Totrinsbekræftelse: koder, apps og sms

Modul 2: Adgangskoder og login · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du sammenligne de forskellige former for totrinsbekræftelse (sms, mail, TOTP, push), genkende angreb på dem og sætte en gendannelsesplan op, hvis du mister din telefon.

Nøglebegreber: 2FA/MFA, faktor (noget du ved, har, er), TOTP, delt hemmelighed, push-besked, MFA-træthed, sim-swap, gendannelseskoder

To forskellige beviser

En adgangskode er noget du ved. Lækker den, kan alle der kender den logge ind. Totrinsbekræftelse (2FA) kræver derfor et andet bevis af en anden type. Ved mere end to taler man om multifaktorgodkendelse (MFA); i praksis bruges udtrykkene i flæng.

Der findes tre typer faktorer:

• Noget du ved: en adgangskode eller pinkode.
• Noget du har: din telefon med en app, en sikkerhedsnøgle, et kort.
• Noget du er: dit fingeraftryk eller ansigt.

To gange den samme type tæller ikke: en adgangskode plus et sikkerhedsspørgsmål er to ting du ved. Det nederlandske NCSC anbefaler kraftigt at bruge MFA på ethvert system og enhver konto, der understøtter det, og især på konti, der er tilgængelige via internettet, og konti med administratorrettigheder. For en lille virksomhed gælder det som minimum: mail, hosting og domæneregistrering, bank, bogføring, webshop, adgangskodeadministratoren og virksomhedens sociale medier.

Formerne side om side

Enhver form er meget bedre end slet ingen anden sikring. Men tabellen viser også: alt hvor du selv skriver en kode ind eller godkender en besked, kan en svindler få dig til at gøre på hans falske side. NIST siger det ligeud i SP 800-63B-4: metoder hvor du manuelt indtaster resultatet, er ikke phishingsikre.

Sådan virker en authenticator-app

En authenticator-app bruger TOTP: Time-based One-Time Password, beskrevet i RFC 6238. Det fungerer sådan:

1. Ved opsætning laver tjenesten en tilfældig delt hemmelighed, for eksempel 32 tegn som JBSWY3DPEHPK3PXP.... Den hemmelighed ligger i den QR-kode du scanner, eller du skriver den ind manuelt som en "manuel nøgle".
2. Din app og tjenesten har nu begge den samme hemmelighed. Derefter er der ikke mere brug for kontakt mellem de to.
3. Hvert 30. sekund regner begge hemmeligheden plus det aktuelle klokkeslæt om til en 6-cifret kode. Fordi de har samme hemmelighed og samme ur, kommer samme kode ud.
4. Ved login sammenligner tjenesten din kode med sit eget resultat, normalt med en margen på ét tidsrum før eller efter for et ur der afviger lidt.

To konsekvenser:

• Hemmeligheden er selve låsen. Den der ser QR-koden eller den manuelle nøgle, kan for altid lave de samme koder som din telefon. Tag derfor aldrig et screenshot af den, del den med ingen og send den ikke til en kollega.
• Koden virker også uden internet og kommer ikke ind via mobilnettet. Derfor er TOTP stærkere end sms.

Authenticator-apps findes i flere varianter: separat på din telefon, indbygget i en adgangskodeadministrator, open source eller fra et stort techfirma, med eller uden krypteret backup i skyen. Eksempler er Aegis, Google Authenticator og Microsoft Authenticator, ud over funktionen i administratorer som Bitwarden eller 1Password. En backup er praktisk ved en ny telefon, men det nederlandske NCSC advarer: en dårligt krypteret backup giver også en angriber adgang.

Sim-swap: hvorfor sms er den svageste form

Ved sim-swap overtager en svindler dit telefonnummer. Han får dit nummer overført til et simkort eller en eSIM han selv har. Det lykkes for eksempel ved at udgive sig for at være dig over for din udbyder, eller ved at få dig selv til at medvirke: politiet advarer om sms'er og opkald "på vegne af din udbyder" om at dit simkort skal valideres eller straks skal omlægges til en eSIM.

Så snart det lykkes:

• mister din telefon pludselig al dækning, og du kan ikke selv ringe eller sende sms'er;
• får svindleren alle sms-koder, også koderne til "glemt adgangskode" fra tjenester der bruger dit nummer som gendannelsesmetode;
• kan han nogle gange overtage konti med kun dit nummer.

Det vanskelige: du opdager det først, når din telefon ikke virker mere, ofte om aftenen eller i weekenden. NIST kalder derfor sms en begrænset metode og siger, at tjenester bør være opmærksomme på signaler som et nyt simkort eller et nummer der er blevet overført. Det nederlandske NCSC anbefaler at undgå sms hvor det er muligt, fordi beskeder ikke er krypterede og kan opsnappes.

Hvad gør du?

• Vælg hvor det er muligt en app eller passkey frem for sms.
• Fjern dit telefonnummer som gendannelsesmetode, hvor det er en svag side, eller beskyt det ekstra.
• Spørg din udbyder om du kan sætte en ekstra pinkode eller kontrol op for overførsel af dit nummer.
• Mister du pludselig dækning uden grund? Ring til din udbyder fra en anden enhed. Vent ikke.

Sms er stadig bedre end ingenting. Tilbyder en tjeneste kun sms, så slå det alligevel til.

