Come abilitare l'autenticazione a due fattori (2FA) in Authentik e forzare l'utilizzo dell'autenticazione a più fattori (MFA).

Una password rubata può consentire a un malintenzionato di accedere a più applicazioni protette dallo stesso provider di identità. Ecco perché, dopo Installare Authentik con Docker ComposeUno dei primi passi dovrebbe essere quello di configurare il autenticazione a più fattori o MFA.

Authentik ti consente di utilizzare codici TOTP, chiavi di sicurezza, passkey, codici di recupero, SMS, email o Duo. Tuttavia, l'attivazione dell'autenticazione a due fattori non è semplicemente una questione di premere un interruttore. La piattaforma utilizza flussi e fasi di autenticazione decidere quale fattore richiedere, quando farlo e cosa succede se l'utente non ne ha ancora registrato alcuno.

Questa flessibilità consente di richiedere l'autenticazione a più fattori (MFA) per tutti gli utenti, di applicarla solo ai gruppi amministrativi o di richiedere una verifica aggiuntiva per l'accesso ad applicazioni specifiche. Richiede inoltre un'attenta configurazione del flusso di lavoro per prevenire accessi non autorizzati o blocchi accidentali.

Cosa significa abilitare l'autenticazione a più fattori (MFA) in Authentic?

L'autenticazione a più fattori combina almeno due test appartenenti a categorie diverse:

• Qualcosa che conosci: una password o un PIN.
• Qualcosa che hai: un telefono, un'app TOTP o una chiave fisica.
• Qualcosa che sei: un controllo biometrico eseguito dal dispositivo.

In un login tradizionale, l'utente inserisce prima il proprio nome utente e la password. Quindi, Authentik esegue un Fase di convalida dell'autenticatore per verificare un autenticatore precedentemente registrato.

La fase di validazione viene solitamente collocata dopo l'inserimento di ID e password, ma prima della fase di accesso. Accesso utenteche è ciò che in definitiva crea la sessione utente.

È utile distinguere tra tre diverse configurazioni:

• Autenticazione a più fattori facoltativa: Viene richiesto solo quando l'utente ha già un autenticatore registrato.
• È richiesto il superamento del test di autenticazione a più fattori (MFA): Chiunque non disponga di un autenticatore deve configurarne uno prima di poter proseguire.
• Accesso senza password: All'interno di un flusso appositamente predisposto, una passkey o una credenziale WebAuthn sostituisce la password.

Una chiave di accesso non costituisce automaticamente un secondo fattore. Può essere utilizzata dopo una password come verifica aggiuntiva o diventare il meccanismo principale di un flusso senza password.

Metodi di autenticazione supportati

Codici TOTP

TOTP è il metodo più semplice per iniziare. Authentik visualizza un codice QR che può essere scansionato con app come Google Authenticator, Aegis, 1Password, Bitwarden o qualsiasi altra app compatibile.

I codici vengono generati localmente da una chiave condivisa e dall'ora del dispositivo, quindi Non hanno bisogno di una connessione internetAuthentik supporta codici a sei o otto cifre, sebbene sei cifre offrano una maggiore compatibilità.

codici di ripristino statici

La fase Configurazione dell'autenticatore statico Genera una serie di codici di recupero. Ogni codice può essere utilizzato una sola volta e deve essere conservato in un luogo sicuro.

Questi codici sono intesi come metodo di emergenza quando il telefono o la chiave di sicurezza vengono smarriti. Non è consigliabile memorizzarli esclusivamente sullo stesso dispositivo utilizzato per generare i codici TOTP.

WebAuthn, FIDO2 e password

WebAuthn consente l'utilizzo di chiavi fisiche come YubiKey o Google Titan, autenticatori integrati come Windows Hello, Touch ID o Face ID e password salvate dal sistema operativo o da un gestore di password.

Queste credenziali sono collegate al dominio in cui sono state registrate, pertanto offrono un protezione significativamente maggiore contro il phishing che i codici possono essere copiati manualmente.

Per creare una chiave di accesso adatta all'accesso senza password, le credenziali devono essere individuabili. Durante la fase di configurazione di WebAuthn, l'impostazione Requisiti per la chiave del residente Deve essere stabilito come preferenziale o obbligatorio.

WebAuthn richiede un contesto sicuro. In un'installazione esposta a Internet, è necessario accedere ad Authentik utilizzando HTTPS con certificato valido.

Autenticazione tramite e-mail

A partire da Authentik 2025.2, è possibile registrare un indirizzo come autenticatore e inviare codici temporanei via e-mail. Questo sistema richiede una configurazione SMTP funzionante.

La fase Configurazione dell'autenticatore e-mail Si differenzia dalla fase generale di invio di email, utilizzata per verificare gli account, inviare inviti o recuperare le password.

