Configurar la autenticación multifactor - Borrador

¿Qué es la autenticación Multi-Factor (MFA) de Microsoft 365?

La autenticación multifactor (MFA) es un proceso por el que, durante un inicio de sesión de un servicio (VPN, Microsoft 365, teams... ), se solicita al un usuario una identificación adicional. Por ejemplo, se le puede pedir que introduzca un código enviado a su teléfono o que dé su aprobación en una app del móvil. Al exigir una segunda forma de autenticación, se aumenta la seguridad, porque este factor adicional no es fácil de obtener o duplicar para un atacante.

¿Qué se necesita para su funcionamiento?

Para poder usar la autenticación multifactor, se necesita:

1. Configurar las opciones de autenticación que permitirán una segunda validación en otro dispositivo.
2. Un dispositivo móvil donde realizar dicha validación.
3. OPCIÓN RECOMENDADA. Además del dispositivo móvil, anunque es opcional, la opción recomendada por su comodidad, es la instalación en el móvil de la app Microsoft Authenticator.

¿Cómo configurar la autenticación Multi-Factor?

Lo primero que debemos configurar, son las opciones de autenticación que vamos a usar, para permitirnos la segunda validación. Para ello, debemos acceder al siguiente enlace https://www.upv.es/id/373 y seguir los pasos siguientes:

1. Introducimos nuestro usuario: usuario@upv.edu.es
   
   
   
   
   
2. Nos aparecerá una ventana, que nos redirigirá a la nuestra intranet para identificarnos.
   
   
   
   
3. Nos identificamos en la intranet con nuestras credenciales
   
   
   
   
   
4. Podemos seleccionar que mantenga la sesión iniciada.
   
   
   
   
   
5. Pulsamos en siguiente
   
   
6. En este punto, configuramos las opciones para la validación. De entre los métodos de inicio de sesión disponibles, la opción más recomendable es utilizar notificaciones en la Aplicación móvil, por ser el más cómodo y uno de los más seguros. Esta opción requiere instalar una app en nuestro teléfono móvil, disponible para iOS y Android en el App Store y Google Play respectivamente: https://www.microsoft.com/es-es/security/mobile-authenticator-app
   
   
   
   
   
7. Antes de seguir, si nos hemos decantado por la opción recomendada anterior, sleccionando "aplicación móvil" y "Recibir notificaciones para verificación", debemos instalar la aplicación Microsoft Authenticator en el móvil, si es que no la tenemos ya instalada.
   https://www.microsoft.com/es-es/security/mobile-authenticator-app
   
   
   
   
8. Una vez instalada la aplicación, ya podemos continuar, pulsando en el botón de configurar, para desde el móvil y abriendo la app Microsoft Authenticator, configurar la cuenta para recibir las notificaciones.
   
   
   
   
   
9. Al pulsar configurar, en el paso anterior, nos saldrá un código QR, necesario para escanear en un paso posterior desde la aplicación del móvil Microsoft Authenticator.
   
   
10. Tras instalar la aplicación en el móvil (si no la teníamos instalada ya), deberemos configurar nuestra cuenta. Para ello:
    1. Abrir la app, pulsar en el menú "Agregar cuenta" y luego elegir "Cuenta profesional o educativa".
       
       
       
    2. Elegir la opción de escanear un código QR y enfocar la cámara al de la pantalla.
       
       
       
    3. Si todo funciona correctamente, la cuenta quedará registrada en la app de nuestro móvil, que nos solicitará aprobaciones mediante una notificación en pantalla cada vez que queramos iniciar sesión.

• Desde el portal de Office 365, editando las propiedades de la cuenta, en el apartado "Información de seguridad"

Si elegimos la primera opción, la primera vez nos aparecerá un asistente que nos guiará paso a paso para configurar el método de autenticación preferido.

De entre los métodos de inicio de sesión disponibles, la opción más recomendable es utilizar notificaciones en la Aplicación móvil, por ser el más cómodo y uno de los más seguros. Esta opción requiere instalar una app en nuestro teléfono móvil, Microsoft Authenticator, disponible para iOS y Android en el App Store y Google Play respectivamente:
https://www.microsoft.com/es-es/security/mobile-authenticator-app

Para utilizar este método como predeterminado, seleccionarlo en la lista y pulsar sobre "Configurar" hasta que nos aparezca en pantalla un código QR.

Tras instalar la aplicación en el móvil, deberemos configurar nuestra cuenta. Para ello:

• Abrir la app, pulsar en el menú "Agregar cuenta" y luego elegir "Cuenta profesional o educativa".
• Elegir la opción de escanear un código QR y enfocar la cámara al de la pantalla.
• Si todo funciona correctamente, la cuenta quedará registrada en la app de nuestro móvil, que nos solicitará aprobaciones mediante una notificación en pantalla cada vez que queramos iniciar sesión.

Es recomendable configurar algún otro método alternativo adicional. La llamada de teléfono también es una opción muy compatible porque permite hacer la aprobación sin necesidad de escribir códigos. Para añadir otras alternativas o modificar la configuración, podemos volver a la página de configuración https://aka.ms/mfasetup

Desde las propiedades de la cuenta en el portal de Office 365, la configuración sería equivalente. En este caso, pulsaríamos sobre "Agregar método de inicio de sesión" y luego elegiríamos la opción "Aplicación de autenticación" de la lista:

Instalaríamos la app Microsoft Authenticator en nuestro móvil y pulsaríamos "Siguiente" en el asistente hasta ver un código QR en pantalla

Por último, desde el móvil, añadiríamos la cuenta a la app seleccionando una cuenta profesional o educativa y escaneando el código QR.

¿Cómo iniciar sesión en Microsoft 365 con doble factor?

Para que se nos exija el doble factor al iniciar sesión, los administradores deben haber aplicado una directiva de seguridad a nuestra cuenta  o a toda la organización que establezca este requisito. Una vez hecho esto, cualquier inicio de sesión activará el mecanismo para solicitar el doble factor, ya sea mediante una notificación en la app o mediante una llamada telefónica.

Si accedemos a la página web de Office 365, por ejemplo, el mensaje que veríamos sería el siguiente:

En este caso, la opción preferida es la de la app Microsoft Authenticator, pero si no la tuviéramos disponible en ese momento, podríamos cambiar a otro método de los que hemos configurado pulsando en el enlace que se muestra en pantalla.

¿Qué ocurre si perdemos o nos roban un dispositivo en el que tenemos configurada la app Microsoft Authenticator?

En este caso, deberemos desactivar ese dispositivo cuanto antes para evitar que pueda ser utilizado por otra persona. Para ello, hay que iniciar sesión utilizando un método alternativo y dirigirse a la página de configuración del MFA ( https://aka.ms/mfasetup ) para eliminar el dispositivo de la lista. Si no fuera posible iniciar sesión, podemos contactar con el CAU para solicitar que nos restablezcan la configuración.