Multifaktorgodkendelse kræver mere end ét bevis på identitet, før der gives adgang. En adgangskode alene er én faktor. En adgangskode plus en kode fra din telefon er to. Pointen er enkel: Hvis en angriber stjæler din adgangskode, kan de stadig ikke komme ind. Multifaktorgodkendelse blokerer langt de fleste angreb baseret på legitimationsoplysninger, hvilket er grunden til, at den står øverst på alle sikkerhedstjeklister.

Faktorerne findes i tre brede kategorier. Noget du kender: en adgangskode, en pinkode, et sikkerhedsspørgsmål. Noget du har: en telefon, en hardwaretoken, et smartkort. Noget du er: et fingeraftryk, et ansigt, en stemme. Stærk MFA trækker fra mindst to forskellige kategorier. To adgangskoder er ikke MFA. En adgangskode plus et sikkerhedsspørgsmål er svag, fordi begge er vidensfaktorer, der kan gættes eller phishes.

Almindelige MFA-metoder

• SMS-koder — praktiske, men sårbare over for SIM-kortskift
• Autentificeringsapps — tidsbaserede koder, stærkere end SMS
• Hardwarenøgler — fysiske enheder, modstandsdygtige over for phishing
• Push-notifikationer — godkend eller afvis på en telefon
• Biometri — fingeraftryk eller ansigt som en anden faktor

Ikke alle MFA'er er lige. Push-træthedsangreb, hvor en angriber spammer godkendelsesanmodninger, indtil offeret trykker på accepter, har besejret app-baserede metoder. Nummermatchning og hardwarenøgler lukker dette hul. Vælg den stærkeste metode, dine systemer understøtter, og aktivér den overalt, hvor den tilbydes.