En stærk adgangskode er ikke længere nok alene til at beskytte administratoradgangen til en hjemmeside. Tofaktorgodkendelse lægger et ekstra lag på, så en stjålet adgangskode alene ikke er nok til at komme ind, og det ændrer helt risikobilledet for alle, der går efter administratoroplysninger. Én faktor kan kompromitteres. To er markant sværere. Denne artikel forklarer, hvordan tofaktorgodkendelse virker, hvilke typer af anden faktor der findes, og hvordan du slår det til på din hjemmeside.
Angreb på loginoplysninger er automatiserede. Værktøjer, der er lavet til at gætte adgangskoder med brute force eller teste stjålne loginoplysninger på loginsider, kører konstant på millioner af hjemmesider. Selve adgangskoden er ikke længere den sidste forsvarslinje, den en gang var: For mange er svage, genbrugt eller afsløret i datalæk hos andre tjenester. Tofaktorgodkendelse retter ikke på adgangskoden. Den gør, at adgangskoden alene ikke er nok. For det bredere billede af at beskytte administratoradgang som en del af en samlet sikkerhedsstrategi kan du læse artiklen om hvordan du beskytter din hjemmeside mod hackere.
Hvad er tofaktorgodkendelse?
Tofaktorgodkendelse, ofte forkortet 2FA, er en loginproces, der kræver to adskilte former for bekræftelse, før der gives adgang. Den første faktor er som regel en adgangskode. Den anden faktor er noget andet, noget som kun kontoindehaveren har adgang til i det øjeblik, de logger ind.
Princippet er ligetil: Selv hvis en angriber får fat i din adgangskode gennem et datalæk, phishing eller brute force, kan de ikke gennemføre login uden også at have kontrol over den anden faktor. I de fleste tilfælde ligger den anden faktor på en enhed, som kontoindehaveren fysisk har, og så kræver det mere end en stjålet adgangskode at få adgang.
Hvordan virker tofaktorgodkendelse?
Forløbet ved login
- Brugeren skriver sit brugernavn og sin adgangskode på loginsiden som sædvanligt
- I stedet for at få adgang med det samme bliver brugeren bedt om et andet trin til bekræftelse
- Brugeren giver den anden faktor, som systemet tjekker, før der gives adgang
- Hvis en af faktorerne er forkert, nægtes adgang
Hvad det stopper
- En angriber, der har fået den rigtige adgangskode, bliver stoppet på andet trin, fordi de ikke har adgang til den anden faktor
- Brute force-angreb, der finder frem til en adgangskode, kan stadig ikke gennemføre login uden den anden faktor
- Loginoplysninger, der er stjålet gennem phishing eller datalæk hos andre tjenester, er ikke nok alene
Hvilke typer af anden faktor findes der?
Autentificeringsapps
- En autentificeringsapp laver en tidsbaseret kode, der skifter hvert 30. sekund. Brugeren åbner appen, læser den aktuelle kode og skriver den ved login
- Koden laves på enheden og sendes ikke over netværket, hvilket gør den svær at opsnappe
- Det regnes bredt som den mest praktiske og sikre løsning for de fleste hjemmesideejere
SMS-koder
- En engangskode sendes som sms til brugerens registrerede telefonnummer ved login
- SMS-koder er nemmere at sætte op end en autentificeringsapp, men regnes for mindre sikre, fordi telefonnumre kan overtages gennem SIM-swapping, og sms'er kan opsnappes
- De er markant bedre end ingen anden faktor overhovedet
Hardwarenøgler
- En hardwarenøgle er en fysisk enhed, som regel en lille USB- eller NFC-enhed, som brugeren sætter i eller holder mod ved login for at bekræfte, hvem de er
- Hardwarenøgler giver den stærkeste form for tofaktorgodkendelse og er immune over for phishing, fordi bekræftelsen er knyttet til den bestemte hjemmeside, der åbnes
- De er mere almindelige i miljøer med høj sikkerhed og bruges sjældnere til almindelig administratoradgang til hjemmesider
E-mailkoder
- En engangskode sendes til brugerens registrerede e-mailadresse og skal skrives ved login
- E-mailkoder er den svageste anden faktor, fordi de afhænger af sikkerheden på e-mailkontoen. Hvis e-mailkontoen er kompromitteret, giver den anden faktor ingen beskyttelse
- De er bedre end ingen anden faktor, men en autentificeringsapp er et mere pålideligt valg
Hvorfor har din hjemmeside brug for tofaktorgodkendelse?
