Tvåfaktorsautentisering: koder, appar och sms

Modul 2: Lösenord och inloggning · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du jämföra de olika formerna av tvåfaktorsautentisering (sms, mejl, TOTP, push), känna igen attackerna mot dem och ordna återställning för om du tappar bort telefonen.

Nyckelbegrepp: 2FA/MFA, faktor (veta, ha, vara), TOTP, delad hemlighet, push-notis, MFA-trötthet, sim-swap, återställningskoder

Två olika bevis

Ett lösenord är något du vet. Om det läcker kan vem som helst som känner till det logga in. Tvåfaktorsautentisering (2FA) kräver därför ett andra bevis av ett annat slag. Vid fler än två kallas det multifaktorautentisering (MFA); i praktiken används termerna om vartannat.

Det finns tre typer av faktorer:

• Veta: ett lösenord eller en pinkod.
• Ha: din telefon med en app, en säkerhetsnyckel, ett kort.
• Vara: ditt fingeravtryck eller ansikte.

Två gånger samma typ räknas inte: ett lösenord plus en säkerhetsfråga är två saker du vet. Det nederländska NCSC ger en bestämd rekommendation att använda MFA på alla system och konton som stödjer det, och särskilt på konton som nås via internet och konton med administratörsrättigheter. För ett litet företag gäller det i alla fall: mejl, webbhotell och domänregistrering, bank, bokföring, webbutik, lösenordshanteraren och företagets sociala medier.

Formerna jämförda

Varje form är mycket bättre än inget andra steg alls. Men tabellen visar också: allt där du skriver av en kod eller godkänner en notis kan en bedragare lura dig att göra på sin falska webbplats. NIST säger det i SP 800-63B-4 rakt ut: metoder där du matar in resultatet för hand är inte phishingresistenta.

Hur en autentiseringsapp fungerar

En autentiseringsapp använder TOTP: Time-based One-Time Password, beskrivet i RFC 6238. Det fungerar så här:

1. Vid uppsättningen skapar tjänsten en slumpmässig delad hemlighet, till exempel 32 tecken som JBSWY3DPEHPK3PXP.... Den hemligheten finns i QR-koden du skannar, eller så skriver du av den som "manuell nyckel".
2. Din app och tjänsten har nu båda samma hemlighet. Därefter behövs ingen mer kontakt mellan dem.
3. Var 30:e sekund räknar båda om hemligheten plus aktuell tid till en kod på 6 siffror. Eftersom de har samma hemlighet och samma klocka blir det samma kod.
4. Vid inloggning jämför tjänsten din kod med sitt eget resultat, oftast med en marginal på en tidsperiod före eller efter för en klocka som går lite fel.

Två konsekvenser:

• Hemligheten är själva låset. Den som ser QR-koden eller den manuella nyckeln kan för alltid skapa samma koder som din telefon. Ta alltså ingen skärmdump av den, dela den med ingen och skicka den inte till en kollega.
• Koden fungerar även utan internet och kommer inte via telefonnätet. Därför är TOTP starkare än sms.

Det finns olika typer av autentiseringsappar: fristående på telefonen, inbyggda i en lösenordshanterare, öppen källkod eller från ett stort techbolag, med eller utan krypterad säkerhetskopia i molnet. Exempel är Aegis, Google Authenticator och Microsoft Authenticator, utöver funktionen i hanterare som Bitwarden eller 1Password. En säkerhetskopia är praktisk vid en ny telefon, men det nederländska NCSC varnar: en dåligt krypterad säkerhetskopia ger även en angripare tillgång.

Sim-swap: varför sms är den svagaste formen

Vid sim-swap tar en bedragare över ditt telefonnummer. Han låter numret flyttas till ett sim-kort eller en eSIM som han själv har. Det lyckas till exempel genom att utge sig för att vara dig hos din operatör, eller genom att få dig själv att medverka: Polisen och CERT-SE (https://www.cert.se/) varnar för sms och samtal "från din operatör" om att ditt sim-kort måste valideras eller brådskande flyttas till en eSIM.

Så snart det lyckas:

• förlorar din telefon plötsligt all täckning och du kan varken ringa eller sms:a själv;
• får bedragaren alla sms-koder, även "glömt lösenord"-koderna från tjänster som använder ditt nummer som återställningsmetod;
• kan han ibland ta över konton med bara ditt nummer.

Det besvärliga: du märker det först när telefonen slutar fungera, ofta på kvällen eller en helg. NIST kallar därför sms en begränsad metod och säger att tjänster bör vara uppmärksamma på signaler som ett nytt sim-kort eller ett nummer som flyttats. Det nederländska NCSC rekommenderar att undvika sms där det går, eftersom meddelanden inte är krypterade och kan avlyssnas.

Vad gör du?

• Välj där det går en app eller passkey i stället för sms.
• Ta bort ditt telefonnummer som återställningsmetod där det är en svag punkt, eller skydda det extra.
• Fråga din operatör om du kan ställa in en extra pinkod eller kontroll för att flytta ditt nummer.
• Försvinner täckningen plötsligt utan anledning? Ring din operatör från en annan enhet. Vänta inte.

Sms är ändå bättre än inget. Erbjuder en tjänst bara sms, aktivera det ändå.

