Martin Koksrud Bekkelund

Tofaktorautentisering. Et vanskelig ord som du garantert allerede benytter, kanskje uten at du er klar over det. Jeg har tidligere skrevet om tofaktorautentisering, og en del har skjedd i markedet siden da.

For å repetere litt fra min gamle artikkel benytter du et brukernavn for å logge inn et sted. Det kan for eksempel være fødselsnummer i banken din eller e-postadresse når du skal lese e-post. I tillegg til dette brukernavnet tilfører du en faktor som sikrer innloggingen. Den første faktoren er et passord. Den andre faktoren, derav navnet tofaktorautentisering, er gjerne et dynamisk tall som endrer seg. Tofaktorautentisering forkortes 2FA.

Hva er forskjellen på forskjellige typer 2FA?

Det finnes forskjellige typer 2FA. Jeg skal ikke gå inn i alle detaljene her, til det er tematikken for omfattende og kompleks. Men du har sikkert lagt merke til at for eksempel Google Authenticator genererer et dynamisk tall som endrer seg hvert 30. sekund, mens BankID ikke har et slikt tall.

Det er verdt å vite at det er forskjell på autentisering og identifisering. Autentisering er kun oppgaven med å verifisere at kombinasjonen av brukernavn, passord og 2FA er korrekt, mens identifisering kan ses på som et lag oppå autentisering, der det er foretatt en reell identifisering av den som foretar autentiseringen. Litt forenklet forklart, selvfølgelig. Google Authenticator har ingen identifisering, fordi du har aldri møtt opp noe sted og vist frem legitimasjon til Google som så har blitt knyttet til din Google-konto. BankID, derimot, har lagt slik identifisering til grunn. En gang i tiden har du identifisert deg overfor banken, som så er lagt til grunn for utstedelse av din BankID.

Videre kan også koder sendt ut via SMS og e-post ses på som 2FA, men med et annet og dårligere sikkerhetsnivå enn en kodegenerator slik som Google Authenticator. Står du overfor valget om å bruke SMS eller e-post opp mot en kodegenerator, skal du alltid velge kodegeneratoren.

Verdt å vite om Google Authenticator

Jeg benytter ikke Google Authenticator. Ikke fordi det er et dårlig verktøy, men fordi det bor på telefonen din og dersom du mister telefonen, den dør eller blir stjålet, så kan du ikke overføre kodene som genereres på telefonen til en annen telefon. Dette er en stor svakhet ved Google Authenticator. I stedet benytter jeg 1Password sin kodegenerator, som fungerer sømløst sammen med annen innlogging, og den fungerer på tvers av telefonen og Mac-en.

Oppsummert

Det viktigste du trenger vite om tofaktorautentisering er at du skal aktivere det alle steder du har anledning til det. Alle steder! Alltid! Et passord kan hackes, tofaktorautentisering kan det ikke.

Sikkerhet