Ett lösenord räcker inte. Även ett starkt lösenord kan gissas, stjälas eller knäckas av en angripare. Den som känner till ditt lösenord kommer åt ditt konto. Tvåfaktorsautentisering (2FA) är säkerhetslagret som stoppar det. Det kräver ett andra verifieringssteg utöver lösenordet och visar att du är den du utger dig för att vara, även om lösenordet har läckt.
Den här artikeln går igenom hur 2FA fungerar, var du bör använda det i dina formulär, vilka 2FA-metoder som är säkrast och hur du inför det utan att skapa onödigt krångel för legitima användare.
Det här får du lära dig: Vad tvåfaktorsautentisering är och varför det spelar roll, de olika typerna av 2FA, hur varje metod fungerar, vilka formulär som behöver 2FA-skydd och hur du väljer rätt 2FA-metod för ditt behov.
Vad är tvåfaktorsautentisering?
Tvåfaktorsautentisering kräver två separata bevis innan någon får tillträde. Faktorerna delas vanligtvis in så här:
- Något du vet: Ett lösenord eller en PIN-kod
- Något du har: En telefon, en säkerhetsnyckel eller en autentiseringsapp
- Något du är: Biometri, till exempel fingeravtryck eller ansiktsskanning
Ett inloggningsflöde med 2FA ser oftast ut så här:
- Användaren anger sitt användarnamn och lösenord
- Systemet kontrollerar att lösenordet stämmer
- Systemet ber om en andra faktor (till exempel "Ange koden från din telefon")
- Användaren anger den andra faktorn (till exempel "123456")
- Systemet verifierar den andra faktorn
- Användaren får tillträde
Om någon stjäl lösenordet kommer personen ändå inte åt kontot utan den andra faktorn. Det är det som gör 2FA så effektivt.
Därför är 2FA viktigt för formulärsäkerheten
Lösenord stjäls hela tiden
Dataintrång avslöjar miljontals lösenord varje år. Om ditt lösenord fanns i en läckt databas någonstans har angripare det. Ett starkt lösenord hjälper, men det är fortfarande bara ett lösenord.
Lösenordsattacker är vanliga
Angripare använder brute force (de testar miljontals kombinationer), ordlisteattacker (de testar vanliga lösenord) och credential stuffing (de använder lösenord från andra dataintrång). De här attackerna fungerar om inget skydd finns utöver lösenordet.
Nätfiske riktar sig mot lösenord
Angripare skickar falska inloggningssidor som ser ut som din webbplats. Användare skickar in sina uppgifter på den falska sidan. Om din webbplats bara kräver ett lösenord har angriparen nu tillgång. Om 2FA krävs kan angriparen inte använda enbart lösenordet.
Kontokapningar blir dyra
Om någon tar sig in på ett kundkonto kan personen byta lösenord, återställa kontot, göra obehöriga köp eller stjäla information. Med 2FA blir obehörig åtkomst mycket svårare.
Typer av tvåfaktorsautentisering
SMS-koder (textmeddelanden)
Så fungerar det: Användaren anger användarnamn och lösenord. Systemet skickar en sexsiffrig kod som sms till användarens telefon. Användaren anger koden från meddelandet.
Fördelar: Enkelt för användarna. Fungerar på alla telefoner (ingen app behövs).
Nackdelar: Sms kan avlyssnas eller omdirigeras. Inte den säkraste metoden. Det kostar pengar att skicka sms.
Passar bäst för: Kundvända tjänster där enkelhet väger tyngre än högsta möjliga säkerhet.
Autentiseringsappar
Så fungerar det: Användaren installerar en app som Google Authenticator, Microsoft Authenticator eller Authy. Vid inloggning skapar appen en tidsbaserad kod (oftast sex siffror som byts var 30:e sekund). Användaren anger den koden.
Fördelar: Mycket säkert. Kan inte avlyssnas. Gratis för användarna.
Nackdelar: Användarna måste installera en app. Den som tappar bort sin telefon förlorar åtkomsten, om det inte finns reservkoder.
Passar bäst för: Tjänster med höga säkerhetskrav (adminpaneler, finansiella konton, känsliga data). Här är det acceptabelt med lite mer krångel.
Säkerhetsnycklar i hårdvara
Så fungerar det: Användaren har en fysisk nyckel (till exempel ett USB-minne). Vid inloggning ber systemet om nyckeln. Användaren sätter i den eller håller den mot enheten. Nyckeln visar att användaren äger den.
Fördelar: Extremt säkert. Kan inte hackas på distans. Fungerar på många webbplatser.
Nackdelar: Användarna måste köpa nycklar (30 till 50 dollar). De kan tappas bort eller glömmas. Stödet är ännu inte brett.
Passar bäst för: Situationer med maximal säkerhet (myndigheter, militär, konton med högt värde). Används av teknikvana användare.
Pushnotiser
Så fungerar det: Användaren försöker logga in. Systemet skickar en pushnotis till användarens telefon: "Vill du godkänna den här inloggningen?" Användaren trycker på "Godkänn" i notisen.
Fördelar: Mycket användarvänligt. Ingen kod att skriva. Tåligt mot nätfiske (användaren ser varifrån inloggningen kommer).
Nackdelar: Kräver en särskild app eller ett särskilt system. Går inte att använda om telefonen inte finns till hands.
Passar bäst för: Mobilförst-tjänster och konsumentappar där användarupplevelsen är avgörande.
E-postkoder
Så fungerar det: Användaren anger användarnamn och lösenord. Systemet skickar en kod till användarens e-postadress. Användaren anger koden från e-postmeddelandet.
Fördelar: Fungerar utan telefon. Tillgängligt för alla användare.
Nackdelar: E-post kan hackas. Användaren måste kolla sin e-post, vilket går långsammare än andra metoder. Mindre säkert än autentiseringsappar.
Passar bäst för: Tjänster med låga säkerhetskrav eller som reservlösning när andra metoder inte finns.
Biometri (fingeravtryck, ansikte)
Så fungerar det: Användarens enhet (telefon eller dator) använder inbyggda biometriska sensorer. Användaren skannar sitt fingeravtryck eller ansikte för att godkänna inloggningen eller åtgärden.
Fördelar: Mycket bekvämt. Mycket säkert. Unikt för varje person.
Nackdelar: Kräver en enhet med biometrisk sensor. Lagring av biometriska data väcker integritetsfrågor.
Passar bäst för: Mobilappar och moderna enheter. Blir allt vanligare i takt med att biometrisk hårdvara blir standard.
Vilka formulär behöver 2FA?
Formulär med högt värde (måste ha 2FA)
- Inloggningsformulär (adminpanel, kundkonto, e-post)
- Formulär för återställning av lösenord
- Ändringar av kontoinställningar (särskilt e-post eller lösenord)
- Betalnings- och finansformulär
- Radering av data eller andra känsliga åtgärder
Formulär med medelhögt värde (bör ha 2FA)
- Kontoregistrering (för att förhindra kontokapning redan från början)
- Formulär som ändrar användardata eller inställningar
- Formulär som bara admin använder
Formulär med lågt värde (2FA är valfritt)
- Kontaktformulär (som bara samlar in offentlig information)
- Nyhetsbrevsanmälan (formulär utan konto)
- Enkätformulär
Tumregeln: om formuläret kan ändra användarens konto, ge åtkomst till känsliga data eller utföra åtgärder som inte går att ångra, använd 2FA.
Inför 2FA utan onödigt krångel
Gör 2FA valfritt från början och obligatoriskt för känsliga åtgärder
Låt användarna registrera sig utan 2FA. Men kräv 2FA när de försöker öppna känsliga delar, ändra betalningsuppgifter eller byta lösenord.
Erbjud flera 2FA-metoder
Vissa användare har telefon, andra inte. Vissa föredrar autentiseringsappar, andra säkerhetsnycklar. Med flera metoder kan alla använda 2FA.
Ge reservkoder
Om 2FA är obligatoriskt och användarna tappar bort telefonen eller autentiseringsappen kommer de inte åt sitt konto. Ge dem reservkoder (engångskoder som skapas vid installationen) så att de kan logga in om de förlorar sin vanliga 2FA-metod.
Kom ihåg betrodda enheter
När en användare har klarat 2FA på en enhet en gång kan du låta enheten bli "ihågkommen", så att användaren slipper 2FA varje gång. Det minskar krånglet, samtidigt som säkerheten ligger kvar för misstänkta inloggningar från okända enheter.
Använd riskbaserad 2FA
Om en användare loggar in från sin vanliga plats, vid sin vanliga tid och med sin vanliga enhet behövs kanske inte 2FA. Om en användare loggar in från ett annat land klockan 03.00 med en ny enhet, kräv 2FA. Då får du en bra balans mellan säkerhet och användbarhet.
Återställning och reservlösningar
Användare kommer att tappa bort telefoner, glömma appar och låsa ute sig själva. Ha en plan:
- Reservkoder: Skapa 10 engångskoder vid 2FA-installationen som kan användas om den vanliga metoden inte är tillgänglig
- Kontoåterställning: Låt användare styrka sin identitet med säkerhetsfrågor eller e-post för att få tillbaka åtkomsten
- Supportrutin: Lär supportpersonalen hur de verifierar identitet och hjälper utelåsta användare
Attacker mot 2FA och hur du förebygger dem
SIM-byte (SIM swapping)
En angripare övertygar en telefonoperatör om att flytta offrets telefonnummer till ett nytt SIM-kort. Därefter tar angriparen emot de 2FA-koder som skickas med sms.
Förebyggande: Använd autentiseringsappar eller säkerhetsnycklar i stället för sms. Sms är sårbart för SIM-byte.
Nätfiske av 2FA-koder
En angripare skapar en falsk inloggningssida som ber om en 2FA-kod. Användaren anger koden. Angriparen använder koden direkt för att logga in på det riktiga kontot.
Förebyggande: Använd metoder som visar sammanhanget (pushnotiser visar "inloggning på www.example.com") eller säkerhetsnycklar (som kontrollerar webbplatsens domän). Kodbaserade metoder är sårbara för det här.
Borttappade eller stulna enheter
Om enheten med 2FA-appen tappas bort eller stjäls kan en angripare möjligen använda den för att komma åt konton.
Förebyggande: Kräv en PIN-kod eller biometri för att låsa upp enheten. Kräv en PIN-kod för att öppna autentiseringsappen. Använd reservkoder och alternativ för kontoåterställning.
Det här ska du kontrollera för 2FA
Kontrollera vilka 2FA-metoder dina konton erbjuder och aktivera den starkaste som finns. En autentiseringsapp är säkrare än koder som skickas via sms eller e-post. Förvara reservkoder på ett säkert ställe så att du kan återfå åtkomst.
Läs mer om säkerhetsfunktioner och 2FA-alternativ i dina kontoinställningar eller på prissidan.