juuli 20, 2026, 10:02 p.l.

Mitmefaktoriline autentimine (MFA) – mis see on? Põhjalik juurutamisjuhend ettevõtetele

Tänapäeva digitaalses maailmas on üks suurimaid ohte, millega ettev&otted; silmitsi seisavad, volitamata juurdepääs ja andmerikkumised. Traditsioonilised kasutajanime ja parooli kombinatsioonid ei paku enam piisavat turvalisust. Siin muutub mitmefaktoriline autentimine (Multi-Factor Authentication - MFA) ettevõtete küberturvalisuse strateegiate lahutamatuks osaks. MFA on turvamehhanism, mis nõuab kasutajatelt oma identiteedi tõestamist kahe või enama erineva autentimisfaktori abil.

Microsofti 2023. aasta aruannete kohaselt on MFA-d kasutavad kontod 99,9% vähem ohustatud võrreldes nendega, kes seda ei kasuta. See statistika üksi näitab selgelt, miks organisatsioonid peaksid MFA viivitamatult juurutama. Selles artiklis käsitleme üksikasjalikult, mis on MFA, selle erinevaid tüüpe, võimalikke turvavigu ja ettevõtetele sobivaimaid juurutamisstrateegiaid.

Kuidas mitmefaktoriline autentimine toimib?

MFA kasutab kasutaja identiteedi kontrollimiseks vähemalt kaht kolmest põhilisest faktori kategooriast:

• Teadmisfaktor (Knowledge Factor): Midagi, mida kasutaja teab - parool, PIN-kood või turvaküsimuse vastus
• Omandifaktor (Possession Factor): Midagi, mis kasutajal on - nutitelefon, turvatõend, kiipkaart või riistvaravõti
• Biomeetriline faktor (Inherence Factor): Kasutaja ainulaadsed bioloogilised omadused - sõrmejälg, näotuvastus, võrkkesta skaneerimine või hääletuvastus

Isegi kui ründaja saab teie parooli kätte, ei pääse ta MFA aktiveerimisel teie kontole ligi. Sest ilma teise või kolmanda autentimisfaktorita pole süsteemi sisselogimine võimalik. See kihiline turvalisuse lähenemine on kaasaegsete küberturvalisuse strateegiate alus.

MFA tüübid ja tehnoloogiad: kumb sobib teie ettevõttele?

SMS-põhine autentimine

Üks enim kasutatavaid MFA meetodeid on SMS-autentimine, mis saadab kasutaja registreeritud telefoninumbrile ühekordse koodi. Kuigi see on kergesti rakendatav, on see haavatav SIM Swap rünnakutele. SIM swap on ohu tüüp, kus ründjad kannavad sotsiaalse manipuleerimise tehnikate abil kasutaja telefoninumbri oma SIM-kaardile. Seetõttu ei peeta SMS-põhist MFA-d enam kõige turvalisemaks valikuks.

TOTP (Time-Based One-Time Password)

Google Authenticator, Microsoft Authenticator ja Authy taoliste rakenduste abil loodud ajapõhised ühekordsed paroolid on SMS-ist palju turvalisemad. Selle meetodi puhul loob kasutaja seadmes töötav algoritm iga 30 sekundi järel muutuvaid unikaalseid koode. Kuna see ei nõua internetiühendust, saab see töötada võrguühenduseta ja on püügirünnakute vastu vastupidavam.

TOTP eelistamise peamised põhjused ettevõtetes:

• Kuluefektiivsus - tasuta või odavad rakendused
• Lihtne levimine ja kasutajate kohanemine
• Kõrgem turvalisuse tase võrreldes SMS-iga
• Võrguühenduseta töötamise võimekus

FIDO2 ja WebAuthn: järgmise põlvkonna turvalisus

FIDO2 (Fast Identity Online) on avatud standard, mis on välja töötatud paroolivaba (passwordless) autentimiseks. YubiKey taoliste riistvara turvavõtmete või biomeetriliste andurite abil pakub see kõrgeimat turvalisuse taset. FIDO2 on peaaegu täielikult immuunne püügirünnakutele, kuna identimistunnuseid ei edastata kunagi serverisse.

FIDO2 eelised ettevõtetes:

• Suurepärane kaitse püügi- ja man-in-the-middle rünnakute vastu
• Lihtsus kasutajakogemuses
• Väiksem risk serveri poolel tänu jagatud saladuste puudumisele
• Lai tugi tööstusstandardi staatuses

Push-põhised teavitused

Microsoft Authenticator ja Duo Mobile taolised rakendused saadavad kasutaja registreeritud seadmesse push-teavituse kinnituse küsimiseks. Kui kasutaja teavitust kinnitab, antakse juurdepääs. Kuigi see meetod on kasutajasõbralik, võib see olla haavatav MFA fatigue (väsimus) rünnakutele.

MFA möödahiilimise rünnakud: ohud, mida organisatsioonid peaksid teadma

MFA Fatigue (väsimus) rünnakud

MFA fatigue on sotsiaalse manipuleerimise tehnika, kus ründjad saadavad kasutajale pidevalt MFA kinnitusnõudeid, püüdes kasutajat väsitada. Kasutaja võib häiritud olles teavituste peatamiseks või kogemata kinnitada pahatahtliku sisselogimiskatse. Sellised rünnakud on viimastel aastatel oluliselt kasvanud ja edukaid rünnakuid on sooritatud suurettevõtete nagu Uber ja Cisco vastu.

Ennetusstrateegiad:

• Numbrite sobitamise (number matching) funktsiooni aktiveerimine
• Sisselogimiskatse asukoha teabe kuvamine
• Kinnitusnõuete maksimaalse arvu piiramine teatud ajavahemiku jooksul
• Kasutajate koolituse ja teadlikkuse programmid

SIM Swap rünnakud

SIM swap on olukord, kus ründjad petetakse sotsiaalse manipuleerimise meetoditega mobiilioperaatoreid sihtmärgi telefoninumbrit enda kontrollitavale SIM-kaardile üle kandma. Sel juhul jõuavad SMS-põhised MFA koodid otse ründjani. Ennetusmeetmena tuleks SMS-i asemel kasutada autentikaatori rakendusi või FIDO2 võtmeid.

Sessiooni hõivamine ja küpsiste vargus

Kui pärast MFA edukat läbimist loodud sessiooniküpsised (session cookies) varastatakse, saab ründaja süsteemile ligi ilma MFA-d uuesti läbimata. Seetõttu on sessioonihaldus ja tingimuslikud juurdepääsupoliitikad sama olulised kui MFA. Regulaarsed sessiooni aegumised, IP-aadressi muutuste korral taasautentimine ja ebanormaalsete käitumismustrite tuvastamine on kriitilised meetmed.

Populaarsete MFA lahenduste võrdlus: Microsoft, Google ja Duo

Microsoft Authenticator ja Azure MFA

Microsofti MFA lahendus pakub Azure Active Directory'ga täielikku integrats