Martin Koksrud Bekkelund

Tofaktorautentisering er et sikkerhetskonsept med et komplisert navn og er litt komplisert å forklare. Men straks du forstår konseptet lurer du på hvorfor du ikke har tatt det i bruk tidligere. Her lærer du hva det er og hvordan du tar det i bruk.

Hvem er du?

Når du logger inn på et nettsted må du fortelle hvem du er. Dette gjør du med et brukernavn. I mitt tenkte tilfelle kan det være MartinKoksrudBekkelund eller martin.koksrud.bekkelund@foo.bar.

Noe du vet

I tillegg til brukernavnet tilfører du noe du vet. Et passord. Et slikt passord kan for eksempel være v3saZEhJV9aiesHfrNavUnWucpvLjwhYq6gTj2CR3uDRHnYnUBwraxqUJvokKtxt, men det kan like gjerne være DetteErEtSkikkeligLangtPassordSomIngenNoensinneVilGjette.

Når du har tilført et passord, har du tilført det vi kaller en faktor.

Kombinasjonen av brukernavn og passord er den desidert mest utbredte måten å logge inn på, enten du skal logge inn på datamaskinen din eller på et nettsted.

Hva er problemet?

Problemet er at både brukernavn og passord kan gjettes. Kanskje ikke av mennesker, men maskiner har stor prosesseringskraft og kan gjette ufattelig mange kombinasjoner på kort tid.

Problemet med brukernavn og passord er at det kun er et spørsmål om tid før noen kan gjette det.

Noe du har

I tillegg til å benytte brukernavn og passord kan du benytte noe du har. En mobiltelefon som du eier. En kodebrikke du har fått av banken. Et kredittkort. Kort sagt, noe som bare du besitter og som er fysisk.

På telefonen kan du motta en SMS med en engangskode, eller du kan installere en app som genererer engangskoder for deg. Kodebrikken du har fått av banken genererer tilsvarende engangskoder for deg.

Nå har du tilført både passord og en engangskode, altså to faktorer. Det er dette vi kaller tofaktorautentisering.

Kombinasjonen av noe du vet (passordet) og noe du har (engangskode fra telefonen) øker sikkerheten betraktelig sammenliknet med bare passord. En maskin kan gjette både brukernavnet og passordet ditt, men telefonen din får maskinen aldri tak i.

Noe du er

Det er også mulig å tilføre enda flere faktorer, for eksempel noe du er. Fingeravtrykket ditt benytter du kanskje allerede for å låse opp telefonen din.

Tofaktorautentisering er mer enn nettbank

Nå innser du sikkert at du allerede benytter tofaktorautentisering allerede. I nettbanken din, for eksempel.

Men det er ikke bare nettbanker som tilbyr tofaktorautentisering. Alle de store selskapene, f.eks. Apple, Google, Facebook, PayPal, Twitter, GitHub, Dropbox og mange, mange flere, tilbyr tofaktorautentisering i en eller annen form.

Å sette opp tofaktorautentisering på slike nettsteder er enklere enn du tror. Her følger en liten sjekkliste som du kan benytte.

Slik går du frem

1. Start med å skaffe deg oversikt over nettsteder du besøker ofte eller som er viktige for deg.
2. Ta listen du akkurat laget og se hvem av nettstedene som tilbyr tofaktorautentisering. Kan hende finner du også noen du har glemt?
3. Installer appen Google Authenticator på telefonen din, en slags universal kodebrikke på tvers av mange nettsteder og tjenester.
4. Besøk hvert nettsted på listen din og sett opp tofaktorautentisering i profilen din. Navnet varierer; «login verification», «2-step verification», «login approvals» og «2FA» er vanlig.
5. Be folk du kjenner om å gjøre det samme. Sammen gjør vi nettet sikrere!

Hva med brukervennligheten?

Umiddelbart tenker du at det bare er plunder å skulle trekke frem telefonen hver gang du skal inn i et sted. Det trenger du heller ikke. Du kan be nettsteder du logger inn i ofte om å huske datamaskinen du logger inn fra. Dermed trenger du ikke å trekke frem telefonen hver gang du skal logge inn, kun de gangene du logger inn fra en datamaskin du aldri har logget inn fra tidligere.

Bonustips: Yubikey

En Yubikey er en liten dings du stapper i USB-porten på maskinen din og øker sikkerheten enda et hakk. Foreløpig anbefaler jeg det kun til dem jeg kjenner som er over gjennomsnittet nerdete.

Illustrasjon av Qeaql-studio

Programvare Sikkerhet