Hvad betyder multi factor authentication?

Multi factor authentication (MFA) er en metode til at øge sikkerheden ved log ind og andre adgangspunkter, hvor brugeren skal bevise identitet med flere faktorer. En faktor kan fx være noget du kender (adgangskode), noget du har (en app eller en nøgle), eller noget du er (biometri, hvor det bruges som faktor).

Pointen er at mindske risikoen for, at én kompromitteret detalje (typisk adgangskoden) alene giver adgang. Når der kræves mindst to faktorer, skal en angriber typisk kunne påvirke flere uafhængige elementer, før der opstår adgang.

Hvordan MFA typisk fungerer i praksis

I en typisk MFA-strøm starter godkendelsen med adgangskoden eller et tilsvarende første trin. Derefter følger et ekstra verifikationstrin, der afhænger af den valgte MFA-metode. Det kan være en kode, der vises i en autentificeringsapp, en engangskode sendt til en enhed, en hurtig bekræftelse i en app, eller en signering/bekræftelse fra et hardwarebaseret sikkerhedsprodukt.

Når MFA er aktiveret, vurderer tjenesten normalt login-hændelsen (fx brugerkonto, enhed og kontekst) og kræver den ekstra faktor. Nogle systemer kan også have “step-up”-krav, hvor MFA udløses ved bestemte risikable handlinger, eksempelvis ændring af adgangsdata.

Vigtigt: MFA handler om autentificering. Det løser ikke automatisk alle problemer som svagheder i selve kontoen, usikre sessioner eller fejl i brugerens enheds- og netværksmiljø.

Forskelle mellem MFA-typer og hvad de betyder for risiko

Ikke alle MFA-metoder giver samme beskyttelse. Forskellene handler ofte om, hvor let det er for en angriber at bruge brugerens aktive session eller at få adgangskoder/engangskoder “på den rigtige tid”.

  • Autentificeringsapp med engangskoder: Ofte baseret på tids- eller hændelsesafhængige koder. Fordelen er, at koderne er bundet til en autentifikator og ikke nødvendigvis kan aflæses direkte af en angriber, hvis de ikke får adgang til selve koden i realtid.
  • Push-baseret bekræftelse: Brugeren får en anmodning og skal godkende. Risikoen kan stige, hvis brugeren let kan overtales til at godkende, eller hvis systemet ikke har stærke protections mod samtidige/uredelige anmodninger.
  • SMS-koder: Kan være nemmere at implementere, men afhænger af mobilnet, SIM-håndtering og kan i nogle scenarier være sårbar over for særlige angreb. Hvordan den praktisk beskytter, kan derfor variere.
  • Hardwarebaserede sikkerhedsnøgler: Typisk mere robust, fordi verifikation ofte sker med en fysisk enhed og en stærkere kryptografisk interaktion. Den nøjagtige styrke afhænger dog af opsætning og den måde, systemet integrerer på.
  • Biometri: Når det bruges som faktor, kan det være praktisk. Men biometri erstatter ikke nødvendigvis andre faktorer; det afhænger af, hvordan systemet kombinerer det i autentificeringsflowet.

Der er en fælles grænse: MFA kan stadig blive udfordret af angreb, der sigter mod at udnytte brugerens handlinger (fx social engineering) eller få koden/approval til at blive brugt korrekt i et falsk login-flow.

Begrænsninger og de scenarier, hvor MFA kan svigte

MFA reducerer risiko, men “udrydder” den ikke. Centrale begrænsninger handler ofte om, hvordan en angriber angriber identitet frem for kun adgangskoden.

1) Phishing og realtidsmisbrug Hvis en angriber kan få brugeren til at indtaste en kode eller godkende en login-anmodning i et falsk setup, kan MFA blive mindre effektiv. Risikoen afhænger af MFA-typen og af om tjenesten kan genkende og blokere uønskede sammenhænge.

2) Kompromitterede enheder Hvis brugerens enhed er kompromitteret, kan en angriber potentielt få adgang til autentificeringsdata, sessioner eller skærm-/inputinformation. MFA hjælper især mod “kun adgangskode”, men den beskytter ikke mod alt, der foregår på den kompromitterede enhed.

3) Manglende styring af backup og genopretning Hvis der findes genoprettelsesmetoder, der ikke også er beskyttet af stærke faktorer, kan en angriber omgå MFA ved at ramme kontogendannelsen.

4) “Husk mig” og lange sessioner Hvis systemet giver langvarig adgang uden step-up-verifikation, kan risikoen øges ved kompromitterede sessions. MFA er stærkest, når den udløses relevant og ikke “slækker” beskyttelsen for bredt.

Hvad du kan kontrollere som bruger eller administrator

Når du skal vurdere MFA-opsætning, kan du fokusere på kontrolpunkter, der direkte påvirker, hvor meget MFA kan gøre for dig.

  • Hvilke faktorer er aktiveret? Vælg metoder, der ikke kun afhænger af adgangskoden, og som passer til din trusselsmodel.
  • Udløses MFA ved de rigtige handlinger? Spørg om der er step-up ved risikable ændringer (fx skift af sikkerhedsindstillinger) og ikke kun ved første login.
  • Hvilken rolle spiller genopretning? Kontroller backup- og “glemt adgang”-procedurer, så de ikke bliver den svage dør.
  • Hvordan håndteres enheder og sessioner? Vurder om der kræves step-up ved nye enheder, mistænkelige lokationer eller efter længere tids inaktivitet.
  • Brugernes adfærd og træning: Hvis MFA-bekræftelser kan godkendes ved et tryk, bør brugere kende tegn på phishing og uventede anmodninger.

Hvis du vil opdatere din sikkerhed, er det ofte mere effektivt at forbedre den samlede opsætning (faktortype, genopretning, step-up-regler og sessionshåndtering) end at skifte én enkelt indstilling.

Afgrænsning: MFA er ikke et universalmiddel

MFA er et stærkt lag oven på adgangskoden, men det er ikke ensbetydende med fuld beskyttelse. Den faktiske sikkerhed afhænger af valg af metode, implementering, brugerens kontekst og de konkrete angrebsveje.

En realistisk tilgang er derfor at bruge MFA som del af et bredere grundlag: sikre enheder, opdateret software, stærk kontoadfærd, og kontrolleret adgang til genopretning og sikkerhedsindstillinger. Så får du den største gevinst af MFA i hverdagen, uden at overvurdere, hvad et ekstra logintrin alene kan forhindre.