No OpenLMS, podemos ativar facilmente a autenticação multifator. Essa autenticação é uma medida de segurança que exige que os usuários verifiquem sua identidade usando dois ou mais fatores (senha, impressão digital, outro dispositivo)

Para ativar a MFA, acessaremos Administração do site > Extensões > Ferramentas de administração > Autenticação multifator > Gerenciar autenticação multifator (MFA). Será apresentada uma tabela com cada um dos fatores que podemos ativar, um interruptor para fazê-lo, um peso e sua configuração.

Moodle tem nesta página uma série de recomendações e configurações de exemplo que podem ajudar você a decidir como fazer isso.

Primeiro, abaixo da tabela você encontrará uma caixa de seleção para ativar este plugin.

Escolha também o limite de bloqueio (o número de vezes que um usuário pode tentar fazer login com MFA antes que a conta seja bloqueada) e adicione as URLs que não redirecionam para a MFA. Isso pode ser útil se você quiser que os usuários que se conectam do prédio da instituição não precisem usar MFA, enquanto os que estiverem remotamente precisem usá-la.

Você também pode adicionar informações de ajuda para os usuários.

Gerenciando os fatores de autenticação

Voltemos agora à tabela. Você vê o peso de cada um dos fatores? Esse peso controla quantos fatores os usuários precisam validar ao fazer login.

Na tabela, você verá que existem fatores nos quais o usuário não precisa fazer nada: por exemplo, estar em um intervalo de IPs ou o tipo de autenticação. Eles são processados primeiro, durante o processo de login. Depois, os demais fatores são avaliados um a um, em ordem de peso, até que o usuário alcance os 100 pontos necessários (ou todos falhem e o acesso seja negado).

Escolhendo os fatores de autenticação

Existem vários fatores que podemos escolher. Aqui listamos os mais comuns:

• E-mail. Este fator solicita que o usuário copie um código temporário recebido por e-mail durante o login. Esse código é gerado automaticamente durante o processo de login, enviado para o e-mail registrado no perfil do usuário que está acessando, e é válido por um período de tempo personalizável.
• Aplicativo de autenticação.  Este fator exige que o usuário instale um aplicativo de autenticação em um dispositivo móvel e o configure para usar este fator. O aplicativo gerará um código temporário para o usuário. Esse código deve ser inserido no Open no momento do login.
• Intervalo de IPs. Este fator verifica o IP a partir do qual o usuário se conecta para verificar a identidade do usuário que está fazendo login. Não requer nenhuma configuração além de adicionar o intervalo no campo de configuração. O usuário não precisará fazer nada. Se o IP estiver contido no intervalo, a combinação de login e senha será suficiente para acessar. Se estiver fora do intervalo, outro fator será solicitado.
• Envio de SMS. Esta opção exige que um código seja recebido por mensagem SMS no telefone do usuário durante o processo de login. Esse código deve ser inserido junto com a senha para autenticação.

Também é possível configurar fatores que controlam ou filtram quem precisa fazer login com MFA, como, por exemplo:

• Não administradores.  Este fator exige que apenas os administradores tenham a MFA ativada, enquanto os demais usuários não precisam dela. Ele simplesmente concede os pontos associados a este fator a todos os usuários que não são administradores.
• Tipo de autenticação. Este fator serve para que apenas os usuários que utilizam um determinado tipo de autenticação precisem da autenticação de dois fatores. Por exemplo, se um grupo de usuários utiliza logins internos enquanto o restante utiliza um login via SAML, poderíamos exigir MFA apenas daqueles que utilizam esses logins internos (já que o SAML também oferece essa funcionalidade).
• Função. Permite que apenas usuários com determinadas funções acessem com autenticação de dois fatores, sem afetar os demais.
• Coorte. Assim como os demais, permite selecionar coortes para as quais o uso de MFA será obrigatório.

Outros fatores oferecem flexibilidade adicional, por exemplo, dando a oportunidade de marcar um dispositivo como confiável durante a autenticação. Isso permite que a MFA não seja solicitada durante um período específico.

Exemplos

Verificação por e-mail:

• Ativamos a MFA
• Ativamos o fator e-mail com 100 pontos
• Ativamos o dispositivo confiável para permitir que esse dispositivo seja armazenado durante um determinado período.
• Informamos os usuários.

Verificação por e-mail ou aplicativo de autenticação:

• Ativamos a MFA
• Ativamos o fator e-mail com 100 pontos
• Ativamos o período de carência também com 100 pontos. Isso permite que os usuários tenham tempo para configurar o aplicativo. Use o banner dessa forma para lembrar os usuários de que a MFA em breve será obrigatória
• Ativamos o aplicativo de autenticação com 100 pontos
• Ativamos o dispositivo confiável 
• Informamos os usuários

Recomendações

Para criar uma experiência adequada para os usuários, recomendamos ativar o período de carência se algum dos fatores configurados exigir configuração por parte dos usuários, como o aplicativo de autenticação. Isso dará a eles tempo para configurar tudo antes que a MFA se torne obrigatória.

Se a MFA for opcional, ative Sem outros fatores. Os usuários que não tiverem outros fatores poderão acessar usando apenas a senha.

Use intervalos de IPs se seus usuários acessarem principalmente pela mesma rede, exigindo o uso de MFA apenas quando o acesso for feito de uma rede diferente (em casa, durante uma viagem)