Hva er tofaktorautentisering (2FA), og hvorfor bør du bruke det?

Passord alene er ikke lenger nok til å beskytte kontoene dine. Lekkede passord, phishing og automatiserte angrep gjør at innloggingen din kan være sårbar selv om du har valgt et langt og komplisert passord. Tofaktorautentisering legger til et ekstra trinn som gjør det langt vanskeligere for uvedkommende å komme inn – selv om de allerede kjenner passordet ditt. I denne guiden går vi gjennom hva tofaktorautentisering er, hvordan det fungerer, hvilke metoder som finnes, og hvordan du selv kommer i gang.

Hva er tofaktorautentisering?

Tofaktorautentisering, ofte forkortet 2FA (fra engelsk two-factor authentication), er en sikkerhetsmetode der du må bekrefte identiteten din på to uavhengige måter for å logge inn. Du kjenner sannsynligvis allerede det første trinnet: brukernavn og passord. Det andre trinnet er en ekstra bekreftelse, for eksempel en engangskode fra en app eller et trykk på telefonen din.

Poenget er at de to trinnene skal være av helt forskjellig type. Et passord er noe du vet, mens det andre trinnet gjerne er knyttet til noe du har (telefonen din) eller noe du er (fingeravtrykk eller ansikt). En angriper som bare har snappet opp passordet ditt, mangler da fortsatt den andre faktoren og kommer ikke videre.

Du vil også støte på begrepet flerfaktorautentisering (MFA, multi-factor authentication). Det betyr i praksis det samme, men dekker to eller flere faktorer. 2FA er altså den vanligste formen for MFA. I Norge møter du teknologien daglig gjennom løsninger som BankID og Vipps, som kombinerer flere faktorer når du logger inn eller signerer.

De tre typene autentiseringsfaktorer

All autentisering bygger på tre grunnleggende kategorier av bevis. Tofaktorautentisering kombinerer to av dem:

• Noe du vet – et passord, en PIN-kode eller et sikkerhetsspørsmål.
• Noe du har – telefonen din, en autentiseringsapp, en fysisk sikkerhetsnøkkel eller et bankkort.
• Noe du er – biometri, altså fingeravtrykk, ansikt eller iris.

Det avgjørende er at de to faktorene kommer fra ulike kategorier. To passord utgjør for eksempel ikke tofaktorautentisering, fordi begge tilhører «noe du vet». En kombinasjon av passord og en kode fra telefonen gjør det, fordi den ene faktoren er «noe du vet» og den andre «noe du har».

Slik fungerer tofaktorautentisering i praksis

Når du logger inn på en tjeneste med 2FA aktivert, foregår det vanligvis slik:

1. Du skriver inn brukernavn og passord som vanlig (første faktor).
2. Tjenesten ber om en ekstra bekreftelse (andre faktor).
3. Du oppgir koden eller godkjenner forespørselen – for eksempel en sekssifret kode fra en app eller et trykk på «Ja, det er meg» i et varsel.
4. Tjenesten slipper deg inn først når begge trinn er bekreftet.

Mange tjenester lar deg merke en enhet som «klarert» i en periode, slik at du slipper den andre faktoren hver eneste gang på din egen maskin. Det er praktisk, men bør brukes med omtanke – og aldri på en delt eller offentlig datamaskin.

De vanligste metodene for 2FA

Det finnes flere måter å løse den andre faktoren på, og de er ikke like sikre. Her er de vanligste, fra enklest til sterkest.

SMS- og e-postkoder

Tjenesten sender en engangskode til mobilnummeret eller e-postadressen din, som du taster inn. Dette er den enkleste formen og krever ingen ekstra app. Ulempen er at den er den minst sikre: koder som sendes på SMS kan fanges opp, som vi kommer tilbake til lenger ned. Likevel er SMS-basert 2FA langt bedre enn ingen 2FA i det hele tatt.

Autentiseringsapper (TOTP)

En autentiseringsapp som Google Authenticator, Microsoft Authenticator eller Authy genererer en ny sekssifret kode som fornyes hvert 30. sekund. Dette kalles TOTP (time-based one-time password), en åpen standard beskrevet i spesifikasjonen RFC 6238. Appen og tjenesten deler en hemmelig nøkkel – som regel satt opp ved at du skanner en QR-kode – og regner begge ut samme kode basert på nøkkelen og klokkeslettet.