Autenticazione tramite SMS

Authentik può inviare codici SMS tramite Twilio o un endpoint HTTP generico. Durante la registrazione, il numero di telefono viene memorizzato per essere utilizzato successivamente durante la fase di validazione.

Se attivi Verificare soltantoAuthentik verificherà che l'utente controlli effettivamente il numero, ma non conserverà il numero di telefono per poterlo utilizzare in seguito per l'autenticazione a più fattori (MFA).

Gli SMS si basano su un fornitore di terze parti e sono esposti a rischi come la duplicazione fraudolenta della scheda SIM. È preferibile utilizzarli come metodo di backup quando TOTP o WebAuthn non sono praticabili.

Duo Security

L'integrazione con Duo consente di registrare un autenticatore associato al servizio e di utilizzarlo successivamente durante la fase di validazione. Richiede le credenziali fornite da Duo ed è particolarmente utile per le organizzazioni che già utilizzano il suo ecosistema.

Precauzioni da adottare prima di rendere obbligatorio l'uso dell'autenticazione a due fattori.

Modificare il flusso principale senza testare il secondo fattore potrebbe impedirti di accedere al pannello di amministrazione. Prima di applicare le impostazioni a tutti gli utenti:

• Registra un autenticatore nel tuo account amministrativo.
• Genera e salva codici di recupero statici.
• Creare un secondo account amministrativo di emergenza.
• Mantieni una sessione aperta mentre esegui i test.
• Prima di chiudere la sessione principale, verifica il flusso in una finestra di navigazione privata.
• Eseguire un backup di PostgreSQL prima di modificare i flussi critici.

È inoltre consigliabile evitare questa opzione Negare durante i test iniziali. Questa azione blocca immediatamente qualsiasi utente che non disponga di un autenticatore compatibile, senza offrire loro la possibilità di registrarne uno.

Come creare una fase di configurazione TOTP

Per consentire agli utenti di registrare un'applicazione per un codice temporaneo:

1. Accedere all'interfaccia di amministrazione di Authentik.
2. Aprire Flussi e fasi > Fasi.
3. Premere Nuovo palcoscenico.
4. Selezionare Fase di configurazione dell'autenticatore TOTP.
5. Inserisci un nome descrittivo, come ad esempio mfa-configurar-totp.
6. Seleziona sei cifre per la massima compatibilità.
7. Salva il palcoscenico.

Questo passaggio crea il codice segreto TOTP e mostra all'utente un codice QR. Dopo averlo scansionato, l'utente deve inserire un codice valido per confermare che la configurazione sia andata a buon fine.

Se desideri che il metodo venga visualizzato nelle impostazioni personali dell'utente, selezionane uno. Flusso di configurazione Compatibile. Ciò ti consentirà di aggiungere nuovi autenticatori dall'interfaccia self-service.

Come creare codici di recupero

Per generare codici statici:

1. Torna a Flussi e fasi > Fasi.
2. Premere Nuovo palcoscenico.
3. Selezionare Fase di configurazione dell'autenticatore statico.
4. Assegna un nome, come mfa-codigos-recuperacion.
5. Specifica il numero di codici che desideri generare.
6. Salva il palcoscenico.

I codici statici appartengono a una classe di dispositivi supportata dalla fase di validazione. Devono essere trattati come tali. metodo di recuperonon come fattore principale utilizzato quotidianamente.

Come creare la fase di convalida dell'autenticatore

La fase di configurazione registra l'autenticatore, ma non ne impone l'uso. Per questo, è necessario un Fase di convalida dell'autenticatore.

Prima di crearne uno nuovo, rivedi il flusso di autenticazione attuale. Le installazioni recenti di Authentik spesso includono una fase di questo tipo nel flusso predefinito. Se esiste già, puoi modificarla anziché duplicarla.

Per creare un nuovo scenario:

1. Aprire Flussi e fasi > Fasi.
2. Premere Nuovo palcoscenico.
3. Selezionare Fase di convalida dell'autenticatore.
4. Inserisci un nome come mfa-validacion-obligatoria.
5. En Classi di dispositivi, selezionare i metodi consentiti.
6. En Azione non configurataselezionare Specificare.
7. En fasi di configurazioneAggiungi i passaggi TOTP, WebAuthn, SMS, e-mail o Duo che desideri offrire.
8. Salva le impostazioni.

Quando vengono selezionate più fasi di configurazione, l'utente può scegliere quale metodo di registrazione per soddisfare tale requisitoNon sarà necessario configurare tutti i metodi inclusi.

Se si consentono i codici statici come classe di dispositivo, questi possono essere utilizzati per aggirare la convalida quando l'autenticazione a due fattori non è disponibile.

