Dvoufaktorové a vícefaktorové ověření patří mezi nejúčinnější způsoby, jak ochránit online účty před zneužitím. Přidávají totiž další vrstvu zabezpečení nad rámec samotného hesla, které lze uhodnout, prolomit nebo získat při úniku dat. V článku si vysvětlíme, jak oba způsoby ověření fungují, jaký je mezi nimi rozdíl a proč by měly být samozřejmostí při používání e-mailu, internetového bankovnictví i dalších online služeb.

Autentizace vs autorizace

Nejprve je třeba ujasnit rozdíl mezi dvěma pojmy, které se často mylně zaměňují, a to autentizací a autorizací. Přestože se často používají společně, ve skutečnosti označují dvě odlišné fáze zabezpečení přístupu k účtu.

• Autentizace (authentication)
  Označuje proces, který slouží k ověření identity uživatele. V praxi tedy při ní jde o to prokázat, že jste skutečně tím, za koho se vydáváte, a do přihlašovaného účtu máte legitimní přístup. Autentizace nejčastěji probíhá zadáním uživatelského jména a hesla, ale může zahrnovat také jednorázový kód, biometrické ověření nebo bezpečnostní klíč.
• Autorizace (authorization)
  ​Teprve po úspěšné autentizaci nastupuje autorizace. Je to proces, který ověřuje, co z přihlášeného účtu smíte dělat a zda máte oprávnění provést určitou akci. Jednoduše řečeno systém už ví, kdo jste, a nyní hodnotí, k čemu vás pustí.

Jako příklad může posloužit firemní informační systém. Zaměstnanec se nejprve přihlásí pomocí svých přihlašovacích údajů a tím proběhne autentizace. Poté systém podle jeho role rozhodne, zda může pouze zobrazovat data, upravovat je nebo spravovat uživatelské účty. To už je autorizace. V následujícím článku se tedy budeme věnovat zejména autentizaci.

Proč samotné heslo nestačí

Heslo bylo dlouhá léta základním prostředkem pro ověření identity uživatelů. Přestože se požadavky na jeho složitost postupně zpřísňovaly, samotné heslo dnes již nepředstavuje dostatečnou ochranu firemních účtů. Důvod je jednoduchý. Útočníci se stále častěji snaží spíše než hesla prolomit, je získat jinými způsoby (například prostřednictvím phishingu a následné instalace malwaru či spywaru do uživatelova zařízení).

Tento postup je mezi nimi velmi oblíbený – podle pravidelně vydávané studie Verizon Data  Breach Investigations Report z roku 2024 se odcizené přihlašovací údaje objevily přibližně u 31 % všech analyzovaných bezpečnostních incidentů za posledních 10 let. To z kompromitace hesel činí jeden z nejčastějších způsobů, kterými začíná kybernetický útok na firemní systémy.

Pokud se totiž k heslu útočník skutečně dostane, většina systémů jej bez dalšího ověřování považuje za legitimního uživatele. V současnosti se k získání hesel používají nejčastěji následující metody.

Phishing

Phishing je technika sociálního inženýrství, při které se útočník snaží uživatele přimět, aby své přihlašovací údaje zadal na podvržené stránce nebo je poskytl jinou cestou. Nejčastěji se jedná o e-mail nebo SMS (tzv. smishing), ale může mít také podobu např. telefonního hovoru (vishing). Po kliknutí na podvržený odkaz se uživatel dostane na věrnou kopii přihlašovací stránky, kde nevědomky odevzdá své přihlašovací údaje přímo útočníkovi. Při absenci dalšího faktoru ověření identity už pak útočníkovi v přístupu do účtu nic nebrání.

Credential stuffing

Credential stuffing využívá skutečnosti, že mnoho lidí používá stejné heslo pro více různých služeb. Pokud dojde k úniku přihlašovacích údajů z jedné služby, útočníci je pak mohou automatizovaně zkoušet také u dalších systémů, například u firemního e-mailu, VPN nebo cloudových aplikací. Stačí, aby zaměstnanec použil stejné heslo na soukromém e-shopu i ve firemním účtu, a kompromitace jedné služby může ohrozit i firemní prostředí či vyústit v průmyslovou špionáž. V případě použití druhého ověřovacího faktoru se toto riziko výrazně minimalizuje.

Brute force

Brute force představuje automatizovaný útok, při kterém se útočník snaží s pomocí počítače uhodnout heslo postupným zkoušením velkého množství kombinací. Moderní systémy sice obvykle omezují počet neúspěšných pokusů o přihlášení nebo dočasně blokují účet, přesto se s těmito útoky stále můžete setkat. Riziko výrazně roste také v případě slabých nebo často používaných hesel. 

