Slik slår du på tofaktorautentisering

01Hva er tofaktorautentisering?

Tofaktorautentisering (2FA, også kalt bekreftelse i to trinn) betyr at det kreves et ekstra bevis ved siden av passordet når du logger inn på en konto. Passordet er noe du vet. Det andre trinnet er noe du har: en app på telefonen, en sikkerhetsnøkkel i lommen eller en kode som sendes til deg.

Denne oppbygningen hindrer en angriper i å komme inn på kontoen med bare passordet, selv om passordet ditt har havnet på avveie i en datalekkasje. Angriperen kjenner passordet, men har ikke telefonen din. Derfor regnes 2FA som et av de mest effektive enkelttiltakene for å beskytte en konto i dag.

Det korte svaret på hva 2FA er: en ekstra lås på toppen av passordet. Men ikke alle låser er like sterke. Metoden du velger, avgjør hvor sterkt beskyttelsen faktisk er.

02Hvilken verifiseringsmetode er tryggest?

De fleste tjenester tilbyr flere alternativer for det andre trinnet. Forskjellen ligger i hvor lett en angriper kan etterligne trinnet. Tabellen under sammenligner vanlige metoder etter generelt sikkerhetsnivå.

03Slik setter du opp en autentiseringsapp

En autentiseringsapp er en mobilapp som lager tidsbegrensede engangskoder (TOTP). Google Authenticator, Microsoft Authenticator og lignende apper bruker den samme åpne standarden, så det spiller ingen rolle hvilken du velger for en tjeneste.

Oppsettet er det samme på alle tjenester og tar noen minutter:

1. Last ned en autentiseringsapp til telefonen fra den offisielle appbutikken.
2. Slå på 2FA i sikkerhetsinnstillingene til kontoen du vil beskytte, og velg appen som metode.
3. Skann QR-koden på skjermen med appen. En kodelinje med kontonavnet dukker opp i appen.
4. Bekreft koblingen ved å skrive inn den sekssifrede koden appen viser, hos tjenesten.
5. Last ned eller skriv ut sikkerhetskodene tjenesten gir deg, og oppbevar dem et annet sted enn på telefonen.

042FA for e-postkontoer

E-postkontoen er hovednøkkelen til alle andre kontoer. Lenker for tilbakestilling av passord sendes dit. Den som tar over e-posten, kan i en kjede komme inn på sosiale medier, bankvarsler og administrasjonspaneler. Derfor er e-posten det første stedet du bør slå på 2FA.

Gmail og Google-konto

Åpne delen Sikkerhet i Google-kontoen din og slå på bekreftelse i to trinn. Google tilbyr varsel på telefonen, autentiseringsapp, sikkerhetsnøkkel og passkey. Detaljerte og oppdaterte trinn finner du på siden Google-kontohjelp.

Outlook og e-post for bedrifter

I Microsoft-kontoer slås tofaktorautentisering på fra sikkerhetspanelet, og Microsoft Authenticator anbefales. For bedriftse-post på eget domenenavn er det sunnest å gjøre 2FA obligatorisk for alle brukere fra administratorpanelet i stedet for konto for konto. Da etterlater ikke én enkelt ansatts uaktsomhet hele selskapet åpent.

05Tofaktorautentisering på Instagram

Instagram- og Facebook-kontoer styres nå fra Kontosenter. Menynavnene kan avvike litt etter appversjon, men veien er som regel slik:

1. Åpne Innstillinger og personvern fra menyen øverst til høyre på profilen din.
2. Åpne Passord og sikkerhet under Kontosenter.
3. Velg kontoen du vil beskytte på linjen for tofaktorautentisering.
4. Velg autentiseringsapp som metode, skann QR-koden og skriv inn koden.
5. Lagre sikkerhetskodene som vises.

06Beskytte kontoer i sosiale medier

Risikoen er større for bedriftskontoer enn for personlige kontoer. En følgerskare som er bygget opp over år, og en annonsekonto kan gå tapt i én enkelt økt. Selv med tofaktorautentisering på Instagram er feller utbredt som ber om innloggingsinformasjon med meldinger om falske brudd på opphavsrett eller falske verifiseringsmerker. Hvordan du kjenner igjen slike meldinger, har vi forklart med eksempler i artikkelen hva er phishing.

Hvis du jobber med et byrå eller med kolleger, bør du bruke plattformenes system for roller og tilganger i stedet for å dele passord. Verktøy som Meta Business Manager lar deg gi en person bare tilgangen vedkommende trenger, ikke hele kontoen. Et team som driver profesjonell administrasjon av sosiale medier, bør også jobbe på denne måten.

072FA for administrasjonspaneler

Nettsidens administrasjonspanel, ordrene i nettbutikken, domene- og hostingkontoen og hotell- eller restaurantprogramvaren: hver av dem er en dør inn til hjertet av virksomheten. På en nettside der panelpassordet er kapret, kan innhold endres, kundedata leses eller domenet flyttes til en annen.

Domeneregistrar og hostingkonto er de to stedene som oftest glemmes. Hvis 2FA ikke er slått på der, svekkes alle de andre tiltakene. Samme regel gjelder forretningsprogramvaren og løsningene du bruker: hver bruker bør ha sin egen konto og sitt eget andre trinn.

Hvis du utvikler din egen programvare, er det mye enklere å ta med 2FA i designet fra starten enn å legge det til senere. En trygg nettbutikkplattform eller et bedriftspanel bør begrense innloggingsforsøk, avslutte økter etter en gitt tid og varsle om mistenkelige innlogginger.

08Sikkerhetskoder og vanlige feil

Den største risikoen ved 2FA er ikke angriperen, men at du låser deg selv ute fra din egen konto. Når telefonen går tapt, går i stykker eller du bytter nummer, kan sikkerhetskodene være den eneste veien tilbake. Vanlige feil er:

• Å oppbevare sikkerhetskodene inne på telefonen, altså på enheten som kan gå tapt.
• Å stole bare på SMS på alle kontoer og ikke holde nummeret oppdatert.
• Å trykke på hvert godkjenningsvarsel uten å tenke seg om. Avvis forespørselen hvis det ikke var du som startet den.
• Å stole på 2FA med et svakt eller gjenbrukt passord og aldri bytte passordet.
• Å glemme å fjerne 2FA-registreringen knyttet til enheten til en ansatt som har sluttet.

09Neste steg etter 2FA: passkey

Koder fra autentiseringsapper er sterke, men ikke helt immune mot phishing. En falsk side kan også be om koden. Passkey og sikkerhetsnøkler virker bare på det ekte domenenavnet og fjerner dermed denne risikoen i stor grad. Hvordan det fungerer, har vi forklart i artikkelen hva er passkey.

Likevel er ikke 2FA nok alene. Grunnlaget er fortsatt unike og lange passord. Hvordan du lager et eget passord for hver konto med en passordbehandler, har vi forklart i guiden vår om å lage sterke passord. Du finner de andre sikkerhetsartiklene våre under emnet nettsikkerhet.

Nettsidens sikkerhet stopper ikke ved innloggingen. Oppdatert programvare, SSL, sikkerhetskopiering og serverinnstillinger krever også jevnlig oppfølging. Disse lagene behandles sammen med server og infrastruktur i arbeidet med hastighet og ytelse.