Come obbligare tutti gli utenti a utilizzare l'autenticazione a due fattori (2FA)

Affinché la convalida sia parte integrante del processo di accesso, è necessario collegarla al flusso di autenticazione effettivamente utilizzato dall'istanza:

1. Aprire Flussi e fasi > Flussi.
2. Inserisci il flusso utilizzato per autenticare gli utenti, normalmente default-authentication-flow.
3. Apri la scheda Attacchi da palcoscenico.
4. Individua la fase di convalida esistente oppure premi Creare o associare.
5. Selezionare Fase attuale e scegli lo stage creato in precedenza.
6. Inseriscilo dopo la password e prima Accesso utente.
7. Salva il binding e verifica l'ordine dei passaggi.

Per applicare l'MFA a tutti gli utenti, il passaggio deve essere eseguito senza una policy o un binding che escluda i gruppi. Quando si utilizza Azione non configurata: ConfiguraChi non possiede ancora un autenticatore deve registrarne uno prima che Authentik crei la sua sessione.

Le altre azioni disponibili si comportano in questo modo:

• Saltare: Consente all'utente di continuare anche in assenza di un autenticatore compatibile.
• Negare: Il flusso si interrompe e l'accesso viene negato.
• Configura: Inserisci una fase di registrazione e prosegui al termine della stessa.

Per un'implementazione graduale, è possibile inizialmente collegare la fase a un gruppo di provaUna volta verificato che la registrazione, l'accesso e il recupero funzionino correttamente, rimuovi tale limitazione oppure estendila al resto dei gruppi.

Come richiedere l'autenticazione a più fattori solo a determinati utenti

Le associazioni di fase consentono di decidere chi deve completare una determinata fase. È possibile collegare la convalida a utenti o gruppi specifici, come amministratori, personale tecnico o utenti con accesso a informazioni sensibili.

Per fare questo:

1. Apri il flusso e inserisci Attacchi da palcoscenico.
2. Visualizza il collegamento corrispondente alla fase MFA.
3. Premere Creare o associare.
4. Seleziona l'opzione per collegare un utente o un gruppo.
5. Seleziona il gruppo che dovrà completare la convalida.

È inoltre possibile utilizzare le policy di espressione per prendere decisioni in base all'utente, all'applicazione richiesta, al gruppo di appartenenza o al contesto di accesso.

Come richiedere l'autenticazione a più fattori (MFA) solo per applicazioni sensibili

Non tutte le applicazioni devono applicare lo stesso livello di verifica. Authentik ti consente di utilizzare un flusso di autorizzazione In particolare, per aggiungere controlli prima di consentire l'accesso a un'applicazione.

Questo approccio viene utilizzato per richiedere un'ulteriore convalida all'apertura di un pannello amministrativo, di uno strumento finanziario o di un server contenente informazioni riservate, anche se l'utente ha già una sessione attiva in Authentik.

Un'altra possibilità è quella di utilizzare una policy nel binding di fase per interrogare l'applicazione memorizzata nel contesto del flusso. Questa configurazione richiede maggiore attenzione, quindi è consigliabile testarla con un'applicazione e un gruppo limitati prima di estenderla.

Come richiedere due metodi diversi

La possibilità di selezionare TOTP e WebAuthn all'interno di un unico passaggio di validazione consente all'utente di sceglierne uno dei due. Non richiede la convalida di entrambi.

Se desideri che TOTP e WebAuthor vengano utilizzati a ogni accesso:

1. Crea una fase di convalida che consenta solo la classe totp.
2. Associa quella fase alla configurazione TOTP e seleziona Specificare.
3. Crea un'altra fase di convalida che consenta solo webauthn.
4. Associa la configurazione WebAuthor e seleziona Specificare.
5. Collega entrambe le fasi al flusso di autenticazione.

Al primo accesso, l'utente dovrà configurare eventuali metodi mancanti. Negli accessi successivi, dovrà superare entrambe le validazioni.

Se vuoi semplicemente richiedere che ogni utente abbia due diverse classi di autenticatori registratiMa invece di usarli entrambi ad ogni avvio, è possibile applicare una policy di espressione che conta le classi di dispositivi confermate.

Come utilizzare PassKeys senza password

Per utilizzare una password direttamente dal modulo di accesso è necessario:

• Una fase di configurazione di WebAuthn.
• Una credenziale reperibile tramite Requisiti per la chiave del residente.
• Una fase di validazione che consente l'utilizzo della classe WebAuthn.
• La fase di identificazione è collegata alla convalida WebAuthn.
• HTTPS e un browser compatibile.

È inoltre possibile creare un flusso autonomo senza password che termina con una fase Accesso utenteNon rimuovere la password principale finché non avrai verificato che le chiavi di accesso funzionino su tutti i browser e dispositivi necessari.

Nel flusso predefinito, Authentik può saltare la successiva convalida MFA quando l'accesso è già stato completato utilizzando una password. Se si desidera richiedere un ulteriore fattore dopo la password, è necessario rivedere i criteri applicati al relativo binding.