Adgangskoder bliver ofte kompromitteret
- Datalæk hos andre tjenester afslører loginoplysninger, som derefter bliver prøvet på hjemmesiders administrationspaneler. En adgangskode, der er genbrugt fra en anden konto, kan bruges til at komme ind på din hjemmeside, selv om din hjemmeside aldrig var et direkte mål
- Phishingangreb, der fanger adgangskoder, er svære at forhindre helt. Tofaktorgodkendelse begrænser skaden, når en adgangskode er fanget
Automatiske angreb på loginoplysninger er konstante
- Brute force-værktøjer kører hele tiden på hjemmesider og prøver almindelige adgangskoder, ord fra ordbøger og lister med lækkede loginoplysninger
- Med tofaktorgodkendelse er selv en adgangskode, der er fundet med brute force, ikke nok til at gennemføre et login
Administratoradgang er det mest værdifulde mål
- En angriber, der får adgang til en hjemmesides administrationspanel, kan installere malware, stjæle data, lave bagdøre eller låse ejeren helt ude
- Når du beskytter administratoradgang med tofaktorgodkendelse, mindsker du direkte følgerne af en kompromitteret adgangskode, som er det mest almindelige mål for angreb på loginoplysninger
Vil du vide, hvad angribere kan gøre, når de først har fået administratoradgang, kan du læse artiklen om hvad malware på hjemmesider er, og hvordan det påvirker din hjemmeside. Vil du have en fuld gennemgang af, hvorfor sikkerhed på hjemmesider betyder noget ud over administratoradgang, kan du læse artiklen om hvorfor sikkerhed på hjemmesider er vigtig.
Hvordan slår du tofaktorgodkendelse til på din hjemmeside?
Til administratoradgang til hjemmesiden
- Mange hjemmesideplatforme har tofaktorgodkendelse som en indbygget mulighed i kontoindstillingerne. Tjek først afsnittet om sikkerhed eller konto på din platform
- På platforme, der ikke har det indbygget, findes sikkerhedsudvidelser eller plugins, som tilføjer 2FA til loginprocessen
- Slå det til for alle administratorkonti, ikke kun hovedkontoen. Enhver administratorkonto uden tofaktorgodkendelse er en mulig indgang
Til konti for hosting og domæner
- Hostingens kontrolpanel og kontoen hos domæneudbyderen er lige så vigtige at sikre som selve hjemmesiden. En angriber, der får adgang til hostingkontoen, kan ændre DNS-poster, få adgang til backups eller tage hjemmesiden offline
- Slå tofaktorgodkendelse til på hostingens kontrolpanel og kontoen hos domæneudbyderen, ikke kun på hjemmesidens eget login
Til e-mailkonti, der bruges til at få adgang igen
- Når man nulstiller en adgangskode, sendes der som regel et link til den registrerede e-mailadresse. Hvis den e-mailkonto er kompromitteret, kan den bruges til at overtage kontoen til hjemmesiden
- Når du sikrer de e-mailkonti, der er koblet til administratoradgang, med tofaktorgodkendelse, lukker du denne vej som angrebsvej
Vil du vide, hvordan backups arbejder sammen med tofaktorgodkendelse som en del af en samlet sikkerhedstilgang, kan du læse artiklen om hvordan du tager backup af din hjemmeside.
Sikkerhed ved login
Uanset hvilken platform du bruger, bør du bruge en stærk og unik adgangskode til hjemmesidens login og slå tofaktorgodkendelse til, hvor den findes. Det betyder, at en stjålet adgangskode alene ikke kan bruges til at komme ind på kontoen.
