Ett stulet lösenord räcker ofta för att någon ska ta över ett e-postkonto, en molntjänst eller ett företagssystem. Tvåstegsverifiering lägger till ett extra lås som gör stulna uppgifter betydligt mindre värda för den som försöker logga in.
Allt fler tjänster erbjuder i dag inloggning i två steg, och många företag kräver det av sina anställda. Utvecklingen hänger ihop med att dataintrång och läckta lösenordslistor blivit vanliga. Den som vill tänka på it-säkerhet i vardagen har därför goda skäl att se över vilka konton som fortfarande skyddas av enbart ett lösenord.
Hur tekniken fungerar
Principen är enkel. För att logga in behöver du två olika saker. Den första är något du vet, alltså lösenordet. Den andra är något du har, till exempel din mobil eller en fysisk nyckel. Även om någon kommer över ditt lösenord räcker det inte, eftersom det andra steget saknas. Det gör att angrepp med stulna inloggningsuppgifter ofta stoppas redan vid dörren.
Olika metoder med olika skyddsnivå
Alla varianter av tvåstegsverifiering ger inte samma skydd. Det är klokt att känna till skillnaderna innan du väljer.
- Koder via sms är lätta att komma igång med men räknas som den svagaste varianten. Meddelanden kan i vissa fall fångas upp, och bedragare kan försöka lura till sig koden via telefon.
- Autentiseringsappar skapar koder direkt i telefonen som byts ut med jämna mellanrum. De är inte beroende av mobilnätet och ger ett starkare skydd än sms.
- Fysiska säkerhetsnycklar ansluts via USB eller trådlöst och bekräftar inloggningen. De ger ett mycket gott skydd mot nätfiske, eftersom nyckeln bara svarar mot den riktiga tjänsten.
Vilken metod passar dig
För de flesta privatpersoner är en autentiseringsapp en bra balans mellan säkerhet och enkelhet. För konton med stort värde, som e-post kopplad till ekonomi eller administratörskonton i ett företag, kan en säkerhetsnyckel vara värd investeringen.
Vanliga misstag vid införandet
Det vanligaste problemet är att användare låser ute sig själva. Om telefonen tappas bort eller byts ut utan förberedelse kan det bli krångligt att komma åt kontona igen. Många tjänster ger därför reservkoder när tvåstegsverifiering aktiveras. Dessa bör skrivas ut eller sparas på en säker plats, gärna skild från telefonen.
Ett annat misstag är att bara skydda några få konton. E-postkontot är ofta nyckeln till allt annat, eftersom lösenord för andra tjänster kan återställas via det. Börja därför med e-posten och gå sedan vidare till lösenordshanterare, molnlagring, bank och sociala medier.
Upplägg för mindre företag
I ett mindre företag lönar det sig att göra tvåstegsverifiering obligatorisk för alla, inte frivillig. Bestäm vilken metod som gäller, hjälp medarbetarna att komma igång och ha en rutin för vad som händer när någon byter telefon eller slutar. En tydlig ansvarig person gör det lättare att hålla ordning.
En del av ett större skydd
Tvåstegsverifiering ersätter inte starka och unika lösenord, uppdaterad programvara eller säkerhetskopior. Den fungerar bäst tillsammans med dem. Var också uppmärksam på oväntade förfrågningar om att godkänna en inloggning. Om du får en sådan utan att själv ha försökt logga in är det ett tecken på att någon har ditt lösenord, och då bör det bytas direkt.