Fordelen er at kodene lages lokalt på enheten din og fungerer helt uten mobildekning eller internett. Ingen kode sendes over nettet, så den kan ikke fanges opp underveis slik en SMS kan.

Push-varsler

I stedet for å taste en kode får du et varsel på telefonen der du godkjenner eller avviser innloggingen med ett trykk. Metoden er brukervennlig, men sårbar for «varseltretthet»: Hvis du mottar mange forespørsler, kan du ende opp med å godkjenne en som egentlig kom fra en angriper. Nyere løsninger motvirker dette med tallmatching, der du må taste et tall fra innloggingsskjermen inn i appen.

Maskinvarenøkler og passnøkler (passkeys)

En fysisk sikkerhetsnøkkel, for eksempel en YubiKey, er en liten dings du kobler til via USB, NFC eller Bluetooth og trykker på for å bekrefte. Nøklene bygger på standardene FIDO2 og WebAuthn og regnes som den sterkeste formen for 2FA.

Den nyeste utviklingen er passnøkler (på engelsk passkeys), som bygger på den samme FIDO-teknologien, men lagres på telefonen, datamaskinen eller i en passordhåndterer. Du låser dem opp med fingeravtrykk, ansikt eller PIN. Det viktigste fortrinnet er at både sikkerhetsnøkler og passnøkler er phishing-resistente: de er bundet til den ekte nettadressen til tjenesten, så de fungerer rett og slett ikke på en falsk kopi av innloggingssiden.

Biometri og reservekoder

Biometri – fingeravtrykk eller ansiktsgjenkjenning – brukes ofte for å låse opp selve enheten eller en passnøkkel. I tillegg får du gjerne et sett med engangs reservekoder når du aktiverer 2FA. Disse skal oppbevares trygt, slik at du kommer inn på kontoen hvis du mister telefonen.

Sammenligning av 2FA-metodene

Metodene skiller seg fra hverandre på sikkerhet, brukervennlighet og om de krever nett. Tabellen under gir en rask oversikt slik at du kan velge det som passer deg.

Hvorfor bør du bruke tofaktorautentisering?

Den viktigste grunnen er enkel: passord lekker. Store datalekkasjer, gjenbruk av samme passord på flere tjenester og stadig mer overbevisende phishing gjør at passordet ditt kan havne på avveie uten at du merker det. Med 2FA aktivert er et stjålet passord i de fleste tilfeller verdiløst for en angriper, fordi den andre faktoren fortsatt mangler.

Både amerikanske CISA og norske Nasjonal sikkerhetsmyndighet (NSM) anbefaler flerfaktorautentisering som et av de mest effektive og rimeligste tiltakene mot uautorisert tilgang. Det stopper en stor andel av automatiserte angrep og gjør kontoovertakelse betydelig vanskeligere. 2FA er særlig viktig på kontoer som gir tilgang til annet: e-post, passordhåndterer, nettbank og sosiale medier. Klarer noen å ta over e-posten din, kan de nemlig ofte tilbakestille passordene til alt annet.

2FA er også et naturlig lag i et bredere forsvar mot cyberangrep, sammen med oppdatert programvare, et godt Norton antivirus eller tilsvarende, og sunn skepsis til lenker og vedlegg.

Er SMS-basert 2FA trygt nok?

SMS-koder er praktiske, men har kjente svakheter. Du bør kjenne til dem – ikke for å droppe 2FA, men for å velge en sterkere metode der det er mulig.

• SIM-bytte (SIM-swapping): En angriper lurer mobiloperatøren til å flytte nummeret ditt over til et SIM-kort de kontrollerer, ofte ved å utgi seg for å være deg. Da havner alle SMS-koder hos angriperen.
• SS7-sårbarheter: Det globale signalnettverket som knytter mobilnett sammen, har svakheter som i enkelte tilfeller kan utnyttes til å omdirigere tekstmeldinger uten tilgang til telefonen din.
• Sanntids-phishing: En falsk innloggingsside kan be deg om både passord og SMS-kode, og videresende begge til den ekte tjenesten i sanntid. Koder beskytter ikke mot dette – det gjør derimot passnøkler og maskinvarenøkler, fordi de er bundet til den ekte nettadressen.

Konklusjonen er at en autentiseringsapp eller passnøkkel er tryggere enn SMS. Men har en tjeneste bare SMS som alternativ, er det fortsatt mye bedre enn å klare seg med passord alene.

