Tofaktorautentisering: koder, apper og SMS

Modul 2: Passord og innlogging · Lesetid: 11 minutter

Læringsmål: Etter denne leksjonen kan du sammenligne formene for tofaktorautentisering (SMS, e-post, TOTP, push), gjenkjenne angrepene mot dem og ordne gjenoppretting for når telefonen din er borte.

Nøkkelbegreper: 2FA/MFA, faktor (vite, ha, være), TOTP, delt hemmelighet, push-varsel, MFA-utmattelse, sim-swap, gjenopprettingskoder

To forskjellige bevis

Et passord er noe du vet. Lekker det, kan alle som kjenner det logge inn. Tofaktorautentisering (2FA) krever derfor et andre bevis av en annen type. Ved mer enn to snakker man om flerfaktorautentisering (MFA); i praksis brukes begrepene om hverandre.

Det finnes tre typer faktorer:

• Vite: et passord eller en PIN-kode.
• Ha: telefonen din med en app, en sikkerhetsnøkkel, et kort.
• Være: fingeravtrykket eller ansiktet ditt.

To ganger samme type teller ikke: et passord pluss et sikkerhetsspørsmål er to ting du vet. Det nederlandske NCSC gir et sterkt råd om å bruke MFA på alle systemer og kontoer som støtter det, og særlig på kontoer som er tilgjengelige via internett og kontoer med administratorrettigheter. For en liten bedrift gjelder det i hvert fall: e-post, webhotell (hosting) og domeneregistrering, bank, regnskap, nettbutikk, passordbehandleren og sosiale medier for virksomheten.

Formene ved siden av hverandre

Hver form er mye bedre enn ingen andre steg. Men tabellen viser også: alt der du taster inn en kode selv eller godkjenner et varsel, kan en svindler lure deg til å gjøre på sin falske side. NIST sier det rett ut i SP 800-63B-4: metoder der du taster inn resultatet manuelt, er ikke phishingbestandige.

Hvordan en autentiseringsapp fungerer

En autentiseringsapp bruker TOTP: Time-based One-Time Password, beskrevet i RFC 6238. Slik fungerer det:

1. Under oppsettet lager tjenesten en tilfeldig delt hemmelighet, for eksempel 32 tegn som JBSWY3DPEHPK3PXP.... Denne hemmeligheten ligger i QR-koden du skanner, eller du taster den inn som «manuell nøkkel».
2. Appen din og tjenesten har nå begge den samme hemmeligheten. Etter dette trengs ingen videre kontakt mellom de to.
3. Hvert 30. sekund regner begge ut hemmeligheten pluss gjeldende tid til en 6-sifret kode. Fordi de har samme hemmelighet og samme klokke, kommer samme kode ut.
4. Ved innlogging sammenligner tjenesten koden din med sitt eget resultat, vanligvis med en margin på ett tidsvindu før eller etter for en klokke som avviker litt.

To konsekvenser:

• Hemmeligheten er selve låsen. Den som ser QR-koden eller den manuelle nøkkelen, kan for alltid lage de samme kodene som telefonen din. Ta derfor ikke skjermbilde av den, del den med ingen og send den ikke til en kollega.
• Koden fungerer også uten internett og kommer ikke inn via telefonnettet. Derfor er TOTP sterkere enn SMS.

Autentiseringsapper finnes i mange varianter: frittstående på telefonen, innebygd i en passordbehandler, åpen kildekode eller fra et stort teknologiselskap, med eller uten kryptert sikkerhetskopi i skyen. Eksempler er Aegis, Google Authenticator og Microsoft Authenticator, i tillegg til funksjonen i behandlere som Bitwarden eller 1Password. En sikkerhetskopi er praktisk ved ny telefon, men det nederlandske NCSC advarer: en dårlig kryptert sikkerhetskopi gir også en angriper tilgang.

Sim-swap: hvorfor SMS er den svakeste formen

Ved sim-swap overtar en svindler telefonnummeret ditt. Han får nummeret ditt overført til et SIM-kort eller en eSIM han selv har. Dette lykkes for eksempel ved at han utgir seg for å være deg hos operatøren din, eller ved å få deg selv til å medvirke: politiet advarer mot SMS-er og telefonsamtaler «fra operatøren din» om at SIM-kortet ditt må valideres eller straks må flyttes over til en eSIM.

Så snart det lykkes:

• mister telefonen din plutselig dekning, og du kan verken ringe eller sende SMS selv;
• får svindleren alle SMS-koder, også «glemt passord»-kodene fra tjenester som bruker nummeret ditt som gjenopprettingsmetode;
• kan han noen ganger overta kontoer med bare nummeret ditt.

Det vanskelige: du merker det først når telefonen slutter å virke, ofte om kvelden eller i helgen. NIST kaller derfor SMS en begrenset metode, og sier at tjenester må være oppmerksomme på signaler som et nytt SIM-kort eller et nummer som er overført. Det nederlandske NCSC anbefaler å unngå SMS der det er mulig, fordi meldinger ikke er krypterte og kan avlyttes.

Hva gjør du?

• Velg der det er mulig en app eller passkey i stedet for SMS.
• Fjern telefonnummeret ditt som gjenopprettingsmetode der det er en svak side, eller beskytt det ekstra.
• Spør operatøren din om du kan sette opp en ekstra PIN-kode eller kontroll for overføring av nummeret ditt.
• Forsvinner dekningen plutselig uten grunn? Ring operatøren din fra en annen enhet. Ikke vent og se.

SMS er fortsatt bedre enn ingenting. Tilbyr en tjeneste kun SMS, skru det på likevel.

MFA-utmattelse: varselet du klikker bort

Ved et push-varsel trenger du ikke taste inn noe: telefonen din spør «Prøver du å logge inn?» og du trykker Godkjenn. Enkelt, og nettopp derfor misbrukt.