Úniky databází

K únikům databází dochází při napadení internetových služeb, e-shopů nebo jiných systémů, které uchovávají uživatelské účty. Pokud útočníci získají databázi s přihlašovacími údaji, mohou je následně využít při dalších útocích. I když jsou hesla správně uložena v zašifrované podobě, slabá hesla lze často prolomit během relativně krátké doby. Pokud navíc uživatel stejné heslo používá i jinde, dopady úniku se mohou rychle rozšířit i na další účty.

dvoufaktorové vs vícefaktorové 

Nyní už víme, že heslo samo o sobě nepředstavuje dostatečnou ochranu uživatelských účtů. Aktuálně nejlepším řešením je proto přidání další vrstvy zabezpečení v podobě 1 nebo více dalších autentizačních faktorů.

Dvoufaktorové ověření

Tento bezpečnostní mechanismus, někdy označovaný též jako dvoufázové ověření či dvoufaktorová autentizace (anglicky 2FA authentication), je způsob ověření identity, při kterém musí uživatel při přihlášení prokázat svou totožnost pomocí 2 různých typů autentizačních faktorů. Nestačí tedy pouze znát správné heslo. Kromě něj je potřeba například zadat jednorázový kód z mobilní aplikace nebo potvrdit přihlášení na důvěryhodném zařízení.

Vícefaktorové ověření

Vícefaktorová autentizace (MFA – multi factor authentication) funguje na stejném principu. Rozdíl spočívá v tom, že namísto 2 faktorů využívá 2 nebo více různých typů autentizačních faktorů. V praxi se proto pojem MFA často používá jako zastřešující označení pro všechny způsoby přihlašování, které kombinují více než jeden autentizační faktor (tedy včetně dvoufaktorového ověření).

Je ale důležité si uvědomit, že nejde o počet ověřovacích metod, ale o počet různých typů autentizačních faktorů. Pokud se například přihlásíte pomocí hesla a následně zadáte jednorázový kód zaslaný e-mailem, stále používáte pouze jeden typ faktoru. Skutečné dvoufaktorové ověření vzniká až tehdy, když zkombinujete 2 odlišné typy faktorů, například heslo a mobilní telefon nebo bezpečnostní klíč.

Základní typy autentizačních faktorů

Autentizační faktory můžeme rozdělit do 3 základních kategorií.

• Něco, co znáte (knowledge factor)
  Jde o informace, které zná pouze oprávněný uživatel. Nejčastěji se jedná o heslo, PIN nebo odpověď na bezpečnostní otázku. Tento typ faktoru je nejrozšířenější, ale sám o sobě je zranitelný.
• Něco, co vlastníte (possession factor)
  Druhý faktor představuje fyzický předmět nebo zařízení, které má uživatel u sebe. Může jít například o mobilní telefon s autentizační aplikací, hardwarový bezpečnostní klíč, čipovou kartu nebo jednorázový kód zaslaný prostřednictvím SMS. Útočník by tak pro přístup k účtu kromě znalosti hesla potřeboval získat i konkrétní zařízení, což jeho situaci výrazně komplikuje.
• Něco, čím jste (inherence factor)
  ​​Třetí skupinu tvoří biometrické údaje, tedy jedinečné fyzické nebo behaviorální vlastnosti uživatele. Patří sem například otisk prstu, rozpoznání obličeje, sken duhovky nebo hlasová biometrie. Tyto metody se stále častěji využívají zejména u mobilních zařízení a moderních systémů pro správu identit.

Limity vícefaktorového ověření

Jak už jsme si řekli, dvoufaktorové a vícefaktorové ověření významně zvyšují bezpečnost uživatelských účtů. Neznamená to však, že jsou všechny metody MFA stejně bezpečné nebo že dokáží zastavit každý typ útoku. 

V zásadě účinně omezují hlavně rizika spojená s útoky popsanými výše, a to zejména phishingem, credential stuffingem, brute force útoky a úniky databází. Existují ale i takové typy útoků, které umí vícefaktorové ověření účinně obejít. Mezi ty nejnebezpečnější patří například následující.

MFA fatigue

Útok typu MFA fatigue se snaží zneužít push notifikace. Útočník, který již zná uživatelovo heslo, opakovaně vyvolává žádosti o schválení přihlášení. Pokud uživatel notifikaci bezmyšlenkovitě potvrdí nebo podlehne dojmu, že jde o technickou chybu, útočník získá přístup k účtu. Tento typ útoku proto ukazuje, že ani vícefaktorové ověření nemůže nahradit přirozenou obezřetnost uživatele.

SIM swap

Při útoku typu SIM swap útočník přiměje mobilního operátora k převodu telefonního čísla na novou SIM kartu, kterou má pod svou kontrolou. Pokud organizace používá SMS jako druhý ověřovací faktor, začne jednorázové kódy přijímat útočník místo oprávněného uživatele. Právě proto jsou SMS kódy dnes považovány za méně bezpečnou metodu ověření než autentizační aplikace nebo bezpečnostní klíče.