Slik kommer du i gang med 2FA

Å slå på tofaktorautentisering tar vanligvis bare noen minutter per konto. Fremgangsmåten ligner på de fleste tjenester:

1. Gå til sikkerhets- eller personverninnstillingene i kontoen din.
2. Finn valget for «tofaktorautentisering», «to-trinns bekreftelse» eller «2-Step Verification».
3. Velg metode. En autentiseringsapp er et godt standardvalg for de fleste; velg passnøkkel eller maskinvarenøkkel der det tilbys.
4. Følg oppsettet – skann QR-koden med appen, eller registrer nøkkelen.
5. Lagre reservekodene på et trygt sted, for eksempel i en passordhåndterer eller på papir utenfor datamaskinen.

Begynn med de viktigste kontoene: e-post, nettbank, passordhåndterer og de sosiale mediene du bruker mest. Også spill- og chattekontoer er verdt å sikre – vi har egne guider for å beskytte Steam-kontoen din og for å styrke sikkerheten på Discord.

Vanlige feil og fallgruver

Tofaktorautentisering fungerer best når du unngår noen klassiske tabber:

• Ingen reservekoder: Mister du telefonen uten å ha tatt vare på reservekodene, kan du bli stengt ute. Lagre dem før du trenger dem.
• Bare én faktor-enhet: Vurder å registrere to metoder, for eksempel både en app og en nøkkel, så du har en reserve.
• Godkjenne uventede varsler: Får du en innloggingsforespørsel du ikke startet selv, skal du avvise den – noen kan ha passordet ditt.
• Taste koden på en falsk side: Sjekk alltid nettadressen før du oppgir en kode. Åpne tjenesten via bokmerke eller ved å skrive adressen selv, ikke via lenker i e-post.
• Glemme å flytte appen: Bytter du telefon, må autentiseringsappen flyttes eller settes opp på nytt før du nullstiller den gamle.

Hvem bør bruke tofaktorautentisering?

Det korte svaret er: alle. 2FA er ikke bare for IT-folk eller bedrifter. Privatpersoner har like mye å tape på en kapret e-post eller nettbank, og tiltaket er gratis på de aller fleste tjenester. Jobber du med sensitiv informasjon, driver nettbutikk eller forvalter kontoer på vegne av andre, er det nærmest et must.

2FA erstatter ikke andre gode vaner, men supplerer dem. Bruk unike passord via en passordhåndterer, hold enhetene oppdatert, og vurder en VPN når du skal velge nettverksbeskyttelse på offentlige nett. Til sammen gir disse lagene et solid forsvar som er vanskelig å bryte gjennom.

Vanlige spørsmål (FAQ)

Hva er forskjellen på 2FA og MFA?

2FA (tofaktorautentisering) bruker nøyaktig to uavhengige faktorer. MFA (flerfaktorautentisering) er et bredere begrep som dekker to eller flere faktorer. All 2FA er altså en form for MFA, men MFA kan også omfatte tre eller flere trinn.

Er en autentiseringsapp tryggere enn SMS?

Ja. En autentiseringsapp lager kodene lokalt på enheten din uten å sende noe over mobilnettet, og er dermed ikke utsatt for SIM-bytte eller avlytting av tekstmeldinger. SMS er likevel langt bedre enn å ikke bruke 2FA i det hele tatt.

Hva skjer hvis jeg mister telefonen med 2FA?

Da bruker du reservekodene du fikk da du satte opp 2FA, eller en alternativ metode du har registrert. Derfor er det viktig å lagre reservekodene trygt og gjerne registrere mer enn én faktor på viktige kontoer.

Hva er en passnøkkel (passkey)?

En passnøkkel er en moderne, passordfri innloggingsmetode basert på FIDO-standarden. Den lagres på enheten din eller i en passordhåndterer og låses opp med fingeravtrykk, ansikt eller PIN. Passnøkler er phishing-resistente fordi de bare fungerer på den ekte nettadressen til tjenesten.

Koster det noe å bruke tofaktorautentisering?

Nei, på de aller fleste tjenester er 2FA gratis, enten du bruker SMS, en gratis autentiseringsapp eller en passnøkkel. Det eneste som koster penger, er en fysisk sikkerhetsnøkkel, som du kjøper én gang og kan bruke på mange kontoer.