Definition og idéen bag MFA
Multi-Factor Authentication (MFA) betyder, at adgang til en konto eller tjeneste kræver flere uafhængige “faktorer” for at bekræfte identiteten. En faktor kan for eksempel være noget, du kender (typisk en adgangskode), noget, du har (fx en engangstoken eller en app), eller noget, du er (fx biometrik). Pointen er, at en enkelt svaghed i én faktor ikke automatisk skal give fuld adgang.
Et simpelt model: to eller flere trin
I praksis fungerer MFA ofte som et ekstra trin i login. Først indtaster man en grundlæggende identifikation (ofte adgangskode). Derefter skal man bekræfte yderligere, fx ved:
- at indtaste en engangskode fra en autentificeringsapp
- at godkende et push-beskedflow i en app
- at bruge et hardware-token
- at gennemføre en biometrisk bekræftelse, hvis det indgår som en selvstændig faktor
Hvor “stærkt” MFA virker, afhænger ikke kun af antallet af faktorer, men af hvor uafhængige de faktisk er i forhold til de trusler, man vil beskytte imod.
De vigtigste komponenter i vurderingen
Når du skal forstå eller vurdere MFA, kan du se på tre forhold:
- Uafhængighed: Kan den ekstra faktor stadig stå imod, hvis adgangskoden kompromitteres?
- Genbrug og varighed: Er den ekstra bekræftelse engangsbaseret og hurtigt udløbende, eller kan den lettere genbruges?
- Angrebsflader: Kan bekræftelsen påvirkes af de samme metoder som ofte rammer adgangskoder (fx social engineering)?
En nyttig tommelfingerregel er at tænke: “Hvis den første faktor bliver stjålet eller gættet, kræver MFA så noget, angriberen ikke let kan skaffe samtidigt?”
Begrænsninger og beslægtede begreber
MFA er ikke en garanti mod alle angreb. Hvis angriberen kan få adgang til den ekstra faktor eller kan manipulere selve godkendelsesprocessen, kan effekten falde. Derudover kan MFA være opsat forskelligt på forskellige tjenester, så “samme navn” kan dække over mere eller mindre robuste implementeringer.
Det er også almindeligt at støde på beslægtede begreber, fx:
- 2FA (Two-Factor Authentication): MFA med to faktorer.
- Step-up authentication: Ekstra kontrol kun ved bestemte situationer (fx ændring af følsomme indstillinger).
- SCA/authorization-begreber i bredere sammenhæng: Nogle systemer taler om risikobaseret adgang, hvor MFA kun udløses under visse forhold.
Hvis et system vælger at “slække” kravet i visse scenarier (for eksempel ved betroede enheder eller lange sessioner), bør du forvente, at MFA-beskyttelsen kan være mindre synlig i hverdagen.
Praktisk brug: hvad du kan tjekke
Du kan verificere din MFA-opsætning ved at stille konkrete spørgsmål:
- Bruger du to faktorer, og er den ekstra faktor tydeligt adskilt fra adgangskoden?
- Er den ekstra bekræftelse engangskoder eller en godkendelse, der udløses ved hvert login?
- Hvad sker der, hvis du mister adgangen til den ekstra faktor (fx telefon eller token)?
- Findes der “huskeliste” eller “betroede enheder”, og i så fald hvor længe varer den undtagelse?
Hvis du vil gøre MFA mere meningsfuld for din egen sikkerhed, handler det typisk om at vælge den mest robust uafhængige faktor til de trusler, du realistisk møder—men den præcise bedste løsning afhænger af tjenestens muligheder og din trusselsmodel. Der findes ingen universelt perfekt opsætning, så det er værd at vurdere konkret, hvordan din tjeneste håndterer login, godkendelser og undtagelser.