Ved MFA-utmattelse (også kalt push-bombing) har en angriper allerede passordet ditt. Han logger inn gang på gang, slik at telefonen din får det ene varselet etter det andre, noen ganger midt på natten. Det amerikanske CISA beskriver hvordan folk da av irritasjon eller ved et uhell trykker Godkjenn, eller tenker at ett av varslene nok er ekte. Noen ganger ringer angriperen i tillegg, som «brukerstøtten», med spørsmål om du kan godkjenne.

Et tilfelle fra praksis som det nederlandske NCSC beskriver: angripere kom via MFA-utmattelse inn i e-postkontoene til et programvareselskap og brukte dem deretter til fakturasvindel.

Reglene:

• Godkjenn aldri et varsel du ikke selv har utløst. Heller ikke det tjuende.
• Et uventet varsel betyr at noen har passordet ditt. Bytt det med én gang og meld fra.
• Velg der det er mulig nummerinntasting: innloggingsskjermen viser et tall du taster inn i appen. Den som ikke sitter foran innloggingsskjermen, kan da ikke godkjenne. CISA kaller dette et godt mellomsteg, men svakere enn phishingbestandig MFA.

Gjenoppretting: ordne det før telefonen er borte

Telefonen din faller i vannet, blir stjålet eller går i stykker. Uten forberedelse står du da utenfor dine egne kontoer. Derfor finnes gjenopprettingskoder (også kalt sikkerhetskopikoder): en rekke reservekoder du får ved oppsettet, som hver virker én gang.

• Oppbevar dem ikke på samme telefon som autentiseringsappen din. Skriv dem ut og legg dem sammen med viktige papirer, eller lagre dem i passordbehandleren din ved riktig oppføring.
• Brukt en gjenopprettingskode? Stryk den over. Går de tomme, lag nye.
• Sørg for minst to måter å komme inn på: for eksempel appen pluss gjenopprettingskoder, eller to sikkerhetsnøkler.
• Ved ny telefon: overfør kontoene dine først, og slett den gamle etterpå.
• Vit hvordan gjenopprettingsprosedyren til dine viktigste tjenester fungerer. En god tjeneste setter ikke andre steget ditt tilbake bare på grunnlag av en e-post eller telefonsamtale, men kontrollerer først at det virkelig er deg.

I praksis: slik ser det ut

I WebOké-miljøet ber Min side alltid om et andre steg etter passordet: som standard en kode på e-post, og du kan bytte til en autentiseringsapp. I DirectAdmin heter det Two-Step Authentication, med gjenopprettingskoder. I Nextcloud skrur du på TOTP og lager ti sikkerhetskopikoder. Hos andre leverandører fungerer det på lignende måte: se etter «tofaktorautentisering», «2FA», «authenticator» eller «two-factor» under profil- eller sikkerhetsinnstillingene.

Stegene er nesten alltid de samme: skanne QR-kode, fylle inn én kode for kontroll, lagre gjenopprettingskoder.

Oppsummering

• 2FA kombinerer to typer faktorer: vite, ha, være.
• TOTP fungerer med en delt hemmelighet og klokken. Hemmeligheten (QR-koden) er selve låsen: del den aldri.
• SMS er den svakeste formen på grunn av sim-swap og avlytting, men bedre enn ingenting.
• MFA-utmattelse: godkjenn aldri et varsel du ikke selv utløste, og bytt deretter passordet ditt.
• Koder og varsler er ikke phishingbestandige; passkeys og sikkerhetsnøkler er det (leksjon 2.4).
• Ordne gjenopprettingskoder og en andre metode før telefonen din er borte.

Quiz

Oppgave

Oppgave A2.3: Koble til en autentiseringsapp. Du får en QR-kode fra en øvingskonto «WebOké øvelse». Skann den med en autentiseringsapp etter eget valg og fyll inn to koder som vises etter hverandre. Programmet kontrollerer om appen din regner riktig. Øvingshemmeligheten har ingen verdi og slettes etter 24 timer; fjern øvingskontoen fra appen din etterpå.

Oppgave D2.3: Skru på tofaktorautentisering (2FA) på kontoene dine som betyr mest. Skru på tofaktorautentisering på e-posten din, webhotell (hosting) eller domeneregistrering, bank, regnskap og passordbehandler. Oppbevar gjenopprettingskodene på et annet sted og svar på spørsmålet om hva du gjør hvis telefonen din er borte i morgen.

Les mer

Stegene i WebOké-artiklene gjelder for WebOké sitt miljø; hos andre leverandører fungerer det på lignende måte.

• To-faktor-autentisering i Mitt WebOké og sette opp en autentiseringsapp
• WebOké-veiledning 3.2: Innloggingskoden på e-post (totrinnsbekreftelse)
• WebOké-veiledning 3.3: Bruke en autentiseringsapp
• DirectAdmin-veiledning 3.2: Sette opp Two-Step Authentication
• DirectAdmin-veiledning 3.3: Back-upkoder, og hva gjør du hvis du mister authenticatoren
• Nextcloud-veiledning 3.3: En authenticator-app sette opp og lagre sikkerhetskoder
• Nextcloud-veiledning 3.10: Mistet telefonen eller 2FA: slik kommer du inn igjen
• Sette opp tofaktorautentisering (2FA) i Nextcloud
• Det nederlandske NCSC, Hvordan velger du en MFA-metode? (nederlandsk kilde): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
• Politiet, om svindel med telefonnummer og sim-swap: https://www.politiet.no/
• CISA, Implementing Number Matching in MFA Applications (engelsk): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (engelsk): https://www.rfc-editor.org/rfc/rfc6238