Tofaktorautentisering (2FA): hva det er og slik slår du det på

Tofaktorautentisering – ofte forkortet 2FA og på norsk kalt totrinnsbekreftelse – er et ekstra sikkerhetslag som gjør at et stjålet passord alene ikke er nok til å komme inn på kontoen din. I tillegg til passordet må du bekrefte at det virkelig er deg, som regel med en kode eller et varsel på mobilen. Under forklarer vi hva 2FA er, hvilke metoder som finnes og hvilke som er tryggest, og hvordan du slår det på steg for steg.

Hva er tofaktorautentisering?

En «faktor» er rett og slett et bevis på at du er den du utgir deg for å være. Sikkerhetsfaget deler slike bevis inn i tre hovedtyper:

• Noe du vet – for eksempel et passord, en PIN-kode eller svaret på et sikkerhetsspørsmål.
• Noe du har – for eksempel mobiltelefonen din, en autentiseringsapp eller en fysisk kodebrikke.
• Noe du er – biometri som fingeravtrykk, ansiktsgjenkjenning eller iris.

Vanlig innlogging med bare passord bruker én faktor. Tofaktorautentisering krever to bevis fra to ulike typer – typisk noe du vet (passordet) pluss noe du har (en kode på mobilen). Det er nettopp kombinasjonen av to forskjellige typer som gir sikkerheten: en angriper som har gjettet eller stjålet passordet ditt, mangler fortsatt den andre faktoren.

Du vil også støte på begrepene totrinnsbekreftelse og flerfaktorautentisering (MFA). I praksis betyr totrinnsbekreftelse det samme som 2FA, mens MFA er samlebegrepet for to eller flere faktorer. For deg som privatperson er dette i hovedsak samme sikkerhetstiltak under ulike navn. Et eksempel du sannsynligvis allerede bruker, er BankID: der kombineres et passord eller en PIN med en engangskode eller en app, altså to faktorer.

Hvorfor du bør slå på 2FA

Passord lekker på avveie hele tiden – gjennom datainnbrudd hos tjenester, phishing (falske e-poster og nettsider som lurer deg til å oppgi passordet) og gjenbruk av samme passord flere steder. Selv om du har laget et sterkt passord og oppbevarer det i en passordbehandler, kan det i uheldige tilfeller havne i gale hender.

Det er her 2FA gjør den store forskjellen: dersom noen får tak i passordet ditt, stoppes de likevel på det andre trinnet fordi de ikke har mobilen eller sikkerhetsnøkkelen din. Et kapret passord gir altså ikke lenger automatisk tilgang. Dette er et av de enkleste og mest effektive tiltakene du kan gjøre for å beskytte deg mot kontokapring og hvordan unngå id-tyveri. Prioriter e-post, nettbank, sosiale medier og andre kontoer som kan brukes til å nå resten av det digitale livet ditt.

De vanligste 2FA-metodene

Det finnes flere måter å motta eller bekrefte den andre faktoren på. De er listet her fra den minst til den mest robuste. Alle er bedre enn ingen 2FA i det hele tatt.

SMS-kode

Du får en engangskode på tekstmelding og taster den inn etter passordet. Metoden er enkel og krever ingen app, men regnes som den svakeste formen for 2FA. Årsaken er at tekstmeldinger kan fanges opp, og at svindlere kan overta nummeret ditt gjennom såkalt SIM-bytte – der de lurer mobiloperatøren til å flytte nummeret til et nytt SIM-kort. Flere store tjenester er derfor i ferd med å fase ut SMS til fordel for app-baserte metoder. Har du ikke noe annet alternativ, er SMS likevel klart bedre enn ingen 2FA.

Autentiseringsapp (TOTP)

En autentiseringsapp lager en ny sekssifret kode omtrent hvert 30. sekund. TOTP står for «time-based one-time password» – en tidsbasert engangskode. Koden regnes ut på selve telefonen din og sendes aldri over mobilnettet, noe som gjør den tryggere enn SMS. Appene fungerer dessuten uten nettforbindelse. Vanlige gratisapper er Google Authenticator, Microsoft Authenticator og Authy. For de fleste er en autentiseringsapp den beste balansen mellom sikkerhet og enkelhet, og et godt standardvalg.

Push-varsel

I stedet for å taste en kode får du et varsel i en app der du trykker «Godkjenn» eller «Avvis». Det er raskt og brukervennlig. Vær likevel oppmerksom på «varseltretthet»: angripere som har passordet ditt, kan sende gjentatte forespørsler i håp om at du godkjenner en ved et uhell. Godkjenn aldri et påloggingsvarsel du ikke selv nettopp har utløst.

