hasła do konta.

Po odpowiednim skonfigurowaniu ustawień w serwisie (włączeniu weryfikacji dwuetapowej) można zalogować się na swoje konto w dwóch etapach, za pomocą:

• znanych użytkownikowi informacji (np. hasła i loginu),
• narzędzia będącego w posiadaniu użytkownika (np. telefonu, tabletu, klucza sprzętowego).

2. Jak włączyć weryfikację dwuetapową?

Logowanie dwuetapowe należy włączyć dla każdego użytkownika danego konta osobno.

2.1. Użytkownik z pełnymi uprawnieniami (super konto)

Aby dodać logowanie dwuskładnikowe, należy przejść do zakładki Login → Konfiguracja → Aplikacja → Użytkownicy, a następnie wybrać włącz na ekranie Hasło i metoda logowania

2.2. Użytkownik z ograniczonymi uprawnieniami (w tym użytkownik biura rachunkowego)

Użytkownik z ograniczonymi uprawnieniami logowanie dwuskładnikowe włączy z poziomu Login → Konfiguracja → Aplikacja → Hasła i serwisy społecznościowe oraz wybranie włącz na ekranie Hasło i metoda logowania.

3. Metody uwierzytelnienia

Kolejnym krokiem jest skonfigurowanie odpowiednich metod uwierzytelnienia w postaci kodów jednorazowego dostępu na telefonie lub kluczy bezpieczeństwa (U2F). Można wybrać dwie opcje równocześnie lub wybrać tylko jedną z nich.

Uwierzytelnienie polega na potwierdzeniu tożsamości użytkownika podczas logowania. Jego celem jest uzyskanie określonego poziomu pewności, że dana osoba, która loguje się do serwisu jest w rzeczywistości tą, za którą się podaje.

3.1. Kody jednorazowe na telefonie (Authenticator/TOTP)

Aby aktywować kody jednorazowe w aplikacji na telefonie lub tablecie, po włączeniu weryfikacji dwuetapowej w sposób opisany w pkt.2, należy wybrać opcję Dodaj w sekcji Metody uwierzytelnienia → Kody jednorazowe na telefonie (Authenticator/TOTP)

Na kolejnym ekranie należy wybrać Skonfiguruj aplikację.

W kolejnym kroku należy zainstalować na telefonie lub tablecie jedną z obsługiwanych przez nasz serwis aplikację, Authy*, FreeOTP lub Authenticator.

Następnie należy zeskanować kod QR lub wprowadzić klucz w aplikacji mobilnej.

Po zeskanowaniu kodu QR lub przeklejeniu jego liczbowego odpowiednika do urządzenia, urządzenie mobilne generuje co 30 sekund nowy kod, który należy wprowadzić w pole Kod weryfikujący.

Od teraz podczas logowania do ifirma.pl należy logować się dwuetapowo:

• pierwszym etapem jest podanie loginu i hasła,
• drugim etapem jest wpisanie jednorazowego sześciocyfrowego kodu wygenerowanego w aplikacji mobilnej.

3.2. Klucze bezpieczeństwa (U2F)

Jako drugi składnik autoryzacji podczas logowania, zamiennie lub wraz z kodami na telefon, można zastosować klucz bezpieczeństwa (U2F/FIDO 2). Aby go aktywować, należy włączyć weryfikację dwuetapową w sposób opisany w pkt.2, a następnie wybrać opcję Dodaj w sekcji Metody uwierzytelnienia→ Klucze bezpieczeństwa (U2F).
.

Na kolejnych ekranach należy wybrać opcję zarejestruj nowy klucz.

Następnie należy wybrać miejsce zapisania klucza dostępu. Posiadając fizyczny klucz wybieramy opcję Klucz zabezpieczeń.

Następnie pojawi się opcja podania PIN dla klucza. Operację zatwierdzamy wybierając OK.

Uwaga! Jeżeli klucz nie był włożony do gniazda USB pojawi się komunikat przypominający o jego włożeniu.

W kolejnym kroku pojawi się komunikat wskazujący na konieczność dotknięcia klucza zabezpieczeń.

