¿Qué es la autenticación Multi-Factor (MFA o 2FA) de Microsoft 365?
La autenticación multifactor (MFA) es un proceso por el que, durante un inicio de sesión de un servicio (VPN, Microsoft 365, teams...), se solicita al usuario una identificación adicional. Por ejemplo, se le puede pedir que introduzca un código enviado a su teléfono o que dé su aprobación en una app del móvil. Al exigir una segunda forma de autenticación, se aumenta la seguridad, porque este factor adicional no es fácil de obtener o duplicar para un atacante.
Dentro de la autenticación multifactor (MFA), hemos optado por una configuración con un doble factor de autenticación (2FA).
¿Qué se necesita para su funcionamiento?
Para poder usar la autenticación multifactor, se necesita:
- Activar la autenticación multifactor.
- Configurar los métodos de autenticación que permitirán una segunda validación en otro dispositivo.
- Un dispositivo móvil donde realizar dicha validación.
- OPCIÓN RECOMENDADA: La opción recomendada por su comodidad, es la instalación en el móvil de la app Microsoft Authenticator. Además, se recomienda añadir como método alternativo la llamada telefónica.
¿Cómo activar la autenticación Multi-factor?
La activación de esta medida es por ahora voluntaria, pero próximamente se requerirá para el acceso a determinados servicios. Un ejemplo de ello es el servicio VPN de la UPV, que a partir de agosto de 2022 requerirá del 2FA para poder conectarse. Si usted no utiliza el servicio VPN puede posponerlo para más adelante.
Caso de usar la VPN, será necesario activar la autenticación multifactor desde su intranet:
¿Cómo configurar la autenticación Multi-Factor?
Lo primero que debemos configurar, son las opciones de autenticación que vamos a usar, para permitirnos la segunda validación. Para ello, debemos acceder al siguiente enlace https://www.upv.es/id/373 y seguir los pasos siguientes:
- Introducimos nuestro usuario: usuario@upv.edu.es
- Nos aparecerá una ventana, que nos redirigirá a la nuestra intranet para identificarnos.
- Nos identificamos en la intranet con nuestras credenciales
- Podemos seleccionar que mantenga la sesión iniciada.
- Pulsamos en siguiente
En este punto, configuramos las opciones para la validación. De entre los métodos de inicio de sesión disponibles, la opción más recomendable es utilizar notificaciones en la Aplicación móvil, por ser el más cómodo y uno de los más seguros. Esta opción requiere instalar una app en nuestro teléfono móvil, disponible para iOS y Android en el App Store y Google Play respectivamente: https://www.microsoft.com/es-es/security/mobile-authenticator-app
Hay que asegurarse que estamos instalando la aplicación auténtica de microsoft, ya que hay aplicaciones con nombre e icono parecido. Accediendo al enlace anterior https://www.microsoft.com/es-es/security/mobile-authenticator-app, podemos escanear el código QR que aparece y nos llevará a la aplicación auténtica directamente.
- Antes de seguir, si nos hemos decantado por la opción recomendada anterior, seleccionando "aplicación móvil" y "Recibir notificaciones para verificación", debemos instalar la aplicación Microsoft Authenticator en el móvil, si es que no la tenemos ya instalada.
https://www.microsoft.com/es-es/security/mobile-authenticator-app - Una vez instalada la aplicación, ya podemos continuar, pulsando en el botón de configurar, para desde el móvil y abriendo la app Microsoft Authenticator, configurar la cuenta para recibir las notificaciones.
- Al pulsar configurar, en el paso anterior, nos saldrá un código QR, necesario para escanear en un paso posterior desde la aplicación del móvil Microsoft Authenticator.
- Tras instalar la aplicación en el móvil (si no la teníamos instalada ya), deberemos configurar nuestra cuenta.
Podemos usar el escaneo de código QR del propio dispositivo, y en ese caso, podemos saltar directamente al punto 11, sin necesidad de realizar los pasos del punto 10. ya que la cuenta quedará configurada directamente.
