Godkendelse beviser, at du er den, du påstår at være. Et brugernavn og en adgangskode er den klassiske metode. Det er også den svageste. Adgangskoder bliver genbrugt, phishet og knækket. Multifaktorgodkendelse tilføjer en anden faktor: noget du har, som en telefon- eller hardwarenøgle, eller noget du er, som et fingeraftryk. Med MFA er en stjålet adgangskode alene ikke nok.

Faktorerne falder i tre kategorier. Viden er noget, du kender, som en adgangskode eller pinkode. Besiddelse er noget, du har, som en telefon eller et smartkort. Arv er noget, du er, som et ansigt eller et fingeraftryk. Stærk autentificering kombinerer mindst to fra forskellige kategorier. En adgangskode plus en sms-kode er bedre end en adgangskode alene, men sms-koder kan opsnappes ved at bytte SIM-kort. Autentificeringsapps og hardwaresikkerhedsnøgler modstår dette angreb. Adgangsnøgler skubber videre og erstatter adgangskoder fuldstændigt med kryptografiske legitimationsoplysninger, der er knyttet til en enhed. Udbredelsen er stigende, men ujævn. De fleste brud starter stadig med kompromitterede legitimationsoplysninger. MFA blokerer langt de fleste af disse forsøg.

Godkendelsesfaktorer

• Viden — adgangskode, pinkode, sikkerhedsspørgsmål
• Besiddelse — telefon, hardwaretoken, smartkort
• Inherens — fingeraftryk, ansigt, stemme
• Placering og adfærd — risikobaserede signaler

Autentificering er ikke autorisation. At bevise, hvem du er, kommer først. Hvad du har lov til at gøre, kommer bagefter.