Come ridurre la frequenza delle richieste di autenticazione a più fattori (MFA)

L'adeguamento Ultima soglia di convalida Evita di richiedere nuovamente l'autenticazione a due fattori se l'utente ha utilizzato di recente un autenticatore compatibile.

Un valore diverso da zero definisce per quanto tempo il controllo precedente viene considerato valido. Ciò consente di trovare un equilibrio tra sicurezza e praticità, ma aumenta l'impatto di una sessione rubata durante tale intervallo.

Utilizzare intervalli più brevi per i pannelli amministrativi e le operazioni sensibili. Per gli autenticatori basati su codici, come TOTP, SMS o codici statici, intervalli inferiori a 30 secondi non sono utili.

Protezione contro i tentativi ripetuti

La fase di convalida può applicare un ritardo esponenziale dopo ogni codice errato. Ci sono fattori separati per TOTP, codici statici, SMS ed e-mail.

Con un fattore pari a uno, il tempo di attesa aumenta approssimativamente nella sequenza di 1, 2, 4, 8 e 16 secondi. Una convalida riuscita azzera il contatore. Un fattore pari a zero disabilita questa limitazione.

Questo meccanismo non si applica a WebAuthn o Duo. Inoltre, non sostituisce il monitoraggio degli eventi, le politiche di blocco o la protezione proxy contro gli attacchi automatizzati.

Come recuperare l'accesso se si perde il secondo fattore di autenticazione

Se un utente perde il telefono o la chiave fisica, può utilizzare un codice statico salvato in precedenza. Dovrà quindi accedere alle impostazioni, eliminare l'autenticatore smarrito e registrarne uno nuovo.

Gli amministratori possono esaminare i fattori registrati nel profilo dell'utente:

1. Aprire Directory > Utenti.
2. Selezionare l'utente interessato.
3. Controlla la sezione Autenticatori MFA.
4. Rimuovere solo il dispositivo smarrito o danneggiato.
5. Chiedi all'utente di registrare un nuovo autenticatore.

Prima di rimuovere un fattore di autenticazione, verifica l'identità della persona utilizzando una procedura separata. Un malintenzionato potrebbe tentare di utilizzare l'assistenza tecnica per rimuovere l'autenticazione a più fattori (MFA) da un account.

Errori comuni durante l'attivazione dell'autenticazione a due fattori in Authentic

L'utente può accedere senza configurare l'autenticazione a più fattori (MFA).

Controlla che Azione non configurata è configurato come Specificareche c'è almeno una fase in fasi di configurazione e che la convalida sia collegata al flusso di autenticazione effettivamente utilizzato.

Tutti gli utenti sono bloccati

Probabilmente è stato selezionato Negare prima che gli utenti registrassero i propri autenticatori. Recupera una sessione amministrativa, cambia temporaneamente l'azione in Configura e testa il flusso con un piccolo gruppo.

Il codice TOTP risulta sempre errato.

Assicurati che l'ora del server e quella del telefono siano sincronizzate. Il protocollo TOTP è dipendente dal tempo e una differenza significativa può invalidare tutti i codici.

WebAuthn o la password non vengono visualizzati

Verifica che Authentik si apra tramite HTTPS, che il browser sia compatibile e che la fase di autenticazione utilizzi la convalida WebAuthn. Per il riempimento automatico della password, le credenziali devono essere reperibili.

La mail o l'SMS non arrivano mai

Verifica la configurazione dell'endpoint SMTP, Twilio o HTTP generico. Controlla anche i log dei worker, poiché questo servizio è responsabile dell'elaborazione di numerose attività in background.

L'utente deve convalidare due metodi quando l'obiettivo era solo quello di offrire delle alternative.

Probabilmente hai creato due fasi di convalida separate. Se vuoi che l'utente scelga tra TOTP e WebAuthn, abilita entrambe le classi in una singola fase.

Il secondo fattore viene richiesto a ogni accesso.

Configurare un valore appropriato in Ultima soglia di convalidaSe il valore è zero, Authentik non riutilizzerà una convalida precedente.

L'attivazione dell'autenticazione a due fattori (2FA) in Authentik richiede la corretta combinazione delle fasi di configurazione, validazione e accesso. Per un'implementazione semplice, TOTP con codici statici rappresenta un buon punto di partenza. In ambienti più complessi, WebAuthn e le chiavi FIDO2 offrono una protezione superiore contro il phishing.

Prima di applicare la modifica all'intera organizzazione, documenta i tuoi fattori specifici, mantieni un metodo di ripristino e testa il flusso di lavoro da una sessione diversa. Un'implementazione graduale previene i crash e ti consente di verificare che ogni applicazione riceva il livello di protezione previsto.