Hvad er multifaktorautentificering til VPN?

Multifaktorautentificering (MFA) til VPN betyder, at login til en VPN-forbindelse kræver mere end én type bevis for identitet. Typisk kombineres noget du ved (fx adgangskode) med noget du har (fx en app eller en hardware-token) og/eller noget du er (fx biometri, hvis det bruges gennem en anden faktor).

Formålet er at gøre det sværere for en angriber at få adgang, selv hvis den første faktor bliver kompromitteret. Hvis adgangskoden lækker, kan en ekstra faktor stadig forhindre login.

Et simpelt model: to “låse” og en ekstra kontrol

Tænk MFA som en ekstra lås foran VPN-adgangen. Du kan stadig miste den første nøgle (adgangskoden), men den anden lås gør det ufuldstændigt for en angriber at “bare logge ind”. Dermed flyttes risici og trade-offs:

  • Sikkerhedsfordel: Angreb baseret på adgangskode-tyveri bliver sværere.
  • Drifts- og brugerulempe: Login bliver afhængigt af en ekstra mekanisme, der skal fungere for den rigtige bruger.

Det konkrete resultat afhænger ofte af, hvilken MFA-type der bruges, og hvordan adgang gendannes, hvis den anden faktor ikke er tilgængelig.

Forskelle mellem MFA-typer: hvor kommer sikkerhed og ulemper fra?

Der findes flere typiske MFA-tilgange. De kan virke ens for brugeren (indtast eller godkend), men de adskiller sig ofte i trusselsrobusthed og praktisk anvendelse.

1) Push-godkendelse (appen beder om “ja/nej”)

En MFA-app kan sende en notifikation, som brugeren godkender.

Mulige fordele:

  • Ofte hurtigt og brugervenligt.
  • Reducerer behovet for at indtaste lange koder.

Mulige ulemper:

  • Hvis brugeren træffer hurtige “ja” ved mistænkelige forespørgsler, kan det stadig udnyttes.
  • Brugeroplevelsen kan blive påvirket af mobilnet, app-tilgængelighed og notifikationsvaner.

2) Engangskoder (TOTP/engangskoder i app eller token)

Her genereres en kode, der typisk udløber hurtigt, og som bruges ved login.

Mulige fordele:

  • Koden er tidsbegrænset, hvilket gør statiske kompromiser mindre nyttige.
  • Kan fungere uden realtidsnotifikation.

Mulige ulemper:

  • Brugeren skal kunne se eller generere koden i rette tidsvindue.
  • Uret på enheder kan give fejl, hvis systemer ikke er synkroniserede (især ved offline eller rejse).

3) Hardware-token eller fysisk nøgle

En fysisk enhed kan generere koder eller godkende login.

Mulige fordele:

  • Ofte mindre afhængig af mobil-appens tilstand.
  • Kan reducere “login via en kompromitteret app”, afhængigt af implementering.

Mulige ulemper:

  • Ulempen er praktisk: token kan mistes, blive stjålet eller kræve håndtering ved udskiftning.
  • Giver en ekstra logistik i organisationen.

4) SMS-baseret MFA (hvor det stadig forekommer)

Nogle miljøer bruger SMS til engangskoder.

Mulige fordele:

  • Let at komme i gang med for mange brugere.

Mulige ulemper:

  • Det kan være mere sårbart end andre typer i nogle scenarier, fordi det er afhængigt af telekommunikation og kan påvirkes af angreb mod telefonnummeret.

Præcis vurdering kræver, at man ser på den konkrete implementering og de trusler, man vil beskytte sig imod.

Fordele ved MFA til VPN

Den primære sikkerhedsgevinst er, at VPN-login ikke kun afhænger af adgangskoden. Det kan især hjælpe mod:

  • Credential stuffing og brug af stjålte adgangskoder.
  • Konti, der kompromitteres via phishing, hvor adgangskoden efterfølgende bruges til login.
  • Den situation, hvor en angriber får adgang til én faktor, men ikke den anden.

Derudover kan MFA være med til at skabe bedre “adgangskontrol-hygiejne”, fordi konti ofte kræver tydelige identitets- og loginprocedurer for at fungere.

Ulemper og begrænsninger: hvad MFA kan gøre vanskeligere

Selv når MFA forbedrer sikkerheden, kan det skabe reelle friktioner:

  • Tidsforbrug og friktion: Login kan tage længere tid, især ved første opsætning.
  • Driftsafhængighed: Adgangen afhænger af app, telefon, token eller anden mekanisme.
  • Fejl og “låst ude”: Manglende mobiladgang, batteri, mistet telefon/token eller ændret enhed kan give stop i arbejdsgangen.
  • Fallback-ordninger: Hvis systemet tilbyder en genvej (fx backup-koder eller support-baseret genaktivering), kan sikkerheden variere afhængigt af, hvor stramt fallback-processen kontrollerer identitet.

Vigtigt: “MFA” er ikke en enkelt teknologi med ens effekt. Den reelle gevinst afhænger af valg af anden faktor og kvaliteten af processen rundt om den.

Undtagelser: hvornår forskelle i MFA betyder mindre eller mere

Nogle situationer ændrer vægtningen mellem fordele og ulemper:

  • Hvis en organisation allerede har stærke kontroller omkring identitet og adgang (fx begrænset login-rate, stramme sessioner), kan MFA stadig være værdifuld, men trade-offs kan føles mindre.
  • Hvis brugere ofte skifter enheder eller rejser, kan kodeløsninger eller push være mere/ mindre praktiske.
  • Hvis fallback og genindstilling er svag eller for bred, kan angrebere få adgang via “reparationsvejen”, selv om MFA i normal drift virker.

Derfor er forskellen mellem MFA-typer ikke kun teknisk—den handler også om hele livscyklussen for login og adgang.

Praktisk: sådan kan du vurdere hvilken MFA der passer til dit behov

For at forstå “forskellene” uden at gætte, kan du kontrollere følgende punkter i den løsning, du bruger:

  1. Hvilken MFA-type bruges (push, engangskoder, hardware, SMS eller kombination)?
  2. Hvordan håndteres tab af adgang til den anden faktor (telefon/token)?
  3. Findes der backup-metoder, og er de beskyttet med samme identitetsniveau?
  4. Hvad sker der ved for mange mislykkede forsøg (låsepolitik, ventetid, krav om genverifikation)?
  5. Hvor afhænger du af online-forbindelser og notifikationer, når du logger ind?

Hvis du gennemgår disse punkter, kan du sammenholde sikkerhedsgevinsten med den praktiske hverdag: hvor sandsynligt er det, at brugere reelt bliver hjulpet af den ekstra faktor, og hvor ofte opstår stop i arbejdet?

Konklusion: fordele kommer med en drifts- og procesmæssig pris

MFA til VPN er typisk en forbedring i forhold til kun adgangskode, fordi den ekstra faktor gør adgang sværere at kompromittere. Men forskellene mellem MFA-typer påvirker både sikkerhedens robusthed og brugerfriktionen.

Den bedste “afvejning” findes ved at vurdere både teknologien (hvilken faktor der bruges) og processen (opsætning, drift, fallback og genindstilling) i den konkrete sammenhæng.