Si no usamos el escaneado de códigos QR del propio dispositivo, debemos seguir los siguientes pasos:- Abrimos la app.
- Pulsamos en el menú "Agregar cuenta"
- Elegimos "Cuenta profesional o educativa".
- Seleccionamos la opción de escanear un código QR y enfocar la cámara al de la pantalla.
- Abrimos la app.
- Si todo funciona correctamente, la cuenta quedará registrada en la app de nuestro móvil, que nos solicitará aprobaciones mediante una notificación en pantalla cada vez que queramos iniciar sesión.
- Una vez agregada la cuenta en la app Microsoft Authenticator, podemos continuar en el equipo para añadir una validación alternativa en caso de perder el acceso a la aplicación móvil.
NOTA
En cualquier momento, podemos acceder a la configuración, para añadir otras alternativas de validación o modificar la configuración actual, accediendo al enlace https://www.upv.es/id/373
¿Cómo iniciar sesión en uno de los servicios disponibles (teams, o365...) con doble factor?
Una vez activada la autenticación de multifactor en la intranet y realizado los pasos de configuración, cualquier inicio de sesión activará el mecanismo para solicitar el doble factor, ya sea mediante una notificación en la app o mediante una llamada telefónica.
En algunos dispositivos móviles, si en la configuración de la aplicación Microsoft Authenticator, está configurado el Bloqueo de aplicación (huella digital o pin), aunque se apruebe la notificación, da un error denegando el acceso. En tal caso, debemos desactivar el bloqueo de aplicación.
- Accedemos a la configuración de la aplicación Microsoft Authenticator
- Desactivamos el bloqueo de la aplicación y volvemos a probar.
Ejemplo de acceso a la página web de Office 365
Este ejemplo, sería válido, tanto para el acceso a O365, como a cualquiera de sus aplicaciones, como Teams, OneDrive, etc.
- Accedemos la web o365.upv.es
- Nos identificamos con nuestras credenciales de la UPV.
- Nos aparecerá un mensaje como el siguiente:
- En este caso, la opción preferida es la de la app Microsoft Authenticator, pero si no la tuviéramos disponible en ese momento, podríamos cambiar a otro método de los que hemos configurado pulsando en el enlace que se muestra en pantalla.
- Manteniendo la opción (recomendada) de "aprobar una solicitud en la aplicación Microsoft Authenticator", veremos que, en el móvil, recibiremos una notificación que deberemos aprobar.
- Si no pulsamos en el momento, podemos acceder a notificaciones y desplegar la notificación para aprobarla.
Ejemplo de conexión a la VPN
Las capturas de pantalla para la conexión a la VPN, están tomadas desde un Windows 10.
- Nos conectamos a la VPN
- Introducimos las credenciales de upvnet (usuario@upvnet.upv.es en caso de dominio UPVNET o usuario@alumno.upv.es en caso de ser del dominio ALUMNO)
- Una vez introducidas las credenciales, indicará "comprobación de la información de inicio", y estará pendiente de aprobar la solicitud en el dispositivo móvil.
- Manteniendo la opción (recomendada) de "aprobar una solicitud en la aplicación Microsoft Authenticator", veremos que en el móvil, recibiremos una notificación que deberemos aprobar.
- Si no pulsamos en el momento, podemos acceder a notificaciones y desplegar la notificación para aprobarla.
- Una vez aprobada la notificación en el dispositivo móvil, veremos que la VPN se ha conectado.
¿Qué ocurre si perdemos o nos roban un dispositivo en el que tenemos configurada la app Microsoft Authenticator?
En este caso, deberemos desactivar ese dispositivo cuanto antes para evitar que pueda ser utilizado por otra persona. Para ello, hay que iniciar sesión utilizando un método alternativo y dirigirse a la página de configuración del MFA ( https://www.upv.es/id/373 ) para eliminar el dispositivo de la lista. Si no fuera posible iniciar sesión, podemos contactar con el CAU para solicitar que nos restablezcan la configuración.