Coralie LemassonMens nogle ting i verden (endelig!) bliver bedre, bliver cybertrusselsbilledet helt klart værre. Devolutions’ tredje årlige undersøgelse af IT-sikkerhedens tilstand i SMV’er i 2022/23 viste, at:
- 67 % af SMV’erne er mere bekymrede for IT-sikkerhed nu end for et år siden.
- 60 % af SMV’erne oplevede mindst ét cyberangreb det seneste år.
- Stigningen i fjern- og hybridmedarbejdere udløser en bred vifte af sikkerhedsbekymringer for SMV’er.
Den gode nyhed er dog, at SMV’er (sammen med alle andre typer organisationer, herunder større virksomheder) ikke behøver blot at håbe på det bedste, mens de forbereder sig på det værste. De kan — og i lyset af de alvorlige omkostninger ved et databrud skal de ærligt talt — være proaktive og reducere risici og sårbarheder, især der, hvor slutbrugerne er involveret. Og det er her, et par afgørende sikkerhedsmetoder inden for identitets- og adgangsstyring kommer ind i historien: tofaktorgodkendelse (2FA) og multifaktorgodkendelse.
Hvad er 2FA?
2FA gør det muligt entydigt at identificere slutbrugere gennem en kombination af tildelte legitimationsoplysninger (kombination af brugernavn og adgangskode) og en anden komponent. Den ekstra faktor kan være:
- Yderligere loginoplysninger, som kun slutbrugeren kender, for eksempel svaret på et sikkerhedsspørgsmål eller en PIN-kode.
- En kode, der leveres på en enhed, som slutbrugeren fysisk har i sin besiddelse, for eksempel sin smartphone.
- Biometriske loginoplysninger, der er unikke for slutbrugeren, for eksempel scanning af nethinden og fingeraftryk.
Hvad er MFA?
MFA går videre end 2FA ved at kræve, at slutbrugere godkender deres identitet gennem tre eller flere faktorer. For at få adgang til en konto, en enhed eller et netværk kan en slutbruger for eksempel blive bedt om at:
- Indtaste en PIN-kode
- Indtaste en kode sendt til sin smartphone
- Indtaste en fingeraftryksscanning
I modsætning til 2FA får slutbrugeren kun adgang, hvis alle faktorer er verificeret. Hvis én faktor ikke består valideringen — for eksempel hvis en slutbruger indtaster den rigtige PIN-kode og fingeraftryksscanning, men den forkerte kode — får vedkommende ikke adgang.
Nogle organisationer indfører desuden adgangskodeløs MFA, som udelader faktoren „noget, slutbrugeren ved“, og i stedet støtter sig til noget, slutbrugeren har i sin besiddelse, og/eller biometriske loginoplysninger.
Overlap mellem 2FA og MFA
På forskellige websites og i artikler er det almindeligt at se 2FA og MFA brugt i flæng. Er det en fejl? Ikke nødvendigvis. Teknisk set er alle 2FA-metoder også MFA-metoder — for som nævnt tidligere står „M“ i MFA for „multi“ (og to = multi). Men ikke alle MFA-metoder er 2FA-metoder.
Hvorfor er forskellen på 2FA og MFA vigtig?
MFA er generelt mere robust end 2FA, fordi den tilføjer mindst ét ekstra verificeringslag. Den ekstra sikkerhed kan dog forringe brugeroplevelsen, hvilket slutbrugere kan opleve som frustrerende, især hvis de skal logge ind og ud af konti og enheder i løbet af dagen. Det kan også skabe forvirring for slutbrugere, der ikke er teknisk stærke, eller som i årevis har arbejdet i et miljø uden MFA (og måske heller ikke med 2FA). Det betyder ikke, at indlæringskurven for MFA er stejl, for det er den virkelig ikke. Men som man siger: Gamle vaner er svære at vende!
Når 2FA er stærkere end MFA
Hvorfor siger vi, at MFA „generelt“ er mere robust end 2FA, i stedet for „altid“ mere robust end 2FA? Det er, fordi styrken og funktionaliteten i sikkerhed til identitets- og adgangsstyring ikke automatisk afgøres af metoden. Den ligger i faktorerne.
Tænk over det: To særligt stærke faktorer til identitetsgodkendelse er placering (håndhævet med geofencing) og biometri (scanning af nethinden eller fingeraftryk). Omvendt er SMS-beskeder, „hemmelige“ svar og PIN-koder relativt svage faktorer (det betyder ikke, at de er værdiløse, kun at de ligger i den svage ende af spektret).
En organisation, der indfører 2FA baseret på placering + biometri, har uden tvivl et mere robust system til identitetsgodkendelse end en organisation, der indfører MFA baseret på SMS-beskeder, „hemmelige“ svar og PIN-koder. Pointen er, at flere faktorer som regel — men ikke automatisk — er bedre.
Konklusionen
Både 2FA og MFA er kategorisk bedre end at bruge én enkelt faktor, som typisk er en adgangskode. Hele 81 % af databrud skyldes svage adgangskoder. Og på trods af gentagne advarsler genbruger mange slutbrugere adgangskoder på tværs af flere arbejds- og privatkonti og deler adgangskoder via meget usikre metoder (for eksempel e-mail, sms og så videre).
Stærke og unikke adgangskoder — eller endnu bedre, adgangssætninger — er selvfølgelig stadig vigtige. Men organisationer bør se 2FA/MFA som mere end blot en god praksis: Det bør ses som et obligatorisk krav for at reducere sårbarheden i et cybertrusselsbillede, der bliver værre og værre.
Vi er glade for at kunne nævne, at Devolutions’ produktsuite, herunder Remote Desktop Manager, Devolutions Server og Devolutions Cloud, alle understøtter 2FA (bemærk, at 2FA til Devolutions Cloud håndteres via Devolutions Account, som også styrer andre tjenester som Devolutions Force, forumadgang og mere). Gratis prøveperioder af alle produkter er tilgængelige. Kontakt os for at få mere at vide.