Man-in-the-middle

Tato technika spočívá v tom, že útočník vytvoří prostředníka mezi uživatelem a skutečnou přihlašovací službou. Uživatel zadává své údaje i ověřovací kód na podvržené stránce, která je v reálném čase předává skutečné službě. Některé starší metody MFA, například jednorázové kódy, tak mohou být za určitých okolností obejity. Výrazně vyšší odolnost proti těmto útokům poskytují moderní standardy, jako jsou bezpečnostní klíče FIDO2 nebo passkeys.

Sociální inženýrství vůči IT podpoře

Ani nejlepší technické zabezpečení nepomůže, pokud útočník přesvědčí pracovníka IT podpory nebo helpdesku, aby mu přístup obnovil nebo resetoval ověřovací metody. Útočníci často využívají naléhavé situace, vydávají se za zaměstnance nebo vedení společnosti a snaží se obejít zavedené bezpečnostní postupy. Proto by součástí ochrany měla být nejen vícefaktorová autentizace, ale také jasně nastavené procesy ověřování identity při komunikaci s IT podporou.​​

Metody dvoufaktorového a vícefaktorového ověření

Vícefaktorové ověření můžete v praxi implementovat několika různými způsoby. Jednotlivé metody se liší úrovní zabezpečení, uživatelským komfortem i náklady na zavedení. Neexistuje proto univerzálně nejlepší řešení. Vhodná metoda vždy závisí na konkrétním způsobu použití a úrovni požadovaného zabezpečení.

SMS kódy

Jednou z nejstarších, ale stále velmi rozšířených metod, je zasílání jednorázových ověřovacích kódů prostřednictvím SMS. Po zadání správného hesla systém odešle na registrované telefonní číslo krátký číselný kód, který uživatel zadá při dokončení přihlášení.

​Výhodou této metody je jednoduché nasazení a skutečnost, že nevyžaduje instalaci žádné další aplikace. Na druhou stranu je dnes považována za jednu z méně bezpečných forem vícefaktorového ověření. Je zranitelná například vůči útokům typu SIM swap a závisí na dostupnosti mobilní sítě. V současnosti se proto doporučuje spíše jako minimální úroveň ochrany než jako dlouhodobé řešení.

Výhody

• Jednoduché použití
• Bez nutnosti instalace aplikace
• Podporováno většinou online služeb

Nevýhody

• Nižší úroveň zabezpečení
• Zranitelnost vůči SIM swap útokům
• Závislost na mobilním signálu

TOTP autentizační aplikace

Time-based One Time Password (neboli TOTP) jsou autentizační aplikace jako Google Authenticator, Microsoft Authenticator nebo Authy, které generují jednorázové časově omezené kódy přímo v mobilním zařízení. Tyto kódy se mění zpravidla každých 30 sekund a fungují i bez připojení k internetu.

Ve srovnání se SMS představují výrazně bezpečnější přístup. Nevýhodou ale může být nutnost zálohování nebo přenosu účtů při výměně telefonu. Přesto dnes patří mezi nejčastěji doporučované metody vícefaktorového ověřování.

Výhody

• Vyšší bezpečnost ve srovnání se SMS
• Funkční bez internetu a mobilního signálu
• Široká podpora napříč službami

Nevýhody

• Nutnost bezpečně zálohovat aplikaci
• Komplikovanější obnova při ztrátě telefonu

Push notifikace

Při použití této metody namísto opisování číselného kódu uživatel pouze potvrdí přihlášení v mobilní aplikaci stisknutím tlačítka. Některé systémy navíc zobrazují informace o místě nebo zařízení, ze kterého se někdo pokouší přihlásit. Výhodou je vysoký uživatelský komfort a rychlost přihlášení, nevýhodou zase riziko útoků typu MFA fatigue.

Výhody

• Velmi pohodlné použití
• Rychlé potvrzení přihlášení
• Možnost zobrazit doplňující informace o přihlášení

Nevýhody

• Zranitelnost vůči MFA fatigue
• Vyžadují datové připojení pro doručení notifikace

Hardwarové bezpečnostní klíče

Hardwarové bezpečnostní klíče (například YubiKey nebo Google Titan Security Key) představují jednu z nejbezpečnějších forem vícefaktorového ověřování. Uživatel při přihlášení připojí klíč přes USB, NFC nebo Bluetooth a jeho přítomnost potvrdí stisknutím tlačítka nebo dotykem.​

Klíče využívají standard FIDO2 nebo WebAuthn a jsou navrženy tak, aby odolaly phishingovým i man-in-the-middle útokům. Proto jsou doporučovány zejména pro administrátorské účty, přístup ke kritickým systémům nebo organizace s vysokými bezpečnostními nároky.

