MFA - řešení problémů

1. Klíč webauthn neuložen do Windows

Popis:

V jednom prohlížeči se uživatel ověří přes nastavený token webauthn (Windows hello), v jiném ne. V druhém prohlížeči se zobrazuje jen možnost ověření přes USB klíč.

Příčina:

V prohlížeči chrome, kde byl uživatel přihlášený ve svém google účtu, bylo uživateli nabídnuto uložení webauth klíče do úložiště Správce hesel Google. Místo uložení do Windows, vybral uživatel tuto variantu.

Náprava:

Uživatel ve své administraci mfa.ujep.cz tento klíč smaže. Vytvoří si nový a uloží ho do Windows Hello / Toto zařízení s Windows.

2. Mnoho klíčů ve Windows

Popis:

I při nastaveném tokenu webauthn (Windows Hello) se uživateli zobrazuje jen možnost ověření přes USB klíč.

Příčina:

Uživatel při pokuseh o nastavení tokenů vytvořil mnoho podobných webauthn klíčů (např. PC work 3, PC work 4, PC work 5). Po jejich smazání ze své administrace mfa.ujep.cz mu zůstaly tyto klíče uložené v samotném operačním systému.

Při ověření OS Windows tak nabídl jeden z klíčů, ale ten se neshodoval s aktuálním, který uživatel ponechal ve své mfa administraci.

Náprava:

Uživatel na svém PC smaže webauthn klíče a vytvoří nový.

Windows bohužel neumožňuje jakékoliv rozlišení mezi stejnými klíči (datum, popis, poznámka, ...). Je tak nutné odtranit všechny klíče související s MFA na UJEP. Ve Windows jsou klíče uložené v Nastavení - Účty - Klíče.

Poté si uživatel v MFA administraci vytvoří token nový.

Dle obrázku se odstraní v MFA administraci všechny tokeny PC work XX. Ve Windows jen ty s názvem ujep.cz.

3. Nelze přidat webauthn token na mobilním telefonu

Popis:

Při vytváření tokenu webauthn na telefonu se nepodaří dokončit proces přidávání tokenu.

Příčina:

Starší verze operačnícho systému nepodporuje oveření např. pomocí otisku, pinu, hesla, gesta.

Náprava:

Bohužel je nutné použít jinou metodu - např. používání časově omezeného klíče - TOTP.

4. Nelze dokončit registraci TOTP - časová synchronizace

Při vytváření TOTP tokenu se nepodaří dokončit poslední krok po zaregistrování tokenu - oveření zadáním jednorázového kódu.

Příčina:

Není nastavená časová synchronizace operačního systému, nebo nefunguje správně.

Náprava:

Oveřit si dostupnost serveru pro časovou synchronizaci, popř. nainstalovat a nakonfigurovat službu časové synchronizace (NTP).