Po jego dodaniu pojawi się informacja o dodaniu klucza, żeby zapisać dodany klucz należy wybrać Zatwierdź. W tym oknie możemy:

• zmienić nazwę klucza na własną
• ZALECANE! oznaczyć, żeby po użyciu klucza użytkownik otrzymywał e-mail

W ten sposób dodany klucz będzie widniał na Liście kluczy.

Od teraz, podczas logowania do IFIRMA, po podaniu hasła i loginu, należy nacisnąć lub dotknąć przycisk na zarejestrowanym kluczu, który – jeśli ma diodę – zacznie migać.

Ponadto, jeśli po aktywacji klucza bezpieczeństwa, zaznaczymy “wysyłaj e-mail po użyciu klucza”, to na skrzynkę pocztową będziemy dostawać wiadomości systemowe za każdym razem, kiedy do logowania na konto zostanie użyty dany klucz.

4. Opcje odzyskiwania dostępu

W razie utraty dostępu do klucza zapasowego lub/i jednorazowych kodów dostępu w aplikacji mobilnej, odzyskać dostęp do konta można poprzez

• listę kodów zapasowych,
• przelew weryfikacyjny – w drodze ostateczności.

Lista kodów zapasowych pozwoli zalogować się na konto w razie utracenia dostępu do aplikacji w telefonie lub utraty skonfigurowanych kluczy bezpieczeństwa. Wygenerowaną listę kodów należy przechowywać w bezpiecznym miejscu, do którego tylko dany użytkownik będzie miał dostęp.

Przelew weryfikacyjny jest metodą na odzyskanie dostępu do konta w razie utracenia wszystkich pozostałych narzędzi; telefonu, kluczy bezpieczeństwa, listy kodów zapasowych.

4.1. Lista kodów zapasowych

Kody zapasowe są bardzo pomocne w razie utraty narzędzi, za pomocą których użytkownik dokonywał logowania (telefonu, klucz usb) i braku możliwości otrzymania kodów jednorazowych. Można ją wygenerować po dodaniu przynajmniej jednego mechanizmu weryfikacji dwuetapowej.

Aby dodać listę kodów zapasowych należy przejść do zakładki: Login → Konfiguracja → Aplikacja – Użytkownicy (super konto), , lub Login → Konfiguracja→ Aplikacja – Zmiana hasła i serwisy społecznościowe (inny użytkownik niż super konto m.in użytkownik biura rachunkowego.)

a następnie w sekcji Opcje odzyskiwania dostępu, w wierszu Lista kodów zapasowych wybrać Dodaj.

Na kolejnym ekranie należy wybrać Generuj nową listę kodów.

Wygenerowaną listę kodów należy wydrukować lub zapisać na dysku (do którego jest stały oraz bezpieczny dostęp).

W razie utraty dostępu do innych metod autoryzacji (klucza bezpieczeństwa, jednorazowych kodów na telefon) lista kodów zapasowych pomoże nam zalogować się do konta. Podczas logowania, system będzie nas prosił o wpisanie odpowiedniego kodu z wygenerowanej listy.

4.2. Przelew weryfikacyjny

Gdy zostaną utracone wszystkie opcje odzyskiwania dostępu do konta można wykonać przelew weryfikacyjny.

Na podstawie danych z przelewu, upoważnieni pracownicy IFIRMA potwierdzają tożsamość oraz sprawdzają zgodność osoby zlecającej przelew z właścicielem konta. Jeśli weryfikacja będzie pozytywna – konto zostaje aktywowane.
Powyższa procedura może trwać kilka dni.

W sprawie szczegółowych informacji na temat przelewu weryfikacyjnego klienci samodzielnej księgowości oraz pakietu fakturowanie powinni skontaktować się drogą elektroniczną, wysyłając wiadomość z adresu e-mail przypisanego do konta w serwisie na adres e-mail: bok@ifirma.pl.

5. Zaufane urządzenia

Korzystając z zaufanych urządzeń wskazanych przez użytkownika można pominąć mechanizm weryfikacji dwuetapowej podczas logowania do ifirmy, czyli logować się tylko loginem i hasłem.