Výhody

• Velmi vysoká úroveň zabezpečení
• Odolnost vůči phishingu
• Rychlé a jednoduché přihlášení

Nevýhody

• Vyšší pořizovací náklady
• Nutnost mít klíč fyzicky u sebe
• Je vhodné mít také záložní klíč

Biometrické ověření

Biometrická identifikace využívá jedinečné fyzické vlastnosti uživatele, například otisk prstu nebo rozpoznání obličeje. Nejčastěji se používá pro odemykání mobilních telefonů nebo počítačů, stále častěji ale také při přihlašování do firemních systémů.

​Hlavní výhodou této metody je rychlost a pohodlí. Samotná biometrie však obvykle nepředstavuje samostatný bezpečnostní systém. Ve většině případů pouze odemyká kryptografický klíč bezpečně uložený v zařízení. Právě tato kombinace dnes tvoří základ moderních technologií, jako jsou passkeys.

Výhody

• Velmi pohodlné použití
• Rychlé přihlášení
• Uživatel si nemusí nic pamatovat

Nevýhody

• Závislost na podporovaném zařízení
• Nemožnost změny biometrických údajů při jejich kompromitaci
• Úroveň zabezpečení závisí na konkrétní implementaci

Autentizační aplikace vs SMS kódy

Přestože SMS kódy i autentizační aplikace slouží ke stejnému účelu, a to k ověření identity při přihlašování, jejich fungování se zásadně liší. A právě tento rozdíl má významný vliv na výslednou úroveň zabezpečení.

Jak fungují autentizační aplikace

Při prvním nastavení vícefaktorového ověření si služba a autentizační aplikace bezpečně vymění tajný kryptografický klíč. Nejčastěji k tomu dochází naskenováním QR kódu, který se zobrazí při aktivaci vícefaktorového ověření.

Od této chvíle mají služba i aplikace uložen stejný tajný klíč. Na jeho základě pak nezávisle na sobě generují jednorázové ověřovací kódy, které se automaticky mění zpravidla každých 30 sekund. Protože obě strany používají stejný algoritmus i aktuální čas, vždy vytvoří shodný kód. Server tak může jednoduše ověřit, že zadaný kód byl skutečně vygenerován oprávněnou aplikací.

Výhodou tohoto principu je, že se ověřovací kódy nikam neposílají. Vznikají přímo v zařízení uživatele, a proto autentizační aplikace fungují i bez mobilního signálu nebo připojení k internetu.

Proč jsou bezpečnější než SMS kódy

Na rozdíl od autentizačních aplikací jsou SMS kódy doručovány prostřednictvím mobilní sítě. Ta však nikdy nebyla navržena jako bezpečnostní mechanismus pro ověřování identity, ale jako prostředek pro přenos textových zpráv. Právě proto mohou být SMS zprávy za určitých okolností zachyceny nebo zneužity, například při útoku typu SIM swap, kdy útočník získá kontrolu nad telefonním číslem oběti.

Z tohoto důvodu dnes bezpečnostní standardy i většina odborníků doporučují používat SMS kódy pouze v případech, kdy není k dispozici bezpečnější alternativa.

hardwarové bezpečnostní klíče

Autentizační aplikace představují pro většinu firem velmi dobrý kompromis mezi bezpečností, cenou i jednoduchostí používání. Existují ale situace, kdy ani tato úroveň ochrany nemusí být dostatečná. Typicky jde o účty správců IT, administrátorů cloudových služeb, vedení společnosti nebo zaměstnanců, kteří mají přístup k citlivým firemním datům.

Právě pro tyto případy jsou určeny hardwarové bezpečnostní klíče, například YubiKey nebo Google Titan Security Key.

Jak hardwarové bezpečnostní klíče fungují

Na rozdíl od jednorázových ověřovacích kódů hardwarový klíč žádný kód negeneruje, ani jej uživatel nikam neopisuje. Při registraci si vytvoří jedinečný kryptografický pár klíčů, přičemž soukromý klíč zůstává bezpečně uložen uvnitř zařízení, zatímco veřejný klíč se uloží u přihlašovací služby.

Při každém přihlášení pak server odešle bezpečnostnímu klíči kryptografickou výzvu, kterou klíč podepíše svým soukromým klíčem. Server následně pomocí uloženého veřejného klíče ověří, že odpověď skutečně pochází z registrovaného zařízení. Soukromý klíč přitom zařízení nikdy neopustí a není možné jej zkopírovat ani odeslat útočníkovi. Díky tomu odpadá většina rizik spojených s jednorázovými kódy a jejich opisováním.

Pro koho jsou hardwarové bezpečnostní klíče vhodné

Hardwarové bezpečnostní klíče nejsou určeny pouze velkým podnikům. Největší přínos mají všude tam, kde by kompromitace účtu mohla mít závažné následky. Typicky se vyplatí pro:

• administrátorské účty cloudových služeb,
• správce serverů, VPN a síťové infrastruktury,
• vedení společnosti a osoby s přístupem k citlivým datům,
• zaměstnance, kteří spravují finance nebo schvalují důležité transakce.

Naopak pro běžné uživatelské účty představují ve většině případů dostatečně bezpečné řešení autentizační aplikace. Mnoho firem proto volí kombinovaný přístup, kdy administrátorské a privilegované účty chrání hardwarovými bezpečnostními klíči, zatímco ostatní zaměstnanci používají autentizační aplikace či jinou formu vícefaktorového ověření.

passwordless autentizace a passkeys

Přestože vícefaktorové ověření výrazně zvyšuje bezpečnost uživatelských účtů, stále vychází z předpokladu, že uživatel používá heslo. V posledních letech se proto stále více prosazuje nový přístup označovaný jako passwordless authentication, jehož cílem je hesla zcela nahradit.

Nejznámějším příkladem jsou právě passkeys (přístupové klíče), které dnes podporují například Microsoft, Google, Apple i řada dalších online služeb.

Jak fungují passkeys

Passkey je kryptografický přihlašovací údaj uložený v zařízení uživatele, například v mobilním telefonu nebo počítači. Při jeho vytvoření vznikne dvojice kryptografických klíčů, a to soukromý a veřejný. Veřejný klíč se uloží u online služby, zatímco soukromý klíč zůstává bezpečně uložen pouze v zařízení uživatele.

Při přihlášení server odešle zařízení kryptografickou výzvu, to ji podepíše soukromým klíčem a server pak pomocí veřejného klíče ověří správnost odpovědi. Uživatel přitom přihlášení pouze potvrdí biometricky nebo zadáním PINu zařízení. Na rozdíl od klasického přihlašování se tedy nikam nezadává heslo ani jednorázový ověřovací kód.

Jakou roli hrají standardy FIDO2 a WebAuthn

Technologie passkeys jsou postaveny na otevřených standardech FIDO2 a WebAuthn, které společně definují bezpečný způsob ověřování identity bez použití hesel.

FIDO2 představuje soubor technologií umožňujících bezpečné ověřování pomocí kryptografických klíčů, zatímco WebAuthn je webový standard, díky kterému mohou internetové prohlížeče a online služby s těmito klíči komunikovat. Právě jejich kombinace umožňuje, aby stejný způsob přihlášení fungoval napříč různými zařízeními, operačními systémy i webovými aplikacemi.

Passkeys jako budoucnost přihlašování

Hlavní výhodou passkeys je, že odstraňují nejslabší článek tradiční autentizace, heslo. Uživatel si nemusí pamatovat složitá hesla ani přepisovat jednorázové kódy. Zároveň není možné přihlašovací údaj odcizit prostřednictvím běžného phishingu, protože soukromý kryptografický klíč zařízení nikdy neopouští.

Passkeys tak spojují vysokou úroveň zabezpečení s velmi jednoduchým používáním. Právě proto je dnes podporují největší technologické společnosti a stále více organizací je zavádí jako preferovaný způsob přihlašování.

Passkeys vs heslo s MFA

Zatímco klasické přihlášení vyžaduje zadání hesla a následně druhého ověřovacího faktoru, passkeys oba kroky nahrazují jediným kryptografickým ověřením provedeným přímo v zařízení uživatele.

Nejde tedy o další variantu vícefaktorového ověření, ale o zcela odlišný způsob autentizace. Ve většině scénářů poskytují passkeys vyšší úroveň zabezpečení než kombinace hesla a jednorázového ověřovacího kódu a současně výrazně zjednodušují samotné přihlašování.

Co je Single-Sign-On

Ve firemním prostředí zaměstnanci běžně používají desítky různých aplikací, typicky např. e-mail, kancelářský balík, účetní systém, cloudové úložiště či interní informační systémy. Pokud by se do každé z nich měli přihlašovat samostatně, museli by si pamatovat velké množství hesel a každé přihlášení by navíc představovalo další potenciální bezpečnostní riziko. Právě tento problém řeší Single Sign-On (SSO), tedy jednotné přihlašování.

Jak funguje SSO login

Princip SSO spočívá v tom, že se uživatel ověří pouze jednou prostřednictvím centrálního poskytovatele identity. Po úspěšném přihlášení pak může bez opakovaného zadávání přihlašovacích údajů přistupovat ke všem aplikacím a službám, které jsou do tohoto systému zapojeny.

Místo správy desítek samostatných účtů tak organizace spravuje jednu centrální identitu uživatele a jednotlivé aplikace důvěřují rozhodnutí centrální autority o tom, že byl uživatel úspěšně ověřen.

SSO a vícefaktorové ověření

SSO a vícefaktorové ověření se vzájemně doplňují. SSO samo o sobě totiž nezvyšuje bezpečnost, ale pouze mění způsob přihlašování. Jeho skutečný přínos přichází až ve chvíli, kdy je toto centrální přihlášení chráněno vícefaktorovým ověřením.

