Funkcjonalność

Number challenge w powiadomieniach push

Jak działa: Zatwierdzenie push wymaga wybrania w powiadomieniu tego samego numeru, co jest w danym momencie widoczny na ekranie logowania.

WIC

W skrócie

Weryfikacja prosi użytkownika o wskazanie numeru widocznego na ekranie logowania przy zatwierdzaniu powiadomienia push w aplikacji Okta Verify. Użytkownik, który nie zaczął logowania, nie ma numeru do wskazania, więc kliknięcie w ciemno nie zatwierdza już automatycznie logowania.13

Umów rozmowęJak to robi Okta ↓
2
rodzaje ataków, przed którymi pomaga chronić

Co to jest i jakie ataki zatrzymuje

Zwykłe powiadomienie push zadaje jedno pytanie - zatwierdzić czy odrzucić. Zmęczony, rozproszony lub będący w pośpiechu użytkownik może kliknąć „zatwierdź” bez sprawdzenia, czy sam zaczął logowanie.

Korzystając z number challenge, ekran logowania pokazuje numer, a użytkownik musi wybrać ten sam numer w powiadomieniu push na telefonie.13

Art. 21 ust. 2 lit. j dyrektywy NIS2 wymienia stosowanie uwierzytelniania wieloskładnikowego lub ciągłego uwierzytelniania wśród środków zarządzania ryzykiem cyberbezpieczeństwa.5

Ten niewielki krok utrudnia ataki, takie jak:

1

Push fatigue (zasypywanie prośbami o zatwierdzenie)

Atakujący ze skradzionym hasłem wysyła prośby tak długo, aż ktoś kliknie „Zatwierdź”. Bez numeru z ekranu logowania samo kliknięcie nie kończy zatwierdzenia.

2

Przypadkowe zatwierdzenia

Użytkownik klika „zatwierdź” w powiadomieniu, którego się nie spodziewał, na przykład w pośpiechu. Z number challenge, musi on wybrać właściwy numer, co skłania do sprawdzenia, czy sam zaczął logowanie.

Przed i po wdrożeniu funkcjonalności

Przed
Po
PrzedUżytkownik może zatwierdzić push, nie patrząc na ekran logowania.
PoUżytkownik musi wskazać numer z ekranu logowania, więc zatwierdzenie wymaga uwagi poświęconej temu ekranowi.13
PrzedPowtarzane prośby w końcu dostają kliknięcie, bo „tak” to najłatwiejsza odpowiedź.
PoSamo kliknięcie nie wystarcza - użytkownik musi wybrać poprawny numer.
PrzedKażde zatwierdzenie zależy od tego, czy użytkownik pamięta, czy sam zaczął logowanie.
PoPowiadomienie włącza to sprawdzenie w samo zatwierdzenie - użytkownik nie musi niczego pamiętać.

Jak to robi Okta

Powiadomienie push Okta Verify z number challenge, to silniejsza forma MFA opartego na push. Ważne: ten rodzaj MFA nadal zależy od oceny użytkownika, więc nie zastępuje faktorów odpornych na phishing.

1

Użytkownik otwiera logowanie

Użytkownik loguje się do aplikacji chronionej przez Okta i wybiera Okta Verify push.3

2

Ekran logowania pokazuje numer

Okta wyświetla numer na ekranie, na którym użytkownik się loguje.1

3

Użytkownik wskazuje ten sam numer na telefonie

Powiadomienie Okta Verify na telefonie oferuje kilka numerów, a użytkownik klika ten, który widzi na ekranie logowania.13

4

Polityka decyduje, co jest dozwolone

Polityki uwierzytelniania w Okcie decydują, jakie faktory są akceptowane dla każdej aplikacji i grupy. Tam, gdzie ryzyko to uzasadnia, warto wymagać faktorów odpornych na phishing zamiast push.2

WIC
Kogo chroniPracownicy, kontraktorzy, admini
Okta Verify number challengeZatwierdzenia push w Okta Verify mogą wymagać od użytkownika wskazania numeru widocznego na ekranie logowania.13
Okta VerifyOkta Verify to aplikacja na urządzeniu użytkownika, która odbiera zatwierdzenia push i dodatkowo obsługuje Okta FastPass.3
Adaptive MFAOkta Adaptive MFA wymaga silniejszych faktorów, gdy ryzyko operacji jest wyższe.2
Polityki rejestracji MFATe polityki, konfigurowane w Okcie, wskazują z jakich faktorów MFA mają korzystać użytkownicy w zależności od przypisanej grupy.4

