En OpenLMS podemos activar sencillamente la autenticación con múltiple factor. Esta autenticación es una medida de seguridad que requiere a los usuarios verificar su identidad utilizando dos o más factores (contraseña, huella dactilar, otro dispositivo)

Para activar MFA, accederemos a Administración del sitio > Extensiones > Herramientas de administración > Autenticación multifactor > Gestionar autenticación con múltiples factores (MFA). Se nos presentará una tabla con cada uno de los factores que podemos activar, un interruptor para hacerlo, un peso y su configuración.

Moodle tiene en esta página una serie de recomendaciones y configuraciones de ejemplo que pueden ayudarte a decidir cómo hacerlo.

Lo primero, debajo de la tabla encontrarás un check para habilitar este plugin.

Elige también el umbral de bloqueo (el número de veces que un usuario puede intentar logarse con MFA antes de que se bloquee la cuenta), y añade las urls que no redireccionan a MFA. Esto puede ser útil si quieres que los usuarios que se conecten desde el edificio de la institución no tengan que usar MFA mientras que los que estén en remoto sí tengan que hacerlo.

También puede añadir información de ayuda para los usuarios.

Gestionando los factores de autenticación

Volvamos ahora a la tabla. Ves el peso de cada uno de los factores? Este peso controla cuántos factores han de pasar los usuarios al logarse.

En la tabla verás que hay factores donde el usuario no ha de usar nada: por ejemplo, estar en un rango de IPs o el tipo de autenticación. Estos se gestionan primero, durante el proceso de login. Después se van evaluando uno a uno los demás factores, por orden de peso, hasta que el usuario alcance los 100 puntos requeridos (o todos fallen y se deniegue el acceso).

Eligiendo los factores de autenticación

Existen múltiples factores que podemos elegir. Aquí os listamos los más comunes:

• Correo. Este factor pide al usuario copiar un código temporal recibido por correo durante el login. Este código se genera automáticamente durante el proceso de login, enviándose al correo que esté registrado en el perfil del usuario que accede, y es válido por un tiempo personalizable.
• App de autenticación.  Este factor requiere que el usuario instale una aplicación de autenticación en un dispositivo móvil, y que la configure para usar este factor. La app generará un código temporal para el usuario. Este código hay que introducirlo en Open en el momento del login.
• Rango de IPs. Este factor revisa la IP desde la que se conecta el usuario para verificar la identidad del usuario que hace login. No requiere de más configuración que añadir el rango en la cajetilla de configuración. El usuario no necesitará hacer nada. Si la IP está contenida en el rango, el combo de login y pass será suficiente para acceder. Si está fuera del rango, se pedirá otro factor.
• Envío de SMS. Esta opción requiere que se reciba un código a través de mensajería SMS en el teléfono del usuario durante el proceso de login. Dicho código ha de introducirse junto con la contraseña para autenticarse.

También se pueden configurar factores que controlan o filtran quiénes han de logarse con MFA, como por ejemplo:

• No administradores.  Este factor requiere solo a los administradores tener MFA activado mientras que el resto de usuarios no lo necesitan. Simplemente otorga los puntos asociados a este factor a todos los usuarios que no son administradores.
• Tipo de autenticación. Este factor nos vale para que solo los usuarios que utilizan un cierto tipo de autenticación necesiten el doble factor. Por ejemplo, si un colectivo de usuarios utilizan logins internos mientras el resto utiliza un login via SAML, podríamos forzar MFA solo en los que utilizan estos logins internos (ya que SAML provee esta funcionalidad también).
• Rol. Permite que solo usuarios con ciertos roles accedan con doble factor, sin afectar al resto.
• Cohorte. Igual que con el resto, permite que seleccionemos cohortes a las que se fuerza el uso de MFA.

Otros factores permiten flexibilidad adicional, por ejemplo, dando oportunidad de marcar un dispositivo como confiable durante la autenticación. Esto permite que no se pida MFA durante un período de tiempo específico.

Ejemplos

Verificación por email:

• Activamos MFA
• Activamos el factor email con 100 puntos
• Activamos dispositivo confiable para permitir que se guarde dicho dispositivo durante un cierto tiempo.
• Informa a los usuarios.

Verificación por email o app de autenticación:

• Activamos MFA
• Activamos el factor email con 100 puntos
• Activamos período de gracia con 100 puntos también. Esto permite que los usuarios tengan un tiempo para configurar la app. Usa el banner de este modo para recordar a los usuarios que MFA pronto será obligatorio
• Activamos app de autenticación con 100 puntos
• Activamos dispositivo confiable 
• Informamos a los usuarios

Recomendaciones

Para crear una experiencia correcta para los usuarios, te recomendamos activar el período de gracia, si alguno de los factores que has configurado requiere configuración por parte de los usuarios, como app de autenticación. Esto les dará tiempo para configurar todo antes de que MFA sea obligatorio.

Si MFA es opcional, activa Sin otros factores. Los usuarios que no tengan otros factores pueden acceder usando solo su contraseña.

Usa rangos de ips si tus usuarios acceden mayormente desde la misma red, forzando solo el uso de MFA si se accede desde una red distinta (en casa, de viaje)