2Element - Multi-factor Authentication (MFA)

VLASTNOSTI ŘEŠENÍ

Univerzální řešení pro organizace a ﬁrmy všech velikostí.
Použití MFA doplňuje problematická hesla dalšími faktory.
Podpora českého a anglického jazyka (další jazyky možné doplnit).
Flexibilní řešení pro autentizaci – zaměstnanců, partnerů, zákazníků - do interních/firemních systémů.
Možnost instalace on-premise v infrastruktuře zákazníka.
Žádná část aplikace ani data nemusí být v cloudu třetí strany.
MFA termíny a zkratky - vysvětlení

PODPORA MODERNÍCH TECHNOLOGIÍ

FIDO2/WebAuthn - Podpora standardu.
Phishing-Resistant MFA - Prevence proti phishing útokům.
Podpora technologie passwordless.

CISA doporučení pro phishing-resistant MFA

Obecně k faktorům pro autentizaci

Faktory ověřování jsou kategorizovány do tří skupin:
- Něco, co znáte (například heslo nebo PIN).
- Něco, co máte (například mobilní telefon nebo hw token).
- Něco, kým jste (například otisk prstu, scan obličeje nebo jiná biometrická data).
MFA vyžaduje, aby se uživatel autentizoval pomocí dvou nebo více autentizačních faktorů z různých kategorií (např. „Něco, co znáte“ v kombinaci s „něčím, co máte“).
Metoda Push notifikací pro chytré telefony s biometrickým ověřením spojuje všechny tyto tři kategorie. Přihlášení jménem a heslem (něco, co znáte) je doplněno push notifikací na mobil (něco, co máte), kterou je třeba potvrdit po biometrickém ověření (něco, kým jste).

Architektura aplikace 2Element

RIZIKA PŘI POUŽITÍ SAMOTNÉHO HESLA

Brute-force útoky
Phishing
Keylogging
Sociální inženýrství
Malware

Produktový list 2Element

Integrace 2Element a Sofie

Více o produktu

Bezpečnost

Podrobné logování (audit log) všech procesů v celém řešení.

Registrace a autorizace mobilních aplikací je zajištěna asymetrickou kryptografií.

Soukromý klíč je v mobilních telefonech uložený v dedikovaném bezpečnostním úložišti s možností ochrany biometriky.

Administrátor má právo definovat požadované security politiky pro uživatele.

Přenosy dat jsou standardně šifrovány pomocí SSL / TLS.

Export logů pomocí Syslogu pro externí zpracování (podpora SIEMu).

Integrace přihlášení (SSO) s poskytovateli SAML nebo ADFS.

Aplikace je testována penetračními testy dle metodiky OWASP.

Možnost poskytnutí zdrojového kódu k auditu.

Penetrační testy

Bezpečnost aplikace 2Element je prověřována penetračními testy společnosti NETHEMBA

PHISHING-RESISTANT MFA

Způsob ověření, který brání útočníkovi získat přístupové údaje uživatele podvodnou manipulací (např. odeslání e-mailové zprávy a další techniky sociálního inženýrství).
Standard FIDO2 je bezpečnější způsob ověření oproti tradičním řešením jako jsou jednorázová hesla (OTP) nebo PUSH notifikace.
HW klíče pro FIDO2
- Yubico
- GoTrust
- Feitan
- TrustKey
- SoloKeys
- Swissbit
- Token2

a další...

Napojení na AD nebo ADFS

Napojení na Active Directory, včetně nastavení, které stromy či skupiny uživatelů synchronizovat a jak.
Současná podpora jak lokálních skupin a uživatelů, tak těch předávaných z AD.
Možnost provozu i zcela bez napojení na AD. Lokální uživatele je možno založit přímo v MFA serveru. Vhodné pro instalace, které nemají AD, nebo uživatele, kteří nejsou v AD.
Možná je i podpora dalších LDAP kompatibilních adresářů.
Integrace do ADFS přihlášení – takto se o MFA snadno rozšíří celý ekosystém podporující ADFS přihlášení.

Příklady integrace

PODPOROVANÉ SLUŽBY A APLIKACE

VPN přístupy (Fortinet, Cisco, CheckPoint, Palo Alto, …)

Administrátorské RDP/RDG přístupy na MS servery

Vzdálené plochy (RDP/RDG) pro uživatele/

administrátory

Lokální přihlášení uživatelů do počítače

ADFS (Active Directory Federation Services) integrace

Cloudové služby (Microsoft 365, Google Workspace, Bitwarden, …)

Vlastní aplikace zákazníka (Helpdesk, Intranet, …) pomocí API

Portály a řešení pro partnery a zákazníky

Další integrace protokoly Radius či LDAP

Podpora ADFS, OpenID, SAML

Příklad přihlášení VPN Klienta

Instalace MFA serverů u zákazníka

Instalace na dedikované servery (RHEL, CentOS, Rocky Linux).
- Doporučujeme instalaci do virtualizace - VMware, Hyper-V, KVM.
Dostupné webové rozhraní pro administrátory.
Optimálně rozděleno na dvě části:
- V DMZ - MFA WEB server - komunikuje do Internetu (push notifikace aj.), poskytuje API.
- VLAN - MFA Autentizační PROXY server - Auth proxy, zprostředkovává komunikaci s AD a RADIUS.
Individuální řešení pro velké instalace, splňující požadované SLA.
MFA servery lze instalovat do cloudového prostředí.

Konzultace a on-line prezentace

Odborné konzultace pro zákazníky a partnery.
Vysvětlení pojmů jako např. FIDO2, WebAuthn, U2F, TOTP, ...
Předvedení MFA řešení pomocí Teams nebo jiné konference.
Během konference poskytujeme analýzu nasazení MFA u zákazníka.

Trial verze a PoC instalace

TRIAL licence pro interní testy a PoC (Proof of Concept) instalace.
Instalace serveru MFA může být v našem hostingu.
Instalace do infrastruktury zákazníka.
Odborné konzultace pro další integrace v rámci PoC.

ZÁKAZNICKÉ ŘEŠENÍ NA KLÍČ

Pro větší implementace nabízíme řešení, které je dnes populární například v bankách pod názvy - KB klíč, RB klíč, …
Dodáme zákazníkovi upravenou mobilní aplikaci, která bude plně kompatibilní pro všechny MFA přístupy.
Vhodná konsolidace všech aplikací, které mají používat MFA ověření.
“White label” customizace
- pro server (vlastní název a design)
- pro mobilní aplikace (vlastní název, design a pevné propojení se serverem zákazníka)