Multi-factor authentication (MFA) is a process by which, during a service session initiation (VPN, Microsoft 365, Teams, etc.), additional identification is requested by the user. For example, you can enter a code into your phone or approve it in a mobile app. To require a second form of authentication, security increases, because this additional factor is not easy to obtain or duplicate for an attacker.
For multi-factor authentication (MFA), we opted for a configuration with a double factor authentication (2FA).
To use multifactor authentication, it is necessary:
The double factor authentication is activated by fault for various colectivos, between which the ALUMNOS colectivo is displayed. |
It will be necessary to activate multifactor authentication on your intranet:
The first thing we need to configure is the authentication options available to us to allow second validation. To do this, please access the following links https://www.upv.es/id/373 and follow the following steps:
Introducing our new user: usuario@upv.edu.es
At this point, configure the options for validation. Of the available session initiation methods, the most recommended option is to use notifications in the mobile application , to make it more convenient and one of the most secure. This option requires installing an app on our new mobile phone, available for iOS and Android in the App Store and Google Play respectively: https://www.microsoft.com/es-es/security/mobile-authenticator-app
Please ensure that we have installed the authentic Microsoft application, there are applications with the same number and icons. The most secure format to download the authentic application is accessed via previous https://www.microsoft.com/es-es/security/mobile-authenticator-app , and scan the QR code that appears, where we will access the authentic application directly. |
At any time, you can access the configuration, add other validation alternatives or modify the current configuration, access via https://www.upv.es/id/373 |
Once you have activated multifactor authentication on the intranet and carried out the configuration steps, every session you initiate activates the mechanism to request the double factor, there is a notification in the Microsoft Authenticator app or a telephone call . To use the key only you must hold the key and press "#" |
En algunos dispositivos móviles, si en la configuración de la aplicación Microsoft Authenticator, está configurado el Bloqueo de aplicación (huella digital o pin), aunque se apruebe la notificación, da un error denegando el acceso. En tal caso, debemos desactivar el bloqueo de aplicación.
|
Este ejemplo, sería válido, tanto para el acceso a O365, como a cualquiera de sus aplicaciones, como Teams, OneDrive, etc.
Las capturas de pantalla para la conexión a la VPN, están tomadas desde un Windows 10.
Creamos la configuración VPN siguiendo la guía VPN en Windows10/11
En este caso, deberemos desactivar ese dispositivo cuanto antes para evitar que pueda ser utilizado por otra persona.
Para ello, hay que iniciar sesión utilizando un método alternativo (o validarlo con el móvil viejo en caso de cambio y si aún disponemos de él) y dirigirse a la página de configuración del MFA ( https://www.upv.es/id/373 ) para eliminar el dispositivo de la lista.
Si no fuera posible iniciar sesión, al no disponer de otro método alternativo, como pueda ser otro móvil o teléfono, podemos contactar con el CAU (https://cau.upv.es) para solicitar que nos restablezcan la configuración.
Cada dispositivo móvil donde hemos instalado el Microsoft Authenticator aparecerá en la página citada anteriormente, que en realidad, le redirigirá a la página web siguiente:
https://mysignins.microsoft.com/security-info
En este caso de ejemplo, el usuario tiene configurados dos móviles, por lo que en caso de pérdida de uno de ellos, puede utilizar el otro para autenticarse en los servicios de Microsoft.
Sin embargo, en la parte de bajo, vemos tres móviles registrados con los siguientes identificadores de modelo de móvil: M2101K6G, 23053RN02Y y SM-J415FN.
Es decir, que el usuario en algún momento instaló y configuró la app Microsoft Authenticator en tres móviles, aunque alguno de ellos haya sido destruido físicamente, o restablecido a valores de fábrica, o ya no lo tenga en propiedad.
Sería conveniente pulsar sobre el enlace "Eliminar" para anular el móvil que ya no se esté utilizando.
Si no sabemos cuál es, deberemos buscar (en los móviles que todavía utilizamos) el identificador del modelo del móvil, de modo que solo dejaremos activos los móviles de los que todavía disponemos y por lo tanto, el resto de identificadores podrán ser eliminados como dispositivos válidos de autenticación.
En el caso de Android 13, por ejemplo, podemos ver el modelo de móvil que tenemos desde:
Ajustes
Seleccionamos dentro de Ajustes la opción denominada: "Sobre el teléfono"
Elegimos "Información detallada y especificaciones"
Y accedemos a la información del modelo.
Los números utilizados por Microsoft para las llamadas de verificación pueden ser desconocidos o tener un formato poco habitual. Si estás iniciando sesión en un servicio que tiene configurada la verificación en dos pasos (2FA), una llamada de este tipo puede formar parte del proceso de autenticación. Si tienes dudas sobre la legitimidad de la llamada, no respondas y vuelve a iniciar sesión en el servicio. Si la llamada vuelve a recibirse coincidiendo con la nueva solicitud de acceso, podrás confirmar que forma parte del proceso de verificación. |
Si no recibes la llamada para completar la verificación en dos pasos, revisa la lista de números bloqueados de tu teléfono móvil.
En algunos casos, el número utilizado por Microsoft para realizar la llamada de autenticación ha sido bloqueado previamente por el propio usuario, creyendo que se trataba de una llamada de spam o fraudulenta, lo que impide que la llamada llegue al dispositivo.
Recomendación: Accede a la configuración de llamadas de tu teléfono y comprueba si el número que intenta realizar la verificación se encuentra en la lista de números bloqueados. Si es así, elimínalo de dicha lista y vuelve a solicitar la llamada de verificación.
Existe la posibilidad de configurar como método de autenticación, la extensión telefónica del trabajo. Para ello, seguimos los siguientes pasos:
