Ett starkt lösenord räcker inte längre för att skydda administratörsåtkomsten till en webbplats på egen hand. Tvåfaktorsautentisering lägger till ett andra lager, så att ett stulet lösenord ensamt inte räcker för att ta sig in, vilket helt ändrar riskbedömningen för alla som siktar på administratörsuppgifter. En faktor kan komprometteras. Två är betydligt svårare. Den här artikeln förklarar hur tvåfaktorsautentisering fungerar, vilka typer av andra faktorer som finns och hur du aktiverar den på din webbplats.
Attacker mot inloggningsuppgifter är automatiserade. Verktyg som är gjorda för att forcera lösenord eller testa stulna inloggningsuppgifter mot inloggningssidor körs hela tiden på miljontals webbplatser. Lösenordet i sig är inte längre den sista försvarslinjen som det en gång var, eftersom för många är svaga, återanvända eller exponerade genom dataintrång hos andra tjänster. Tvåfaktorsautentisering lagar inte lösenordet. Den gör lösenordet ensamt otillräckligt. För en bredare bild av hur du skyddar administratörsåtkomst som en del av en komplett säkerhetsstrategi, se artikeln om hur du skyddar din webbplats mot hackare.
Vad är tvåfaktorsautentisering?
Tvåfaktorsautentisering, ofta förkortad 2FA, är en inloggningsprocess som kräver två separata former av verifiering innan åtkomst ges. Den första faktorn är oftast ett lösenord. Den andra faktorn är något separat, något som bara kontoinnehavaren har tillgång till i det ögonblick inloggningen sker.
Principen bakom är enkel: även om en angripare får tag i ditt lösenord genom ett dataintrång, nätfiske eller brute force kan hen inte slutföra inloggningen utan att också kontrollera den andra faktorn. I de flesta fall finns den andra faktorn på en enhet som kontoinnehavaren fysiskt har, vilket betyder att det krävs mer än ett stulet lösenord för att ta sig in.
Hur fungerar tvåfaktorsautentisering?
Inloggningsförloppet
- Användaren skriver in sitt användarnamn och lösenord på inloggningssidan som vanligt
- I stället för att få åtkomst direkt uppmanas hen att göra ett andra verifieringssteg
- Användaren anger den andra faktorn, som systemet verifierar innan åtkomst ges
- Om någon av faktorerna är fel nekas åtkomst
Vad det här stoppar
- En angripare som har fått tag i rätt lösenord stoppas vid det andra steget eftersom hen inte har tillgång till den andra faktorn
- Brute force-attacker som lyckas hitta ett lösenord kan ändå inte slutföra inloggningen utan den andra faktorn
- Inloggningsuppgifter som har stulits genom nätfiske eller dataintrång hos andra tjänster blir otillräckliga i sig själva
Vilka typer av andra faktorer finns?
Autentiseringsappar
- En autentiseringsapp skapar en tidsbaserad kod som förnyas var 30:e sekund. Användaren öppnar appen, läser av den aktuella koden och skriver in den vid inloggningen
- Koden skapas på enheten och skickas inte över nätverket, vilket gör den motståndskraftig mot avlyssning
- Det anses allmänt vara det mest praktiska och säkra alternativet för de flesta webbplatsägare
SMS-koder
- En engångskod skickas som sms till användarens registrerade telefonnummer vid inloggningen
- SMS-koder är bekvämare att ställa in än en autentiseringsapp men anses mindre säkra, eftersom telefonnummer kan kapas genom SIM-byte och sms kan avlyssnas
- De är betydligt bättre än ingen andra faktor alls
Hårdvarunycklar
- En hårdvarunyckel är en fysisk enhet, oftast en liten USB- eller NFC-enhet, som användaren sätter i eller håller mot enheten vid inloggningen för att verifiera sin identitet
- Hårdvarunycklar ger den starkaste formen av tvåfaktorsautentisering och är immuna mot nätfiske, eftersom verifieringen är knuten till den specifika webbplats som nås
- De är vanligare i miljöer med hög säkerhet och används mer sällan för vanlig administratörsåtkomst till webbplatser
E-postkoder
- En engångskod skickas till användarens registrerade e-postadress och måste skrivas in vid inloggningen
- E-postkoder är den svagaste andra faktorn eftersom de förlitar sig på e-postkontots säkerhet. Om e-postkontot är komprometterat ger den andra faktorn inget skydd
- De är bättre än ingen andra faktor, men autentiseringsappar är ett mer pålitligt val
Varför behöver din webbplats tvåfaktorsautentisering?
Lösenord komprometteras regelbundet
- Dataintrång hos andra tjänster exponerar inloggningsuppgifter som sedan testas mot administratörspaneler på webbplatser. Ett lösenord som återanvänds från ett annat konto kan användas för att komma åt din webbplats även om din webbplats aldrig var måltavla direkt
- Nätfiskeattacker som fångar lösenord är svåra att helt förhindra. Tvåfaktorsautentisering begränsar skadan när ett lösenord har kommit i orätta händer
Automatiserade attacker mot inloggningsuppgifter pågår hela tiden
- Brute force-verktyg körs hela tiden på webbplatser och testar vanliga lösenord, ord ur ordlistor och listor med läckta inloggningsuppgifter
- Med tvåfaktorsautentisering räcker inte ens ett lösenord som har hittats med brute force för att slutföra en inloggning
Administratörsåtkomst är det mest värdefulla målet
- En angripare som får åtkomst till en webbplats administratörspanel kan installera skadlig kod, stjäla data, skapa bakdörrar eller låsa ute ägaren helt
- Att skydda administratörsåtkomst med tvåfaktorsautentisering minskar direkt konsekvenserna av ett komprometterat lösenord, som är det vanligaste målet vid attacker mot inloggningsuppgifter
För sammanhanget kring vad angripare kan göra när de väl har fått administratörsåtkomst, se artikeln om vad skadlig kod på webbplatser är och hur den påverkar din webbplats. För en fullständig genomgång av varför webbplatssäkerhet är viktig även bortom administratörsåtkomst, se artikeln om varför webbplatssäkerhet är viktigt.
Hur aktiverar du tvåfaktorsautentisering på din webbplats?
För administratörsåtkomst till webbplatsen
- Många webbplatsplattformar har tvåfaktorsautentisering som ett inbyggt alternativ i kontoinställningarna. Kontrollera först avsnittet för säkerhet eller kontoinställningar på din plattform
- För plattformar som inte har det inbyggt finns säkerhetstillägg eller plugin som lägger till 2FA i inloggningsprocessen
- Aktivera det för varje administratörskonto, inte bara huvudkontot. Varje administratörskonto utan tvåfaktorsautentisering är en möjlig ingång
För hosting- och domänkonton
- Hostingens kontrollpanel och domänregistratorns konto är lika viktiga att skydda som själva webbplatsen. En angripare som får åtkomst till hostingkontot kan ändra DNS-poster, komma åt säkerhetskopior eller ta webbplatsen offline
- Aktivera tvåfaktorsautentisering på hostingpanelen och domänregistratorns konto, inte bara på webbplatsens egen inloggning
För e-postkonton som används vid kontoåterställning
- Flöden för lösenordsåterställning skickar oftast en länk till den registrerade e-postadressen. Om det e-postkontot är komprometterat kan det användas för att ta över webbplatskontot
- Att skydda e-postkontona som är kopplade till webbplatsens administratörsåtkomst med tvåfaktorsautentisering stänger den återställningsvägen som attackväg
För hur säkerhetskopior fungerar tillsammans med tvåfaktorsautentisering som en del av en komplett säkerhetsstrategi, se artikeln om hur du säkerhetskopierar din webbplats.
Så hanterar WEMASY autentiseringssäkerhet
Tvåfaktorsautentisering finns för åtkomst till WEMASY-konton. Webbplatsägare kan aktivera den via sina kontoinställningar för säkerhet för att skydda åtkomsten till instrumentpanelen, webbplatsens konfiguration och faktureringsuppgifter. När den är aktiverad kan ett stulet lösenord ensamt inte användas för att komma åt kontot.