Sikkerhetsnøkkel og passkeys

En fysisk sikkerhetsnøkkel er en liten dings du setter i USB-porten eller holder mot mobilen (kjente merker er blant annet YubiKey). Den bygger på standarden FIDO2/WebAuthn og er motstandsdyktig mot phishing, fordi nøkkelen sjekker at du faktisk er på den ekte nettsiden før den godkjenner innloggingen. En passkey (på norsk ofte «tilgangsnøkkel») bygger på samme teknologi, men lagres i telefonen, datamaskinen eller en autentiseringsapp og låses opp med fingeravtrykk eller ansikt. Dette er de tryggeste alternativene og anbefales særlig for dine viktigste kontoer.

Slik slår du på tofaktorautentisering

Fremgangsmåten er lik på de fleste tjenester, selv om menyene heter litt forskjellige ting. Generelt gjør du slik:

1. Logg inn og åpne Innstillinger, og finn menyen for Sikkerhet, Passord og sikkerhet eller Pålogging.
2. Velg Totrinnsbekreftelse eller Tofaktorautentisering og trykk på «Kom i gang».
3. Velg metode. Anbefalt er en autentiseringsapp eller en passkey fremfor SMS.
4. Velger du autentiseringsapp, skanner du en QR-kode på skjermen med appen. Da legges kontoen inn, og appen begynner å vise koder.
5. Bekreft ved å taste inn den første koden, eller godkjenn varselet.
6. Lagre reservekodene du får, på et trygt sted (mer om dette under).

De store tjenestene har egne, trinnvise veiledninger. Hos Google og Microsoft finner du valget under sikkerhetsinnstillingene for kontoen, Apple styrer det via Apple-ID-en på iPhone eller i innstillingene, og Facebook og Instagram har det under «Passord og sikkerhet». Nettbanken din bruker vanligvis BankID, som allerede er tofaktor. Prinsippet er det samme overalt: velg metode, bekreft én gang, og lagre en reserveløsning.

Reservekoder og hva du gjør om du mister mobilen

Det vanligste problemet med 2FA er ikke sikkerheten, men at folk låser seg selv ute. Når du slår på 2FA, får du som regel et sett med reservekoder (engangskoder du kan bruke én gang hver). Skriv dem ned eller lagre dem et annet sted enn på selve mobilen – for eksempel i passordbehandleren din eller på papir på et trygt sted. Da kommer du inn selv om telefonen blir borte.

Noen gode vaner reduserer risikoen ytterligere:

• Registrer gjerne to metoder, for eksempel både en app og en sikkerhetsnøkkel, slik at du har en reserve.
• Enkelte autentiseringsapper kan sikkerhetskopiere kodene til skyen, slik at du får dem tilbake på en ny telefon.
• Mister du mobilen helt, kan du som regel gjenopprette tilgang via reservekodene eller tjenestens egen kontogjenoppretting.

Siden mye av 2FA skjer på telefonen, er det lurt å sikre selve enheten godt. Vi har samlet rådene i guiden til mobilsikkerhet.

Vanlige feil og misforståelser

• «2FA erstatter passordet mitt.» Nei – 2FA kommer i tillegg. Du trenger fortsatt et sterkt og unikt passord på hver konto.
• Godkjenne varsler på autopilot. Får du et påloggingsvarsel du ikke har bedt om, avvis det og bytt passord. Det kan bety at noen har passordet ditt.
• Lagre reservekoder bare på mobilen. Da forsvinner de sammen med telefonen. Oppbevar dem et annet sted.
• «SMS er like trygt som alt annet.» SMS er bedre enn ingenting, men en app eller sikkerhetsnøkkel beskytter deg klart bedre.

Sammen med oppdatert programvare og et godt antivirusprogram utgjør 2FA en solid grunnmur i den digitale sikkerheten din.

Ofte stilte spørsmål (FAQ)

Er tofaktorautentisering og totrinnsbekreftelse det samme?

I praksis ja. Begge betyr at du må bekrefte innloggingen med to trinn – passordet pluss en faktor til. «Flerfaktorautentisering» (MFA) er samlebegrepet og kan i teorien omfatte flere enn to faktorer.

Er SMS-kode trygt nok?

SMS er bedre enn ingen 2FA, men regnes som den svakeste metoden fordi koder kan fanges opp og nummeret ditt kan kapres gjennom SIM-bytte. Har du mulighet, velg en autentiseringsapp eller en passkey i stedet.

Hva skjer hvis jeg mister mobilen med autentiseringsappen?

Da bruker du reservekodene du fikk da du slo på 2FA, eller en annen registrert metode, for å komme inn. Derfor er det viktig å lagre reservekodene et annet sted enn på selve telefonen.

Er tofaktorautentisering det samme som BankID?

Ikke helt, men BankID er et eksempel på tofaktorautentisering: du kombinerer noe du vet (passord eller PIN) med noe du har (app eller kodebrikke). 2FA er det generelle prinsippet, mens BankID er én konkret løsning.

Koster det noe å slå på 2FA?

Nei. Hos de aller fleste tjenester er tofaktorautentisering gratis, og autentiseringsappene er gratis å laste ned. Bare fysiske sikkerhetsnøkler koster penger å kjøpe.