Urządzenie, z którego zawsze logujemy się na konto i wiemy, że jest bezpieczne można dodać do zaufanych, zaznaczając Dodaj urządzenie do zaufanych podczas logowania przy użyciu weryfikacji dwuetapowej.

Urządzenia dodane jako zaufane będą wykazane na ekranie wraz z dostępnymi metodami uwierzytelnienia.

Aby usunąć dane urządzenie z urządzeń zaufanych wystarczy wybrać ikonę kosza w ostatniej kolumnie.

6. Wyłączenie weryfikacji dwuskładnikowej

Logowanie dwuetapowe należy wyłączyć dla każdego użytkownika danego konta osobno. Wyłączenie weryfikacji dwuskładnikowej polega na usunięciu każdej zapisanej metody uwierzytelnienia, czyli klucza bezpieczeństwa oraz jednorazowych kodów na telefonie (usunięcie autoryzacji za pomocą aplikacji na telefonie/tablecie).

6.1. Użytkownik z pełnymi uprawnieniami (super konto)

Aby wyłączyć logowanie dwuskładnikowe, należy przejść do zakładki Login → Konfiguracja → Aplikacja – Użytkownicy, a następnie wyłączyć weryfikację dwuetapową w sekcji Hasło i metoda logowania, oraz wybrać konfiguruj.

6.1.1. Usunięcie uwierzytelnienia w postaci kodów na urządzenie mobilne

Aby wyłączyć metodę uwierzytelnienia w postaci kodów jednorazowych na telefon/tablet, w pierwszej kolejności należy wybrać Edytuj w wierszu kody jednorazowe na telefonie

Na następnych ekranach należy wybrać usuń autoryzację za pomocą aplikacji na telefonie

oraz zatwierdzić wybór zaznaczając tak.

6.1.2. Usunięcie uwierzytelnienia w postaci klucza bezpieczeństwa

Aby wyłączyć metodę uwierzytelnienia w postaci klucza bezpieczeństwa, należy wybrać Edytuj w wierszu Klucze bezpieczeństwa (U2F)

Na następnych ekranach należy wybrać ikonę kosza znajdującą się w wierszu danego klucza, który chcemy usunąć

oraz zatwierdzić wybór zaznaczając Tak.

6.2. Użytkownik z ograniczonymi uprawnieniami

Użytkownik z ograniczonymi uprawnieniami może wyłączyć logowanie dwuetapowe z poziomu Login → Konfiguracja → Aplikacja → Hasła i serwisy społecznościowe, wybierając Konfiguruj.

6.2.1. Usunięcie uwierzytelnienia w postaci kodów na urządzenie mobilne

Aby wyłączyć metodę uwierzytelnienia w postaci kodów jednorazowych na telefon/tablet należy wybrać edytuj w wierszu kody jednorazowe na telefonie.

Na następnych ekranach należy wybrać usuń autoryzację za pomocą aplikacji na telefonie

oraz zatwierdzić wybór zaznaczając Tak.

6.2.2. Usunięcie uwierzytelnienia w postaci klucza bezpieczeństwa

Aby wyłączyć metodę uwierzytelnienia w postaci klucza bezpieczeństwa, należy wybrać Edytuj w wierszu Klucze bezpieczeństwa (U2F).

Na następnych ekranie należy kolejno wybrać ikonę kosza znajdującą się w wierszu danego klucza do usunięcia

oraz zatwierdzić wybór zaznaczając Tak.

7. Nie przychodzi do mnie e-mail z kodem – co zrobić?

Użytkownik, który ma włączony mechanizm logowania dwuskładnikowego i jego loginem do IFIRMA jest adres e-mail, po wpisaniu hasła widzi poniższy komunikat.

To że w treści komunikatu wskazany jest adres e-mail nie oznacza, że należy szukać kodu na e-mailu. E-mail w komunikacie jest loginem do konta IFIRMA. Kodu należy szukać na urządzeniu, na którym aktywowana była weryfikacja dwuetapowa.

Autor: Dorota Łesak – ifirma.pl