Inloggningsaktivitet övervakas på plattformsnivå och säkerhetshändelser loggas. Plattformen begränsar också antalet inloggningsförsök för att minska exponeringen för brute force-attacker.
Se vad som ingår i WEMASYs webbplatsbyggare, eller jämför planalternativ på prissidan.
Vanliga frågor
Vad är tvåfaktorsautentisering?
Tvåfaktorsautentisering är en inloggningsprocess som kräver två separata former av verifiering innan åtkomst ges. Den första faktorn är oftast ett lösenord. Den andra är något som bara kontoinnehavaren har tillgång till i det ögonblick inloggningen sker, till exempel en kod från en autentiseringsapp eller ett sms till en registrerad telefon. Båda måste anges korrekt för att slutföra inloggningen, vilket betyder att ett stulet lösenord ensamt inte räcker för att en angripare ska komma in. Med WEMASYs webbplatsbyggare kan du ställa in det här direkt på din webbplats.
Varför bör jag använda tvåfaktorsautentisering på min webbplats?
Lösenord komprometteras regelbundet genom dataintrång, nätfiskeattacker och brute force-verktyg. Med tvåfaktorsautentisering kan ett lösenord som en angripare har fått tag i ändå inte användas för att slutföra en inloggning utan den andra faktorn. För administratörskonton på webbplatser, där en lyckad inloggning kan leda till att skadlig kod installeras, data stjäls eller webbplatsen låses, är tvåfaktorsautentisering en av de säkerhetsåtgärder som har störst effekt.
Vilken typ av andra faktor är bäst att använda?
En autentiseringsapp är den rekommenderade andra faktorn för de flesta webbplatsägare. Den skapar en tidsbaserad kod på själva enheten, som inte skickas över nätverket och därför inte är sårbar för avlyssning på samma sätt som SMS-koder. Hårdvarunycklar är säkrare men mindre praktiska för daglig användning. SMS-koder och e-postkoder är bättre än ingen andra faktor alls, men en autentiseringsapp ger rätt balans mellan säkerhet och användarvänlighet.
Vad händer om jag förlorar åtkomsten till min andra faktor?
De flesta plattformar som stöder tvåfaktorsautentisering ger också reservkoder vid konfigurationen. Dessa koder kan användas en gång vardera för att komma åt kontot om den andra faktorn inte är tillgänglig. Förvara dem på ett säkert ställe, skilt från enheten som används för autentisering. Om reservkoderna är förlorade och den andra faktorn inte är tillgänglig kräver återställning oftast att du verifierar din identitet genom plattformens process för kontoåterställning, vilket kan ta tid och kräva bevis på att du är ägaren.
Skyddar tvåfaktorsautentisering mot alla inloggningsattacker?
Den skyddar mot de flesta attacker som bygger på inloggningsuppgifter, bland annat brute force, credential stuffing och attacker som använder stulna lösenord från andra tjänster. Den skyddar inte mot attacker som kringgår inloggningen helt, som att utnyttja en sårbarhet i webbplatsens programvara eller få åtkomst via en komprometterad session. Tvåfaktorsautentisering är ett avgörande lager för att skydda administratörsåtkomst, men fungerar bäst som en del av en bredare säkerhetsstrategi med programuppdateringar, starka lösenord och regelbundna säkerhetskopior.
Bör jag aktivera tvåfaktorsautentisering på andra konton än webbplatsens inloggning?
Ja. Hostingens kontrollpanel och domänregistratorns konto bör båda ha tvåfaktorsautentisering aktiverad. Åtkomst till någon av dem kan användas för att ändra webbplatsens konfiguration, DNS-poster eller säkerhetskopior på sätt som helt kringgår webbplatsens egen inloggning. E-postkontot som används vid kontoåterställning bör också skyddas med tvåfaktorsautentisering, eftersom flöden för lösenordsåterställning skickar en länk till den adressen och ett komprometterat e-postkonto kan användas för att ta över webbplatskontot.