Lösenord är fortfarande en svaghet hos många; vi glömmer att förnya dem, vi återanvänder dem överallt och de är ofta för lätta att gissa.
Det finns många sätt att öka säkerheten och jag har tidigare skrivit om att man bara behöver sju lösenord för att klara sig i vardagen. Här kan du läsa mer om det.
Något annat som ofta används, t.ex. när vi använder MitID i vardagen är tvåfaktorsautentisering , som ingår i kategorin multifaktorsautentisering, MFA (Multi-Factor Authentication). Med hjälp av MFA kan man kräva att användarna måste använda ytterligare en eller flera metoder för att verifiera sin identitet. Användaren måste då använda något hen känner till (t.ex. lösenord), något hen har (t.ex. smarttelefon och app) och eventuellt också något hen är (t.ex. fingeravtryck eller ansiktsigenkänning).
På så sätt är målet med MFA att skapa ett extra lager av säkerhet som gör det mer komplicerat – om än inte omöjligt – för en obehörig användare, t.ex. en hackare, att ta sig in i andras konton. Även om användaren tappar bort lösenordet och användarnamnet kommer det fortfarande att finnas minst en barriär att övervinna.
Där vi förr främst använde tvåfaktorsautentisering (2FA) använder vi idag nästan uteslutande begreppet MFA och ofta används också flera faktorer, speciellt hos företag när användare ska godkännas.
MFA är extra bra när inloggningsuppgifter har läckt ut, när företag utsätts för attacker som Brute Force eller när cyberbrottslingar använder automatiserade verktyg för att knäcka lösenord. Även om det här långt ifrån är några nya metoder fungerar de tyvärr fortfarande förvånansvärt effektivt och här kan MFA lägga till ett lager av säkerhet som skyddar mot dessa traditionella attacker.
MFA består som jag skrev tidigare av flera olika metoder och jag tänkte nu gå in på dem lite mer på djupet.
Något som användaren vet: Den här typen av godkännande kräver vanligtvis att användaren svarar på en personlig fråga. Det kan t.ex. vara lösenord, identifikationsnummer (PIN-nummer) och engångslösenord (så kallade one-time passwords, OTP). Den formen av identifiering används vanligtvis när du ska
- använda ditt kreditkort och måste ange din PIN-kod
- ladda ner en VPN-klient med ett godkänt digitalt certifikat och logga in på VPN innan du kan komma åt ett nätverk
- lämna information, dvs. svara på en hemlig fråga för att få systemåtkomst.
Något som användaren har: Här måste användaren ha något specifikt med sig för att kunna logga in. Det kan vara en token, en nyckelbricka eller en smarttelefon (med ett registrerat telefonnummer). Följande kan vara bra att veta när det gäller den här typen av godkännande:
- Säkerhetstoken är små hårdvaruenheter som innehåller användarens personliga information och som används för att autentisera användarens identitet elektroniskt. Det kan vara ett smartkort, ett chip i ett objekt, en USB-dongel eller en trådlös tagg.
- En mjukvarubaserad säkerhetstoken genererar en engångs-PIN-kod för inloggning. Den formen av token används ofta för mobil MFA, där själva enheten – vanligtvis en smarttelefon – är något som användaren har.
Något som användaren är: En form av autentisering där biometri används i samband med inloggning och kan vara något av följande:
- Näthinne- eller irisskanning
- Fingeravtryck
- Röstigenkänning
- Handgeometri
- Digital signatur
- Ansiktsigenkänning
- Örongeometri
I vissa fall kan telefonen ge den biometriska informationen, i andra fall används en extern skanner, till exempel som i Danmark där blodgivarna får skanna fingret innan de kan lämna blod.
Ibland kan platsen användas som en fjärde autentiseringsfaktor och här kan smarttelefonen även ge nödvändig information via GPS. På så sätt kan vissa platser markeras som säkra eller godkända för inloggning.
Slutligen kan även tidsbaserad autentisering användas så att det bara går att logga in i ett system vid en specifik tidpunkt.
För att uppnå bästa säkerhet utan att det blir för besvärligt för användaren kan de olika metoderna för MFA blandas.
Fördelarna med MFA: Man kan få flera lager av säkerhet. Man kan skapa engångslösenord till en godkänd smarttelefon; lösenord som genereras slumpmässigt i realtid är svåra att knäcka.
De kan enkelt ställas in av användarna och de kan ge åtkomst vid vissa tider på dygnet. MFA kan också anpassas så att företagen kan få sin multifaktorsautentiseringslösning att växa när de växer själva.
Nackdelarna med MFA: Det krävs ofta en smarttelefon. Token kan förloras eller stjälas, och det kan telefonen också.
De biometriska data som beräknas av MFA-algoritmer är inte alltid korrekta och kan ge falska positiva och negativa resultat.
MFA-teknikerna måste ständigt uppgraderas för att skydda mot nätbrottslingar som ständigt försöker knäcka dem.
MFA kan öka tryggheten för både privatpersoner och företag. Men det är viktigt att vi inte tror att de gör allt och slappnar av, för då vinner nätbrottslingarna.