Uživatel tak například při začátku pracovního dne zadá své přihlašovací údaje a potvrdí přihlášení druhým ověřovacím faktorem. Poté může bezpečně pracovat s ostatními firemními aplikacemi, aniž by se musel znovu přihlašovat nebo opakovaně potvrzovat svou identitu.

Jaké výhody přináší SSO firmám

Zavedení jednotného přihlašování přináší výhody jak z pohledu bezpečnosti, tak každodenní správy IT. Mezi ty nejvýznamnější patří následující.

• Vyšší bezpečnost – vícefaktorové ověření lze vynucovat centrálně pro všechny připojené aplikace.
• Lepší uživatelský komfort – zaměstnanci si pamatují méně hesel a přihlašují se pouze jednou.
• Jednodušší správa účtů – vytvoření, změna nebo zablokování účtu se projeví napříč všemi integrovanými systémy.
• Nižší počet požadavků na IT podporu – uživatelé méně často zapomínají hesla a administrátoři tak řeší méně žádostí o jejich reset.
• Snazší dodržování bezpečnostních politik – organizace může centrálně nastavovat požadavky na autentizaci, podmínky přístupu nebo pravidla pro vícefaktorové ověřování.

Role biometrie v ověřování

Biometrické ověřování je dnes běžnou součástí mobilních telefonů, notebooků i moderních podnikových zařízení. Mnoho uživatelů proto získává dojem, že právě biometrie představuje nejvyšší možnou úroveň zabezpečení. Ve skutečnosti je její role poněkud odlišná.

Ve většině moderních systémů biometrie sama o sobě neověřuje identitu vůči online službě. Jejím hlavním úkolem je ověřit, že zařízení skutečně používá jeho oprávněný vlastník. Teprve následně zařízení využije bezpečně uložený kryptografický klíč pro samotné přihlášení. Tento princip dnes využívají například passkeys nebo hardwarové bezpečnostní moduly integrované v chytrých telefonech a počítačích.

Výhody biometrie

Největší předností biometrického ověřování je kombinace vysokého uživatelského komfortu a rychlosti. Uživatel si nemusí pamatovat další hesla ani opisovat jednorázové kódy. Ověření identity proběhne během několika sekund pouhým přiložením prstu nebo pohledem do kamery. Zároveň se tak odstraňuje riziko, že uživatel své přihlašovací údaje někomu prozradí nebo použije stejné heslo u více služeb.

Omezení biometrie

Na rozdíl od hesla nelze biometrické údaje jednoduše změnit. Pokud by došlo ke kompromitaci biometrické šablony, není možné si nastavit nový otisk prstu nebo změnit podobu obličeje. Moderní zařízení proto biometrická data zpravidla neukládají na vzdálené servery, ale pouze do chráněného úložiště přímo v zařízení.

Dalším tématem posledních let jsou pak technologie založené na umělé inteligenci, zejména deepfake. Moderní systémy dnes dokáží věrohodně napodobit lidský hlas nebo vytvořit realistický obraz obličeje. Kvalitní biometrické systémy sice využívají pokročilé mechanismy pro ověření živé osoby, přesto je tento typ útoků jedním z důvodů, proč by biometrie neměla představovat jedinou vrstvu zabezpečení.​

​Kdy dává biometrie největší smysl

Biometrické ověřování je nejvhodnější jako pohodlný způsob odemknutí zařízení nebo potvrzení přihlášení, nikoliv jako samostatná náhrada všech ostatních bezpečnostních mechanismů. Nejvyšší úroveň zabezpečení přináší v kombinaci s kryptografickými technologiemi, jako jsou passkeys nebo hardwarové bezpečnostní klíče. Uživatel tak získá rychlé a komfortní přihlášení, aniž by musel slevit z bezpečnosti.

Legislativní požadavky na MFA

Vícefaktorové ověřování dnes není pouze doporučeným bezpečnostním opatřením. V řadě odvětví se stalo standardem, jehož zavedení vyžadují právní předpisy nebo regulatorní požadavky. V ČR se s nimi mohou firmy setkat zejména v souvislosti s novým zákonem o kybernetické bezpečnosti, evropskou směrnicí NIS2 nebo pravidly pro finanční sektor.

NIS2 a Zákon o kybernetické bezpečnosti

Evropská směrnice NIS2 byla do českého právního řádu transponována novým zákonem o kybernetické bezpečnosti, který je účinný od 1. listopadu 2025. Zákon rozšiřuje okruh regulovaných organizací a zavádí požadavek na řízení kybernetických rizik prostřednictvím technických i organizačních bezpečnostních opatření.

Přestože zákon nestanovuje, že každá organizace musí povinně používat vícefaktorové ověřování pro všechny uživatelské účty, právě MFA představuje jedno z nejúčinnějších opatření pro ochranu identit a přístupů. U organizací, na které se zákon vztahuje, je proto jeho nasazení pro privilegované účty, vzdálený přístup nebo přístup ke kritickým systémům v praxi považováno za očekávanou součást bezpečnostních opatření vycházejících z řízení rizik.

