Autenticació de dos factors

L’autenticació de dos factors protegeix els comptes fins i tot quan algú roba o endevina una contrasenya: després de la contrasenya, l’usuari ha de presentar un segon factor.

S’aplica als comptes la contrasenya dels quals verifica el mateix Cyberwatch, és a dir, els comptes locals i els comptes LDAP. Els comptes que inicien la sessió amb SAML o OpenID Connect depenen del seu proveïdor d’identitat, que és qui gestiona el segon factor.

Segons factors disponibles

Segon factor	Funcionament
Aplicació d’autenticació	Una aplicació com Google Authenticator o Microsoft Authenticator mostra un codi de 6 xifres que es renova cada 30 segons (TOTP).
Clau d’accés	El telèfon, l’ordinador, el gestor de contrasenyes o una clau de seguretat FIDO2 confirma la identitat de l’usuari per empremta digital, reconeixement facial o codi PIN (passkey, WebAuthn).
Codis de recuperació	Deu codis d’un sol ús, generats amb el primer segon factor, permeten iniciar la sessió en cas de pèrdua del telèfon o de la clau.

Un usuari pot configurar una aplicació d’autenticació i diverses claus d’accés.

Requisits de les claus d’accés

Una clau d’accés està vinculada a l’adreça de Cyberwatch. Per utilitzar-les:

Cyberwatch s’ha d’obrir amb un nom de domini en HTTPS, a l’adreça configurada per al node a Administració > Nodes. Les claus d’accés no funcionen quan Cyberwatch s’obre amb una adreça IP;
el navegador ha de reconèixer el certificat TLS de Cyberwatch;
el navegador ha de ser recent: Chrome o Edge 129, Firefox 119, Safari 18.4 o versions posteriors.

Quan no es compleixen aquestes condicions, l’aplicació d’autenticació continua disponible.

Canviar l’adreça del node inutilitza les claus d’accés registrades per a l’adreça anterior. Cyberwatch n’avisa l’administrador que modifica l’adreça. Aleshores, els usuaris afectats inicien la sessió amb la seva aplicació d’autenticació o amb un codi de recuperació i, després, registren una clau d’accés nova.

Configurar el vostre segon factor

Obriu el vostre perfil des del menú de la part superior dreta de la interfície
Al quadre «Autenticació de dos factors», feu clic a «Gestiona»

Per afegir, substituir o treure un segon factor, o per generar codis de recuperació nous, cal confirmar la contrasenya. Aquesta confirmació és vàlida durant 10 minuts.

Aplicació d’autenticació

Al quadre «Aplicació d’autenticació», feu clic a «Configura»
Escanegeu el codi QR amb l’aplicació, o introduïu la clau que es mostra a sota del codi QR
Introduïu el codi de 6 xifres que mostra l’aplicació i feu clic a «Activa»

Els codis depenen de l’hora. Si es rebutja un codi, compareu l’hora del telèfon amb l’hora del servidor que es mostra a sota del formulari: una diferència de més de 30 segons impedeix la verificació.

Claus d’accés

Al quadre «Claus d’accés», feu clic a «Afegeix una clau d’accés»
Doneu un nom a la clau, per exemple «Telèfon» o «Clau de seguretat»
Feu clic a «Crea la clau d’accés» i seguiu les instruccions del navegador

Després, cada clau es pot canviar de nom o treure des de la mateixa pàgina.

Codis de recuperació

Els codis de recuperació només es mostren una vegada, quan es configura el primer segon factor. Cal guardar-los en un lloc segur, per exemple en un gestor de contrasenyes: els botons «Copia al porta-retalls» i «Baixa» en faciliten el desament.

Cada codi només serveix una vegada. El quadre «Codis de recuperació» indica el nombre de codis restants, i el botó «Genera codis nous» substitueix tots els codis existents.

Notificacions

Un correu electrònic avisa l’usuari quan s’afegeix o es treu un segon factor, quan es tornen a generar els seus codis de recuperació, quan s’utilitza un codi de recuperació o quan un administrador restableix els seus segons factors. L’enviament requereix un servidor SMTP configurat.

Iniciar la sessió

Després d’introduir la contrasenya, Cyberwatch demana el segon factor:

feu clic a «Utilitza una clau d’accés», si s’ha registrat una clau;
o introduïu el codi de l’aplicació d’autenticació;
o introduïu un dels codis de recuperació.

Després de cinc codis o claus rebutjats en 15 minuts, la introducció del segon factor queda bloquejada fins a 15 minuts per a aquest compte.

Inici de sessió sense contrasenya

Un usuari local que ha registrat una clau d’accés pot iniciar la sessió sense introduir el nom d’usuari ni la contrasenya, amb el botó «Inicia la sessió amb una clau d’accés» de la pàgina d’inici de sessió. El navegador també pot proposar la clau directament al camp del nom d’usuari.

Aleshores, la clau d’accés verifica la identitat de l’usuari per empremta digital, reconeixement facial o codi PIN, cosa que equival a una autenticació de dos factors.

Aquest inici de sessió no està disponible per als comptes LDAP, la contrasenya dels quals ha de verificar el directori a cada inici de sessió.

Fer obligatòria l’autenticació de dos factors

Per defecte, l’autenticació de dos factors és opcional. Per fer-la obligatòria:

Aneu al menú Administració > Proveïdors d’identitat > Configuració global
A la secció «Autenticació de dos factors», trieu el segon factor:
- «Opcional»: cada usuari decideix si configura un segon factor;
- «Obligatòria per als administradors»: els usuaris amb el rol Administrador n’han de configurar un;
- «Obligatòria per a tots els usuaris»: tots els comptes locals i LDAP n’han de configurar un.
Feu clic a «Desa»

Un usuari afectat que encara no té cap segon factor n’ha de configurar un en el seu proper inici de sessió, abans d’accedir a Cyberwatch. Les sessions que ja estan obertes no es tanquen.

Quan l’autenticació de dos factors és obligatòria, un usuari no pot treure el seu últim segon factor. En canvi, el pot substituir.

Abans de fer obligatòria l’autenticació de dos factors, es recomana que l’administrador configuri el seu propi segon factor. Un avís li ho recorda a la configuració global.

Seguir l’adopció

La columna «MFA» de la llista d’usuaris indica qui ha configurat un segon factor. Queda buida per als comptes SAML i OpenID Connect, així com per als comptes sense contrasenya.

L’atribut mfa_enabled de l’API /api/v3/users proporciona la mateixa informació.

Restablir els segons factors d’un usuari

Quan un usuari ha perdut el telèfon, les claus d’accés i els codis de recuperació, un administrador pot restablir-ne els segons factors:

Aneu al menú Administració > Usuaris
Obriu la fitxa de l’usuari
Al quadre «Autenticació de dos factors», feu clic a «Restableix» i confirmeu

Aleshores, l’usuari inicia la sessió només amb la contrasenya i configura un segon factor nou, durant l’inici de sessió si l’autenticació de dos factors és obligatòria. El restabliment queda registrat al registre d’accions i l’usuari en rep un avís per correu electrònic.

Un administrador no pot restablir els seus propis segons factors des de la interfície.