Mer om flerfaktorautenticering

 
Häromdagen fick jag ett egendomligt SMS. Så här såg det ut:

Meddelandet är "Din verifieringskod är 9248" från den intetsägande avsändaren "Verify". Jag har ingen aning om vad detta är och hur jag skulle tänkas agera på det. Därför ignorerade jag meddelandet. Men man kan ju spekulera i vad som har hänt. En möjlighet är att detta är ett misslyckat försök att få mig att logga in med en kod för flerfaktorautenticering på någon tjänst. (Vilken?). Och möjligen försöker någon angripare komma åt mig. Kanske genom att ha ett gissat lösenord (vilket jag bedömer som osannolikt eftersom jag har långa och mycket svårgissade lösenord). En annan möjlighet är en s.k. man-in-the-middle-attack vilket innebär att någon tjänst ligger "emellan" mig och den verkliga tjänsten och "snappar upp" inloggningar och koder som jag matar in. Jag bedömer det som osannolikt också. Så jag skulle kunna glömma alltihopa. 

 

Men låt oss fundera lite på ett säkerhetsproblem här. Att använda SMS-koder var den vanligaste lösningen för flerfaktorautenticering när det började bli vanligt för 10-15 år sen. De allra flesta har tillgång till en mobiltelefon, och kan ta emot SMS. Men det är i grunden en osäker metod, eftersom en kvalificerad angripare har flera möjligheter att ta sig in i flödet med olika tricks. Detta är också orsaken till att SMS-koder för flerfaktorautenticering numera betraktas som gammalmodiga och osäkra. De är så osäkra så de blev markerade som olämpliga av amerikanska cybermyndigheten NIST redan år 2016. Så då kan vi fundera på vad som är bättre alternativ? 

 

Det finns en mängd bättre alternativ än SMS-koder. För privatpersoner (som den här bloggen riktar sig till) är min rekommendation att använda sig av s.k. TOTP-koder. Det kanske känns väldigt tekniskt, men det är mycket enkelt. Det du behöver göra är att installera en speciell app på din mobiltelefon och här är en video som förklarar hur det går till. Vi väljer här den hyfsat enkla Google Authenticator.

När du kommit igång med användningen av Google Authenticator så kommer du stöta på en del frågor som du kan behöva se över.

• Det är väldigt viktigt att du inte blir inlåst om du förlorar din mobiltelefon. Därför bör du använda Googles molnlagringsfunktion för att skapa en säkerhetskopia av dina koder. 
• För mer avancerad användning av flerfaktorautenticering finns mer avancerade appar än Google Authenticator, som också erbjuder högre säkerhet i vissa aspekter. (Aegis, Authy, Microsoft Authenticator med flera). Jag går inte igenom alla dessa möjliga appar här och nu. Det viktiga är att du börjar bekanta dig med flerfaktorautenticering om du aldrig använt det. Och använder det för dina viktiga tjänster, särskilt viktigt är det för ditt konto för mejl.