Doporučení NÚKIB

Národní úřad pro kybernetickou a informační bezpečnost dlouhodobě doporučuje chránit důležité uživatelské účty vícefaktorovým ověřováním. Zvláštní důraz je kladen zejména na administrátorské účty, vzdálený přístup, cloudové služby a systémy obsahující citlivá data. Cílem je minimalizovat riziko zneužití odcizených přihlašovacích údajů, které patří mezi nejčastější příčiny bezpečnostních incidentů.

PSD2 a bankovní sektor

V oblasti platebních služeb je vícefaktorové ověřování zakotveno již několik let prostřednictvím evropské směrnice PSD2. Ta zavedla požadavek na tzv. silné ověření klienta, které při elektronických platbách kombinuje alespoň 2 nezávislé autentizační faktory z kategorií znalost, vlastnictví nebo biometrie.

Právě díky těmto pravidlům je dnes běžné, že internetové bankovnictví nebo potvrzení plateb vyžaduje kromě hesla také potvrzení v mobilní aplikaci, biometrické ověření nebo jiný druhý faktor.

Proč je MFA v roce 2026 de facto standardem

I organizace, na které se nový zákon o kybernetické bezpečnosti přímo nevztahuje, dnes čelí stále rostoucím bezpečnostním rizikům. Současně většina významných poskytovatelů cloudových služeb (například Microsoft, Google nebo další dodavatelé podnikových aplikací) považuje vícefaktorové ověřování za doporučený standard a některé služby jej již pro vybrané typy účtů vyžadují.

Z pohledu firem proto dnes nejde jen o otázku legislativy, ale také o splnění bezpečnostních standardů, požadavků obchodních partnerů, kybernetického pojištění nebo interních pravidel řízení rizik. V roce 2026 je tak vícefaktorové ověřování pro většinu organizací fakticky povinnou součástí moderního zabezpečení firemních účtů.

Jak MFA zavést ve firmě

Samotná aktivace vícefaktorového ověřování u jednoho účtu je obvykle otázkou několika minut. Úspěšné zavedení napříč celou firmou ale vyžaduje promyšlený postup. Pokud zaměstnanci nebudou vědět, proč se změna zavádí nebo jak nové přihlašování funguje, mohou ji vnímat jako zbytečnou komplikaci. Správně naplánovaná implementace proto výrazně zvyšuje šanci, že bude nové řešení zavedeno bez větších problémů. Jak na to v praxi?

1. Zmapujte používané účty a systémy
   Prvním krokem by měla být identifikace všech systémů, do kterých se zaměstnanci přihlašují. Vedle e-mailu a kancelářských aplikací jde zpravidla také o VPN, cloudové služby, účetní systémy, interní informační systémy nebo vzdálený přístup k firemním serverům.
2. Identifikace rizikových účtů
   Současně je vhodné určit, které účty představují nejvyšší riziko. Typicky jde o administrátorské účty, vedení společnosti nebo uživatele s přístupem k citlivým datům. Právě u nich by mělo být vícefaktorové ověřování zavedeno jako první.
3. Vyberte vhodnou metodu ověřování
   Ne každá metoda je vhodná pro všechny uživatele. Pro většinu zaměstnanců dnes představují nejlepší volbu autentizační aplikace, které nabízejí dobrý poměr mezi bezpečností a jednoduchostí používání. U privilegovaných účtů nebo systémů s vyššími bezpečnostními nároky se vyplatí zvážit použití hardwarových bezpečnostních klíčů nebo passkeys. SMS kódy je vhodné ponechat spíše jako záložní variantu pro případy, kdy není možné využít bezpečnější metodu.
4. Začněte pilotním nasazením
   Namísto aktivace pro všechny zaměstnance najednou je vhodnější začít s menší skupinou uživatelů. Pilotní provoz pomůže odhalit technické problémy, ověřit srozumitelnost instrukcí i zjistit, se kterými situacemi si uživatelé nejčastěji nevědí rady. Získané zkušenosti pak můžete následně využít při zavádění vícefaktorového ověřování do celé organizace.
5. Proškolte zaměstnance
   Úspěch implementace závisí nejen na technologii, ale také na lidech. Zaměstnanci by měli rozumět tomu, proč firma vícefaktorové ověřování zavádí, jak bude přihlašování probíhat a jak mají postupovat při ztrátě telefonu nebo výměně zařízení. Vyplatí se připravit stručný návod, odpovědi na nejčastější otázky a nabídnout i kontaktní místo, na které se mohou zaměstnanci v případě problémů obrátit.​
6. Připravte si záložní scénáře
   Při návrhu řešení je potřeba počítat i s mimořádnými situacemi. Zaměstnanec může ztratit telefon, poškodit bezpečnostní klíč nebo si pořídit nové zařízení.Je proto vhodné předem nastavit bezpečný proces obnovy přístupu. Ten může zahrnovat záložní autentizační metodu, jednorázové obnovovací kódy nebo přesně definovaný postup důkladného ověření identity prostřednictvím IT podpory. Právě dobře připravený proces obnovy často rozhoduje o tom, zda bude vícefaktorové ověřování pro uživatele skutečně použitelné.
7. Pravidelně kontrolujte nastavení
   ​Implementací vícefaktorového ověřování celý proces nekončí. Firma by měla průběžně kontrolovat, zda mají všichni zaměstnanci MFA skutečně aktivní, zda používají doporučené metody ověřování a zda jsou z firemních systémů včas odebírány účty bývalých zaměstnanců. Stejně tak je důležité při vyřazování starších zařízení myslet i na bezpečné odstranění dat uložených na disku.

