Vad är tvåstegsverifiering (MFA)?
Tvåstegsverifiering innebär att användaren visar vem hen är på mer än ett sätt, till exempel med ett lösenord och en kod från en app i telefonen.
Faktorerna brukar delas in i något användaren vet, som ett lösenord, något hen har, som en telefon eller en säkerhetsnyckel, och något hen är, som ett fingeravtryck. Förkortningen MFA står för multifaktorautentisering.
Ett stulet lösenord räcker då inte för att komma in. Angriparen behöver också den andra faktorn, vilket gör de enklaste attackerna mot konton betydligt svårare.
Till tvåstegsverifiering hör ofta återställningskoder. De används om telefonen eller nyckeln försvinner och behöver förvaras lika säkert som lösenordet.
Så fungerar det
Efter lösenordet ber systemet om ett andra bevis. Det kan vara en kod från en app, en bekräftelse i en app eller en säkerhetsnyckel som ansluts till datorn. Koden i en app byts ut med jämna mellanrum och kan bara användas en gång.
Säkerhetsnycklar och lösningar som är knutna till den webbplats användaren loggar in på är svårast att lura. En kod som användaren skriver in kan i värsta fall fångas upp av en falsk inloggningssida.
Därför spelar det roll
Ett lösenord kan läcka på många sätt, genom nätfiske, återanvändning eller ett intrång hos en annan tjänst. Den andra faktorn gör att lösenordet ensamt inte räcker, och det skyddar också de AI-verktyg som når organisationens dokument.
Att tänka på
Tänk på hur användare får hjälp när de byter telefon eller tappar sin nyckel. En svag rutin för återställning kan bli den väg som en angripare väljer.
Kombinera med enkel inloggning, så att samma krav gäller i alla anslutna system och behörighetsstyrningen vilar på ett väl skyddat konto.
Vad det betyder för er
Kräv tvåstegsverifiering för alla som når känslig information, och särskilt för administratörer. Med enkel inloggning går kravet att ställa på ett ställe.
Vanliga frågor
Är sms-koder tillräckligt säkra?
De är bättre än enbart ett lösenord. En app eller en säkerhetsnyckel ger ett starkare skydd, eftersom sms kan fångas upp eller styras om.
Måste alla använda tvåstegsverifiering?
Det är en bra utgångspunkt för alla som når interna system. Den viktigaste gruppen är de som har administratörsbehörighet. Läs mer om enkel inloggning.
Källor: NIST om multi-factor authentication
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad