Dvoufaktorové ověření

Funkcionalita

• Dvoufaktorové ověření - je rozšíření aplikace, které rozšíří přihlášení do KS portálu o dvoufaktorovou autentizaci, tedy o druhou metodu ověření uživatele pomocí autorizačního kódu z E-mailu, SMS či Authenticatoru.

• LZE používat pouze s FORMULÁŘOVÝM PŘIHLAŠOVÁNÍM jménem a heslem,
• NELZE používat současně s typem ověření portálu Windows SSO, Externím přihlašováním či přihlášení čipovou kartou (RFID) (pro tyto způsoby přihlášení může být pro vnitřní síť nainstalovaná samostatná instance portálu (nad stejnou databází), která bude bez 2FA).
• využití především pro KS portál vystavený "ven"
• (dvoufaktorová autentizace, 2FA – two-factor authentication, MFA - multi-factor authentication)

Nastavení

1. Aktivujte přes rozšíření aplikace rozšíření Dvoufaktorové ověření (interní zkratka rozšíření je TOTP_AUTHENTICATOR_PORTAL).
2. Restartujte KS portál nebo dejte vyčistit systémovou cache (Systémové informace), aby se zobrazil následující parametr .
3. V Nastavení/Parametry nastavte parametr portálu DvoufaktorovyLogin na jednu z hodnot viz níže (v případě metody SMS nejprve nastavte parametry pro SMS bránu).
4. Případně provést nastavení popsaná níže u zvolené metody.

Název	DvoufaktorovyLogin
Skupina	Obecné
Popis	Určuje metodu dvoufaktorového ověření. Možné hodnoty: 0 - Vypnuto, 1 - EMAIL, 2 - SMS, 3 - Authenticator, 4 – Vše (Výběr metody uživatelem, SMS se uživateli nenabízí pokud není aktivní rozšíření SMS notifikace)
Rozsah	0 / 1 / 2 / 3 / 4

Vypnutí dvoufaktorového ověření

Pokud se do portálu lze přihlásit, nastavte v Nastavení/Parametry parametr DvoufaktorovyLogin na hodnotu 0. Pokud se do portálu nelze přihlásit, např. kvůli nefunkční SMS bráně, lze dvoufaktorové ověření vypnout přidáním následujícího řádku do sekce AppSettings v souboru web.config. To lze využít i v případě více instancí portálu (interní a veřejná), kdy chcete u interní instance dvoufaktorové ověření vypnout.

<add key="Dvoufaktor" value="false" />

1 - E-MAIL

Tato hodnota zapíná dvoufaktorové ověření pomocí autorizačního kódu zaslaného na E-mail. Email je odesílán na adresu navedenou v agendě Kontakty - E-mail do práce.

1. Uživatel nejprve zadá své přihlašovací údaje do portálu.
2. Následně je přihlašovanému uživateli odeslán email s náhodným 6-místným autorizačním kódem, který je nutné zadat do portálu.
3. Uživatel má následně 2:30 min na zadání tohoto kódu. Pokud se kód shoduje, je uživatel přesměrován na úvodní stránku v portálu. V případě, že je platnost kódu ukončena, je nutné se znovu přihlásit.

2 - SMS zpráva

Tato hodnota zapíná dvoufaktorové ověření pomocí autorizačního kódu zaslaného přes SMS na kontakt Mobilní telefon. Pro použivání metody SMS je nutné zakoupit rozšíření SMS notifikace a nastavit je (viz odkaz níže).

1. Uživatel nejprve zadá své přihlašovací údaje do portálu.
2. Následně je přihlašovanému uživateli odeslána SMS s náhodným 6-místným autorizačním kódem, který je nutné zadat do portálu.

• SMS notifikace

3 - Authenticator

Ověření pomocí číselného kódu z mobilní aplikace Google Authenticator či Microsoft Authenticator.

Tajný klíč pro Authenticator je možno hromadně vygenerovat uživatelům v Uživatelé (Nastavení), toto ale není nutné, pokud portál po ověření loginu a hesla zjistí, že uživatel ještě nemá klíč vygenerován, tak mu jej automaticky vygeneruje a pošle. Tajný klíč pro Authenticator - prvotní nastavení pro Autenticator - je uživatelům odesílán na e-mail, který je naveden v agendě Kontakty pod druhem E-mail do práce. Tajný klíč je v e-mailu v textové podobě i ve formě QR kódu. Uživatel si musí nejprve naistalovat do svého mobilního telefonu Google Authenticator nebo Microsoft Authenticator a v něm naskenuje QR kód, nebo zadá klíč ručně. V Autheticatoru se objeví položka KS Portál: Název firmy a 6-ti místný číselný kód vygenerovaný na základě tajného klíče a času, který je platný jen pár sekund a neustále se tedy mění, tento 6-ti místný číselný kód pak zadává do aplikace KS portál.

1. Uživatel nejprve zadá své přihlašovací údaje do portálu.
2. Ve své mobilní telefonu si otevře aplikaci Authenticator.
3. Následně zadá 6-ti místný číselný kód z Authenticatoru do portálu.

Obr. 1 Generování kódu pro Authenticator. OBr. 2 Email, který přijde zaměstnanci.

4 - Vše - výběr metody

Při nastavení parametru DvoufaktorovyLogin nastaven na hodnotu 4-Vše, je uživateli, po ověření loginu a hesla, zobrazena nabídka 2. metody ověření: E-mail, SMS či Authenticator (SMS se uživateli nenabízí pokud není aktivní rozšíření SMS notifikace).

Přihlášení

Ukázka přihlášení při nastavení parametru DvoufaktorovyLogin na hodnotu 4-Vše a uživatel si zvolil metodu Authenticator:

1. obrázek: ověření – loginem a heslem,

2. obrázek: výběr metody,

3. obrázek: zadání číselného kódu z aplikace Autheticator

Odkazy

• Dvoufaktorové ověřování
• SMS notifikace
• Parametry (Obecné)
• Portál-ObecnéInformace
• DB: prtl_parametry - nazev = 'DvoufaktorovyLogin' (záznam existuje v případě, že hodnota parametru <> 0)