Vícefázové ověření
Jednotné přihlášení MUNI nabízí kromě ověření pouze heslem i více zabezpečené přihlášení pomocí tzv. vícefázového ověření (Multi-Factor Authentication, zkráceně MFA). Jeho fungování ztěžuje případnému útočníkovi zneužití vašeho účtu, protože po jeho aktivaci bude k přihlášení kromě hesla nutné použít i další způsob ověření, například ve formě ověřovacího kódu. Zároveň to prakticky znamená, že při každém novém přihlášení musíte mít k dispozici svoje registrované zařízení, opsat ověřovací kód nebo potvrdit použití bezpečnostního klíče.
Pokud si chcete nastavit vícefázové ověření v Jednotném přihlášení MUNI, přečtěte si úvodní informace na této stránce a postupujte podle jednotlivých návodů odkazovaných níže. Můžete si také přečíst podrobný úvod do problematiky vícefázového ověření a phishingu.
Vícefázové ověření popsané na této stránce se týká pouze služeb, které využívají Jednotné přihlášení MUNI. Pro aktivaci vícefázového ověření pro přihlašování do Informačního systému MU je potřeba jej aktivovat přímo v IS pomocí tohoto návodu.
Jak si nastavit vícefázové ověření
1
Nastavte si přihlašování pomocí přihlašovacích kódů.
V rámci Masarykovy univerzity je nutné jako první zavést metodu ověřovacích kódů. Tento proces zahrnuje i vygenerování záložních kódů k obnovení přístupu v případě ztráty všech registrovaných přístrojů. Kódy silně doporučujeme si bezpečně uložit nebo vytisknout, jinak můžete ztratit přístup ke svému účtu.
2
Vyberte služby, pro které chcete vícefázové ověření používat.
Po prvotním zavedení vícefázového ověření bude automaticky nastaveno jeho vyžadování při přihlašování do všech IT služeb pod Jednotným přihlášením. Toto nastavení je však možné upravit a vybrat si, pro které služby se má jednotlivě vyžadovat či nikoli.
3
Volitelné: přidejte další způsoby ověřování.
Nyní už je vícefázové ověřování plně nastaveno, pokud ale budete chtít, můžete si libovolně přidat další aplikaci s přihlašovacími kódy, ověřování přes bezpečnostní klíče nebo vygenerovat nové záložní kódy. Bližší popis jednotlivých způsobů naleznete níže.
Aplikace s časovanými přihlašovacími kódy (TOTP)
TOTP aplikace na základě aktuálního času průběžně generují časově omezené šestimístné číselné kódy, které při přihlašování slouží jako druhý faktor prokazující přístup k ověřovacímu zařízení. Vícefázového ověření v Jednotném přihlášení MUNI vyžaduje zavedení této metody na alespoň jednom zařízení.
Pokud tento typ přihlašování už používáte u jiných služeb, můžete využít vaši stávající aplikaci. Pokud takovou nemáte, můžete použít např. Aegis Authenticator na Androidu nebo Raivo OTP na iOS.
Bezpečnostní klíče (WebAuthn)
Web Authentication (zkráceně WebAuthn) je založena na použití veřejného a privátního klíče, kdy při registraci webová stránka vygeneruje dvojici klíčů (veřejný a privátní). Veřejný klíč je uložen na serveru služby, zatímco privátní klíč je uložen v registrovaném zařízeni uživatele (smartphone, PC aj.).
Při přihlašovaní na stránku poté uživateli stačí svým registrovým zařízením naskenovat QR kód z webové stránky a potvrdit přihlášeni ve svém registrovaném zařízeni. Výhodou přihlašování přes metodu WebAuthn je, že vygenerovaná dvojice klíčů (veřejný a privátní) je vždy platná pouze pro zdrojový web, čímž se zároveň odstraňuje potenciální problém s phishingem a zduplikováním stránky vyžadující kód (z TOTP aplikace či záložní).
Záložní kódy
Vygenerování seznamu záložních kódu je primárně určeno jako záloha pro případ, že ztratíte přístup k zařízení s časovanými kódy či bezpečnostním klíčem. Není určeno pro běžné přihlašování, protože všechny záložní kódy jsou jednorázové a po jejich vyčerpání nebude možné se přihlásit.
Seznam záložních kódů silně doporučujeme si bezpečně uložit nebo vytisknout.
Co dělat při ztrátě zařízení pro vícefázové ověření
Při prvním nastavení vícefázového ověření jsou vygenerovány záložní kódy, které slouží pro případ ztráty přístupu k ověřovacímu zařízení, např. při poruše nebo ztrátě telefonu. V takovém případě stačí při přihlášení opsat jeden ze záložních kódů a zaregistrovat si nový token ve správě tokenů mfa.id.muni.cz.
Pokud nemáte k dispozici žádné registrované zařízení s ověřovacími kódy, bezpečnostní klíče ani záložní kódy, kontaktujte uživatelskou podporu IT MUNI. Jestliže se vám nedaří přihlásit se ani do portálu podpory služeb k nahlášení, pošlete e‑mail na it@muni.cz s následujícími informacemi: s jakým UČO se přihlašujete; na jakou službu se přihlašujete (webový odkaz); čas problému s přihlášením; jakou jste obdrželi chybovou hlášku; jakou máte verzi prohlížeče a operačního systému.
Nastavení vícefázového ověření
Vede do systému pro správu ověřovacích kódů a bezpečnostních klíčů (tokenů).
Postupujte dle návodů dole na této stránce.
Pokud se vám nedaří přihlásit se do portálu podpory služeb, pošlete e‑mail na it@muni.cz s následujícími informacemi:
- s jakým UČO se přihlašujete,
- na jakou službu se přihlašujete (webový odkaz),
- čas problému s přihlášením,
- jakou jste obdrželi chybovou hlášku,
- jakou máte verzi prohlížeče a operačního systému.