MFA-træthed: beskeden du bare klikker væk

Ved en push-besked skal du ikke skrive noget ind: din telefon spørger "Prøver du at logge ind?" og du trykker Godkend. Nemt, og netop derfor misbrugt.

Ved MFA-træthed (også kaldet push-bombardement) har en angriber allerede din adgangskode. Han logger ind igen og igen, så din telefon får den ene besked efter den anden, nogle gange midt om natten. Det amerikanske CISA beskriver hvordan folk så af irritation eller ved en fejl trykker Godkend, eller tænker at en af beskederne nok er ægte. Nogle gange ringer angriberen oven i købet op som "supporten" og spørger om du lige vil godkende.

Et eksempel fra praksis som det nederlandske NCSC beskriver: angribere kom via MFA-træthed ind i mailkontiene hos en softwarevirksomhed og brugte dem bagefter til fakturasvindel.

Reglerne:

• Godkend aldrig en besked du ikke selv har udløst. Heller ikke den tyvende.
• En uventet besked betyder at nogen har din adgangskode. Skift den med det samme, og anmeld det.
• Vælg hvor det er muligt talmatchning: loginskærmen viser et tal du skriver ind i appen. Den der ikke sidder foran loginskærmen, kan så ikke godkende. CISA kalder det et godt mellemtrin, men svagere end phishingsikker MFA.

Gendannelse: ordn det før din telefon forsvinder

Din telefon falder i vandet, bliver stjålet eller går i stykker. Uden forberedelse står du så udenfor dine egne konti. Derfor findes gendannelseskoder (også backupkoder): en række reservekoder du får ved opsætningen, og som hver virker én gang.

• Gem dem ikke på samme telefon som din authenticator-app. Print dem ud og læg dem sammen med dine vigtige papirer, eller gem dem i din adgangskodeadministrator ved det rigtige element.
• Har du brugt en gendannelseskode? Streg den over. Løber de tør, lav nye.
• Sørg for mindst to måder at komme ind på: for eksempel appen plus gendannelseskoder, eller to sikkerhedsnøgler.
• Flyt ved en ny telefon først dine konti over, og slet først bagefter den gamle.
• Kend gendannelsesproceduren for dine vigtigste tjenester. En god tjeneste nulstiller ikke bare dit andet trin ved en mail eller et opkald, men kontrollerer først at det virkelig er dig.

I praksis: sådan ser det ud

I WebOké-miljøet beder Mit WebOké altid om et andet trin efter din adgangskode: som standard en kode via e-mail, og du kan skifte til en authenticator-app. I DirectAdmin hedder det To-trins godkendelse, med gendannelseskoder. I Nextcloud slår du TOTP til og laver ti backupkoder. Hos andre udbydere fungerer det på lignende vis: kig under din profil eller sikkerhedsindstillinger efter "totrinsbekræftelse", "2FA", "authenticator" eller "two-factor".

Trinnene er næsten altid de samme: scan QR-koden, indtast én kode til kontrol, gem gendannelseskoderne.

Opsummering

• 2FA kombinerer to typer faktorer: noget du ved, har, er.
• TOTP fungerer med en delt hemmelighed og uret. Hemmeligheden (QR-koden) er selve låsen: del den aldrig.
• Sms er den svageste form på grund af sim-swap og aflytning, men bedre end ingenting.
• MFA-træthed: godkend aldrig en besked du ikke selv udløste, og skift så din adgangskode.
• Koder og beskeder er ikke phishingsikre; passkeys og sikkerhedsnøgler er det (lektion 2.4).
• Ordn gendannelseskoder og en anden metode, før din telefon forsvinder.

Quiz

Opgave

Opgave A2.3: Tilknyt en authenticator-app. Du får en QR-kode fra en øvelseskonto "WebOké øvelse". Scan den med en valgfri authenticator-app og indtast to koder der fremkommer efter hinanden. Programmet kontrollerer om din app regner rigtigt. Øvelseshemmeligheden har ingen værdi og slettes efter 24 timer; fjern øvelseskontoen fra din app bagefter.

Opgave D2.3: Slå totrinsbekræftelse til på dine vigtigste konti. Slå totrinsbekræftelse til på din mail, hosting eller domæneregistrering, bank, bogføring og adgangskodeadministrator. Gem gendannelseskoderne et andet sted, og besvar spørgsmålet om hvad du gør, hvis din telefon forsvinder i morgen.

Læs mere

Trinnene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på lignende vis.

• To-faktor-godkendelse i Mit WebOké og opsætning af en authenticator-app
• WebOké vejledning 3.2: Login koden pr. e-mail (totrinsbekræftelse)
• WebOké vejledning 3.3: Brug af en godkendelsesapp
• DirectAdmin vejledning 3.2: Sådan opsætter du Totrinsbekræftelse
• DirectAdmin vejledning 3.3: Backupkoder, og hvad hvis du mister din authenticator
• Nextcloud-vejledning 3.3: En authenticator-app indstille og backup-koder gemme
• Nextcloud-vejledning 3.10: Telefon væk eller 2FA væk: sådan kommer du ind igen
• Sådan opsætter du totrinsbekræftelse (2FA) i Nextcloud
• Det nederlandske NCSC, Hvordan vælger du en MFA-metode? (nederlandsk kilde): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
• Politiet og sikkerdigital.dk: https://sikkerdigital.dk/
• CISA, Implementing Number Matching in MFA Applications (engelsk): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (engelsk): https://www.rfc-editor.org/rfc/rfc6238