Jak wdrażamy to w Zelto

Technologia za Oktą to gotowa i sprawdzona połowa - Zelto mapuje Twoich użytkowników, urządzenia i nawyki zatwierdzania. Pilotaż zaczynamy od briefingu dla adminów i działu IT, opcjonalnie od „Only for high-risk sign-in attempts”, potem przechodzimy do „All push challenges”. Zaczynamy od kont, na których atakującym zależy najbardziej, i dbamy o proces odzyskiwania dostępu, którego atakujący nie obejdzie szybką rozmową.

Typowy przebieg wdrożenia

  1. Sprawdzamy, kto i jak zatwierdza push

    Spisujemy aplikacje, używane faktory i grupy, które dziś opierają się na push.

  2. Włączamy weryfikację numerem dla push

    Konfigurujemy weryfikację numerem dla Okta Verify push w Okcie. Ustawienie jest org-wide; możemy zacząć od „Only for high-risk sign-in attempts”, zanim włączymy „All push challenges”. Dla maksymalnego bezpieczeństwa wskazujemy też miejsca, w których faktory odporne na phishing powinny zastąpić push.

  3. Pilotaż z adminami i działem IT

    Zaczynamy od najcenniejszych kont, ustalamy właściciela po Twojej stronie przed szerszym wdrożeniem. Ustalamy też, kiedy wdrażamy zmianę i kiedy ją wycofujemy.

  4. Informujemy użytkowników i helpdesk

    Każda grupa dostaje krótką wiadomość, która wyjaśnia powiadomienie z numerem oraz co zrobić z prośbą, której użytkownik sam nie zainicjował.

  5. Przeglądamy i zaostrzamy zasady

    Pozostałe użycia push i wyjątki przeglądamy regularnie i ograniczamy je, gdy to tylko możliwe.

Pułapki, które uwzględniamy w planie

Użytkownik dostaje push, którego nie zainicjował.

−Użytkownicy klikają „Odrzuć” i idą dalej, więc nikt nie dowiaduje się, że ktoś ma ich hasło.

+Mówimy użytkownikom, by odrzucili prośbę i ją zgłosili, a zespół bezpieczeństwa resetuje hasło i sprawdza konto.

Część użytkowników nie widzi numeru lub nie może użyć powiadomienia na telefonie.

−Zostawiamy ich przy zwykłym push albo SMS-ie, więc atakujący celują właśnie w nich.

+Identyfikujemy tych użytkowników z wyprzedzeniem i dajemy im inny silny faktor, na przykład klucz FIDO2.

Weryfikacja numerem jest traktowana jako stan docelowy.

−Kończymy po jego włączeniu, choć użytkownika nadal można nakłonić do wpisania numeru na stronie phishingowej.

+Traktujemy go jako krok i planujemy faktory odporne na phishing dla adminów i kont wysokiego ryzyka.

Użytkownicy nie wiedzą, do czego służy powiadomienie z numerem.

−Wdrażamy po cichu, a użytkownicy biorą nowy ekran za usterkę albo uczą się wybierać numery, nie patrząc.

+Wyjaśniamy powiadomienie przed przełączeniem i pokazujemy, co zrobić, gdy numer nie zgadza się z tym, co użytkownik widzi.

Chcesz włączyć powiadomienia push, których Twój pracownik nie zatwierdzi w ciemno? Szukasz wdrożenia MFA, które nie utknie w połowie?

Sprawdzimy, jak dziś Twoi pracownicy zatwierdzają logowania. Potem powiemy, od czego zacząć.

Umów rozmowę30 minut, bez prezentacji. Sprawdzamy, jak dziś Twoi użytkownicy zatwierdzają logowania.

Powiązane wpisy na blogu

Notatki z wdrożeń

Phishing-resistant MFA and FIDO rolloutCzytaj na blogu →

Źródła

Oficjalna dokumentacja Okta i Auth0 oraz źródła prawne

  1. 1Configure Okta Verify optionsOkta Help Center
  2. 2Okta Adaptive MFAokta.com product page
  3. 3Okta Verify and Okta FastPassOkta Help Center
  4. 4About MFA enrollment policiesOkta Help Center
  5. 5Directive (EU) 2022/2555 (NIS2)EUR-Lex