Pravidelná kontrola nastavení pomáhá udržet úroveň zabezpečení i ve chvíli, kdy se mění používané technologie nebo personální obsazení firmy.

Jak na to navázat s IAM a PAM

Vícefaktorové ověřování představuje pouze jednu část moderní správy identit. Aby firma měla přehled o tom, kdo má přístup k jednotlivým systémům a jaká oprávnění může využívat, používají se specializované systémy pro správu identit a přístupových oprávnění. Nejčastěji se setkáte se zkratkami IAM (Identity and Acces Management) a PAM (Privileged Access Management).

Co je IAM

IAM je soubor procesů a technologií, které umožňují centrálně spravovat identity uživatelů a jejich oprávnění. Organizace díky němu rozhoduje, kdo může přistupovat ke konkrétním aplikacím, jaká oprávnění má po přihlášení k dispozici a jakým způsobem bude svou identitu ověřovat.

Součástí moderních IAM řešení bývá také jednotné přihlašování SSO, vícefaktorové ověřování, správa životního cyklu uživatelských účtů nebo automatické odebírání přístupů při změně pracovní pozice či odchodu zaměstnance. Jinými slovy, zatímco vícefaktorové ověřování řeší bezpečné přihlášení uživatele, IAM zajišťuje správu celé jeho digitální identity.

Co je PAM

PAM je specializovaná oblast zaměřená na ochranu privilegovaných účtů. Jde o účty, které mají výrazně vyšší oprávnění než běžní uživatelé a jejich kompromitace může mít závažné dopady na bezpečnost celé organizace. Typicky se jedná o administrátorské účty, účty správců serverů, databází, síťových zařízení nebo cloudových platforem.

PAM systémy umožňují například bezpečně ukládat administrátorská hesla, poskytovat privilegovaný přístup pouze na nezbytně dlouhou dobu, zaznamenávat administrátorské relace nebo automaticky měnit hesla po jejich použití.

Jakou roli zde hraje vícefaktorové ověřování

Vícefaktorové ověřování je jedním ze základních bezpečnostních mechanismů, které IAM i PAM běžně využívají. Zatímco u běžných uživatelských účtů představuje důležitou ochranu před zneužitím odcizených přihlašovacích údajů, u privilegovaných účtů by mělo být považováno za samozřejmost.

Útočníci se totiž často nesnaží kompromitovat desítky běžných účtů. Mnohem větší hodnotu pro ně představuje jediný administrátorský účet, který jim může otevřít přístup k celé firemní infrastruktuře.

Právě proto organizace obvykle chrání privilegované účty přísnějšími pravidly než běžné uživatele. Vedle povinného vícefaktorového ověřování často využívají také hardwarové bezpečnostní klíče, princip minimálních oprávnění, časově omezené administrátorské přístupy nebo průběžné monitorování všech privilegovaných operací.

Vícefaktorové ověřování tak nepředstavuje samostatné řešení, ale jednu z klíčových součástí moderní správy identit a přístupových oprávnění.

MFA a koncept nulové důvěry

Tzv. koncept nulové důvěry vychází z jednoduchého principu, že žádnému uživateli ani zařízení není důvěřováno automaticky. Každý požadavek na přístup tak musí být ověřen. A právě z toho důvodu se vícefaktorové ověřování stalo jedním ze základních pilířů tohoto přístupu.

MFA ale není jediným prvkem konceptu Zero Trust. Společně se správou identit IAM, ochranou privilegovaných účtů PAM, firewallem, segmentací sítě, principem minimálních oprávnění a průběžným vyhodnocováním rizik tvoří základ moderního zabezpečení firemních systémů. 

Závěr

Vícefaktorové ověřování dnes představuje jeden ze základních pilířů moderního zabezpečení firemních účtů. Kombinace více autentizačních faktorů výrazně snižuje riziko zneužití odcizených přihlašovacích údajů. Správně nastavené MFA ale není samostatným a jediným řešením. Největší hodnotu přináší jako součást širší strategie ochrany identit, společně s IAM, PAM, principy Zero Trust a dalšími bezpečnostními opatřeními.