MFA - řešení problémů

1. Klíč webauthn neuložen do Windows

Popis:

V jednom prohlížeči se uživatel ověří přes nastavený token webauthn (Windows hello), v jiném ne. V druhém prohlížeči se zobrazuje jen možnost ověření přes USB klíč.

Příčina:

V prohlížeči chrome, kde byl uživatel přihlášený ve svém google účtu, bylo uživateli nabídnuto uložení webauth klíče do úložiště Správce hesel Google. Místo uložení do Windows, vybral uživatel tuto variantu.

Náprava:

Uživatel ve své administraci mfa.ujep.cz tento klíč smaže. Vytvoří si nový a uloží ho do Windows Hello / Toto zařízení s Windows.

2. Mnoho klíčů ve Windows

Popis:

I při nastaveném tokenu webauthn (Windows Hello) se uživateli zobrazuje jen možnost ověření přes USB klíč.

Příčina:

Uživatel při pokuseh o nastavení tokenů vytvořil mnoho podobných webauthn klíčů (např. PC work 3, PC work 4, PC work 5). Po jejich smazání ze své administrace mfa.ujep.cz mu zůstaly tyto klíče uložené v samotném operačním systému.

Při ověření OS Windows tak nabídl jeden z klíčů, ale ten se neshodoval s aktuálním, který uživatel ponechal ve své mfa administraci.

Náprava:

Uživatel na svém PC smaže webauthn klíče a vytvoří nový.

Windows bohužel neumožňuje jakékoliv rozlišení mezi stejnými klíči (datum, popis, poznámka, ...). Je tak nutné odtranit všechny klíče související s MFA na UJEP. Ve Windows jsou klíče uložené v Nastavení - Účty - Klíče.

Poté si uživatel v MFA administraci vytvoří token nový.

Dle obrázku se odstraní v MFA administraci všechny tokeny PC work XX. Ve Windows jen ty s názvem ujep.cz.

3. Nelze přidat webauthn token na mobilním telefonu

Popis:

Při vytváření tokenu webauthn na telefonu se nepodaří dokončit proces přidávání tokenu.

Příčina:

Starší verze operačnícho systému nepodporuje oveření např. pomocí otisku, pinu, hesla, gesta.

Náprava:

Bohužel je nutné použít jinou metodu - např. používání časově omezeného klíče - TOTP.

4. Nelze dokončit registraci TOTP - časová synchronizace

Při vytváření TOTP tokenu se nepodaří dokončit poslední krok po zaregistrování tokenu - oveření zadáním jednorázového kódu.

Příčina:

Není nastavená časová synchronizace operačního systému, nebo nefunguje správně. Zkrátka čas v počítači bude např. o 5 minut jiný, než čas ve Vašem mobilním telefonu.

Náprava:

Oveřit si dostupnost serveru pro časovou synchronizaci, popř. nainstalovat a nakonfigurovat službu časové synchronizace (NTP).

5. Chyba Neošetřená výjimka / Prošlá žádost

Popis:

Po nastavení tokenů se při přihlášení na stránky vyžadující MFA vyskytne chyba Neošetřená výjimka nebo Prošlá žádost z následujícího obrázku.

Příčina:

Zaseknutá relace v prohlížeči. Prohlížeč se pokouší obnovit již ukončený autentizační tok z předchozího neúspěšného pokusu o přihlášení. Agressivní powersaving mod uspí prohlížeč po dobu práce s aplikací eduMFA.

Náprava:

V nastavení telefonu vypnout metody šetření baterie - Stamina režim, Noční režim.

Další možnost opravy:

Nainstalovat jiný prohlížeč a provést MFA ověření v něm. Nastavit si i jinou metodu ověření - např. WebAuth.

Další možnost opravy:

Ukončit běžící prohlížeč - v Androidu otevřít seznam běžících aplikací (tři tlačítka - čtvereček/gestem potáhnutím prstem od spodního okraje a podržením) a potáhnutím za příslušnou miniaturu dát prohlížeč pryč.

Spusit prohlížeč znovu a zahajit přihlášení.

Po zobrazení výzvy z eduMFA potvrdit ověření v aplikaci bez přepínání do hlavní obrazovky telefonu. Po úspěšném potvrzení přepnout zpět na prohlížeč pomocí stejného seznamu běžících aplikací (klepnout na jeho miniaturu).

Prohlížeč by se měl otevřít na stránce přihlášení a pokračovat bez chyby. Pokud se místo obsahu zobrazí prázdná stránka s "mračící" ikonou, obnovit stránku (pull to refresh).

Klíčové je nekončit aplikaci eduMFA ani nepřecházet na domovskou obrazovku před tím, než se uživatel vrátí do prohlížeče.

Další možnost opravy:

Uživatel na svém mobilu smaže v prohlížeči cookies (prohlížeč > ... > Smazat údaje o prohlížení > Čas: Týden > Vymazat Data). Dále doporučujeme aktualizaci prohlížeče a samotného operačního systému telefonu s následným restartem telefon.

Popř. uživatel použije jiný prohlížeč nebo anonymní okno stávajícího prohlížeče.

6. Rozhraní mfa.ujep.cz nereaguje

Při administraci tokenů přestane stránka mfa.ujep.cz reagovat a vpravo nahoře pod uživatelským jménem vyskočí růžový rámeček s chybou.

Příčina:

Po delší časové odmlce byl užvatel z administrace mfa odhlášen.

Náprava:

Uživatel se znovu přihlásí do aplikace mfa.ujep.cz.