MFA-trötthet: notisen du klickar bort

Vid en push-notis behöver du inte skriva av något: telefonen frågar "Försöker du logga in?" och du trycker på Godkänn. Enkelt, och just därför utnyttjat.

Vid MFA-trötthet (även kallat push-bombning) har en angripare redan ditt lösenord. Han loggar in gång på gång, så att din telefon får den ena notisen efter den andra, ibland mitt i natten. Amerikanska CISA beskriver hur människor då av irritation eller av misstag trycker på Godkänn, eller tror att en av notiserna säkert är äkta. Ibland ringer angriparen dessutom upp och utger sig för "supporten" och frågar om du kan godkänna.

Ett verkligt fall som det nederländska NCSC beskriver: angripare tog sig in i ett mjukvaruföretags mejlkonton via MFA-trötthet och använde dem sedan för fakturabedrägeri.

Reglerna:

• Godkänn aldrig en notis du inte själv orsakat. Inte ens den tjugonde.
• En oväntad notis betyder att någon har ditt lösenord. Byt det omedelbart och anmäl det.
• Välj där det går nummermatchning: inloggningsskärmen visar ett nummer som du skriver in i appen. Den som inte sitter vid inloggningsskärmen kan då inte godkänna. CISA kallar det ett bra mellansteg, men svagare än phishingresistent MFA.

Återställning: ordna det innan telefonen försvinner

Telefonen hamnar i vattnet, blir stulen eller går sönder. Utan förberedelse står du då utanför dina egna konton. Därför finns återställningskoder (även säkerhetskopieringskoder): en rad reservkoder som du får vid uppsättningen och som var och en fungerar en gång.

• Spara dem inte på samma telefon som din autentiseringsapp. Skriv ut dem och lägg dem bland dina viktiga papper, eller spara dem i din lösenordshanterare vid rätt post.
• Har du använt en återställningskod? Stryk över den. Tar de slut, skapa nya.
• Se till att ha minst två sätt att komma in: till exempel appen plus återställningskoder, eller två säkerhetsnycklar.
• Vid en ny telefon, flytta över dina konton först och radera sedan den gamla.
• Känn till hur återställningsproceduren hos dina viktigaste tjänster fungerar. En bra tjänst återställer inte ditt andra steg bara utifrån ett mejl eller samtal, utan kontrollerar först att det verkligen är du.

I praktiken: så här ser det ut

I WebOkés miljö ber Mitt WebOké alltid om ett andra steg efter ditt lösenord: som standard en kod via e-post, och du kan byta till en autentiseringsapp. I DirectAdmin heter det Tvåstegsautentisering, med återställningskoder. I Nextcloud aktiverar du TOTP och skapar tio säkerhetskopieringskoder. Hos andra leverantörer fungerar det på liknande sätt: leta i din profil eller dina säkerhetsinställningar efter "tvåfaktorsautentisering", "2FA", "autentiserare" eller "two-factor".

Stegen är nästan alltid desamma: skanna QR-koden, ange en kod för kontroll, spara återställningskoderna.

Sammanfattning

• 2FA kombinerar två typer av faktorer: veta, ha, vara.
• TOTP fungerar med en delad hemlighet och klockan. Hemligheten (QR-koden) är själva låset: dela den aldrig.
• Sms är den svagaste formen på grund av sim-swap och avlyssning, men bättre än inget.
• MFA-trötthet: godkänn aldrig en notis du inte själv orsakat, och byt därefter ditt lösenord.
• Koder och notiser är inte phishingresistenta; passkeys och säkerhetsnycklar är det (lektion 2.4).
• Ordna återställningskoder och en andra metod innan telefonen försvinner.

Quiz

Uppgift

Uppgift A2.3: Koppla en authenticator-app. Du får en QR-kod från ett övningskonto "WebOké övning". Skanna den med valfri autentiseringsapp och fyll i två koder som visas efter varandra. Programmet kontrollerar att din app räknar rätt. Övningshemligheten har inget värde och raderas efter 24 timmar; ta bort övningskontot ur din app efteråt.

Uppgift D2.3: Aktivera tvåfaktorsautentisering (2FA) på dina viktigaste konton. Aktivera tvåfaktorsautentisering på din mejl, ditt webbhotell eller din domänregistrering, bank, bokföring och lösenordshanterare. Spara återställningskoderna på ett annat ställe och svara på frågan vad du gör om du tappar bort telefonen imorgon.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• Ställ in tvåstegsverifiering i Mitt WebOké och en autentiseringsapp
• WebOké manual 3.2: Inloggningskoden via e-post (tvåstegsverifiering)
• WebOké manual 3.3: Använda en autentiseringsapp
• DirectAdmin-guide 3.2: Tvåstegsautentisering konfigurera
• DirectAdmin-guide 3.3: Backupkoder, och vad gör du om du har tappat bort din authenticator
• Nextcloud-guide 3.3: En authenticator-app ställa in och reservkoder spara
• Nextcloud-guide 3.10: Tappat bort telefonen eller 2FA: så här loggar du in igen
• Aktivera tvåstegsverifiering (2FA) i Nextcloud
• Det nederländska NCSC, Hur väljer du en MFA-metod?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
• Polisen och CERT-SE, varning om falska meddelanden från operatörer: sim-kort tas över: https://www.cert.se/
• CISA, Implementing Number Matching in MFA Applications (på engelska): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (på engelska): https://www.rfc-editor.org/rfc/rfc6238