Multifaktor-godkendelse giver markant bedre beskyttelse end stærke adgangskoder og forhindrer de fleste hackerangreb mod dine konti.
Multifaktorgodkendelse, også kaldet MFA, tilføjer en ekstra kontrol, når en bruger logger ind. Hvis adgangskoden bliver stjålet, er den derfor ikke altid tilstrækkelig til at overtage kontoen. Beskyttelsen afhænger dog af den valgte metode, fordi nogle former for MFA er mere modstandsdygtige over for phishing end andre.
Hvorfor er en stærk adgangskode ikke altid nok?
En lang og unik adgangskode er stadig vigtig. Den gør det sværere at gætte sig frem til adgangen og begrænser skaden, hvis loginoplysninger fra en anden tjeneste bliver lækket.
Selv en stærk adgangskode kan dog blive stjålet. Brugeren kan blive lokket til at indtaste den på en falsk hjemmeside, eller skadelig software kan opsnappe den. Adgangskoden kan også blive kompromitteret ved et databrud hos den tjeneste, hvor den anvendes.
Hvis kontoen kun er beskyttet med en adgangskode, kan angriberen muligvis logge ind med det samme. MFA tilføjer endnu en barriere, som angriberen også skal passere.
Hvordan fungerer multifaktorgodkendelse?
MFA kræver beviser fra mindst to forskellige typer faktorer. Det kan være noget, brugeren ved, noget brugeren har, eller noget brugeren er.
En adgangskode er noget, brugeren ved. En telefon, en autentiseringsapp eller en fysisk sikkerhedsnøgle er noget, brugeren har. Fingeraftryk og ansigtsgenkendelse er eksempler på biometriske faktorer.
To adgangskoder er ikke MFA, fordi begge tilhører samme kategori. Kombinationen skal bestå af forskellige faktorer, som ikke forventes at blive kompromitteret på samme måde.
Når MFA er aktiveret, indtaster brugeren typisk sin adgangskode og bekræfter derefter login med en app, kode eller sikkerhedsnøgle. På den måde er en stjålet adgangskode ikke nødvendigvis nok til at få adgang.
Ikke alle MFA-metoder beskytter lige godt
SMS-koder er en udbredt form for ekstra godkendelse. Metoden giver som regel bedre beskyttelse end en adgangskode alene, men den har svagheder. Telefonnumre kan overtages gennem svindel mod teleselskabet, og koder kan indtastes på falske login-sider.
En autentiseringsapp kan generere tidsbegrænsede koder på telefonen. Det fjerner nogle af svaghederne ved SMS, men koden kan stadig blive narret ud af brugeren gennem phishing.
Godkendelse med en pushbesked er praktisk, men brugeren skal kontrollere anmodningen. Angribere kan sende gentagne beskeder og håbe, at brugeren til sidst godkender én af dem. En uventet anmodning bør altid afvises og rapporteres.
Fysiske sikkerhedsnøgler og passkeys kan give en stærkere beskyttelse, fordi godkendelsen bliver knyttet til den rigtige hjemmeside eller tjeneste. De er derfor bedre til at modstå falske login-sider end koder, der indtastes manuelt.
Biometri bruges ofte til at låse en telefon, sikkerhedsnøgle eller passkey op. Fingeraftrykket eller ansigtet sendes normalt ikke til tjenesten som et almindeligt kodeord, men kontrolleres på brugerens enhed.
MFA stopper ikke alle angreb
MFA gør konto-overtagelse vanskeligere, men er ikke en garanti mod hackerangreb. En angriber kan forsøge at narre brugeren til at godkende et login eller opsnappe en aktiv session efter godkendelsen.
En kompromitteret computer kan også give adgang til data, mens den legitime bruger er logget ind. Forkerte adgangsrettigheder og sårbar software bliver heller ikke løst ved at aktivere MFA.
MFA skal derfor kombineres med unikke adgangskoder, en adgangskodeadministrator, softwareopdateringer og træning i at genkende phishing. Virksomheden bør desuden begrænse administratorrettigheder og reagere på mistænkelige loginforsøg.
Hvor bør virksomheden aktivere MFA?
MFA bør som minimum beskytte konti, som kan give adgang til virksomhedens mail, cloud-tjenester, økonomisystemer, fjernadgang og administration.
Mailkonti er særligt vigtige, fordi de ofte bruges til at nulstille adgangskoder til andre tjenester. Hvis en angriber overtager mailen, kan det derfor få konsekvenser for flere systemer.
Administratorer og andre brugere med udvidede rettigheder bør anvende phishing-resistente metoder, hvor systemerne understøtter det. En kompromitteret administratorkonto kan give adgang til store dele af virksomhedens it-miljø.
MFA bør være en fælles sikkerhedspolitik og ikke et frivilligt valg for den enkelte medarbejder. Ellers vil de mindst beskyttede konti fortsat være oplagte mål.
Husk gendannelse og kontrol
Virksomheden skal have en sikker procedure for brugere, der mister deres telefon eller sikkerhedsnøgle. Ellers kan angribere forsøge at omgå MFA ved at kontakte it-supporten og udgive sig for at være medarbejderen.
Backupkoder skal opbevares sikkert og må ikke ligge sammen med adgangskoden. Hvis virksomheden anvender fysiske sikkerhedsnøgler, kan en ekstra nøgle opbevares som reserve.
Gamle telefoner og godkendelsesmetoder skal fjernes fra kontoen, når de ikke længere anvendes. Virksomheden bør også kontrollere, at MFA reelt er aktiveret på alle relevante konti.
MFA erstatter ikke stærke adgangskoder eller øvrig it-sikkerhed. Det tilføjer et vigtigt ekstra lag, som kan forhindre en stjålet adgangskode i at blive til en overtaget konto.