Se i sikkerhedsindstillingerne på din konto, hvilke muligheder der er, og hold din adgangskode og din e-mailkonto beskyttet.
Se, hvad der er med, i WEMASYs hjemmesidebygger, eller se planerne på siden med priser.
Ofte stillede spørgsmål
Hvad er tofaktorgodkendelse?
Tofaktorgodkendelse er en loginproces, der kræver to adskilte former for bekræftelse, før der gives adgang. Den første faktor er som regel en adgangskode. Den anden er noget, som kun kontoindehaveren har adgang til i det øjeblik, de logger ind, som en kode fra en autentificeringsapp eller en sms sendt til en registreret telefon. Begge skal gives rigtigt for at gennemføre login, og derfor er en stjålet adgangskode alene ikke nok til, at en angriber kan komme ind. Med WEMASYs hjemmesidebygger kan du sætte det op direkte på din hjemmeside.
Hvorfor skal jeg bruge tofaktorgodkendelse på min hjemmeside?
Adgangskoder bliver ofte kompromitteret gennem datalæk, phishing og brute force-værktøjer. Med tofaktorgodkendelse kan en adgangskode, som en angriber har fået fat i, ikke bruges til at gennemføre et login uden den anden faktor. På administratorkonti til hjemmesider, hvor et vellykket login kan føre til, at malware installeres, data stjæles, eller hjemmesiden bliver låst, er tofaktorgodkendelse en af de sikkerhedsforanstaltninger, der har størst effekt.
Hvad er den bedste type af anden faktor?
En autentificeringsapp er den anbefalede anden faktor for de fleste hjemmesideejere. Den laver en tidsbaseret kode på selve enheden, som ikke sendes over netværket og derfor ikke kan opsnappes på samme måde som SMS-koder. Hardwarenøgler er mere sikre, men mindre praktiske til daglig brug. SMS-koder og e-mailkoder er bedre end ingen anden faktor, men en autentificeringsapp rammer den rette balance mellem sikkerhed og brugervenlighed.
Hvad sker der, hvis jeg mister adgangen til min anden faktor?
De fleste platforme med understøttelse af tofaktorgodkendelse giver også backupkoder, når du sætter det op. Disse koder, som kun kan bruges én gang, kan bruges til at få adgang til kontoen, hvis den anden faktor ikke er tilgængelig. Gem dem et sikkert sted, adskilt fra den enhed, du bruger til godkendelse. Hvis backupkoderne er mistet, og den anden faktor ikke er tilgængelig, kræver det som regel, at du bekræfter, hvem du er, via platformens proces til at få adgang til kontoen igen, og det kan tage tid og kræve dokumentation for, at du er ejeren.
Beskytter tofaktorgodkendelse mod alle angreb på login?
Den beskytter mod langt de fleste angreb på loginoplysninger, blandt andet brute force, credential stuffing og angreb med stjålne adgangskoder fra andre tjenester. Den beskytter ikke mod angreb, der helt går uden om login, som at udnytte en sårbarhed i hjemmesidens software eller få adgang gennem en kompromitteret session. Tofaktorgodkendelse er et vigtigt lag til at beskytte administratoradgang, men virker bedst som en del af en bredere sikkerhedstilgang med softwareopdateringer, stærke adgangskoder og regelmæssige backups.
Skal jeg slå tofaktorgodkendelse til på andre konti end hjemmesidens login?
Ja. Hostingens kontrolpanel og kontoen hos domæneudbyderen skal begge have tofaktorgodkendelse slået til. Adgang til en af dem kan bruges til at ændre hjemmesidens opsætning, DNS-poster eller backups på måder, der helt går uden om hjemmesidens eget login. Den e-mailkonto, der bruges til at få adgang igen, skal også sikres med tofaktorgodkendelse, fordi nulstilling af adgangskode sender et link til den adresse, og en kompromitteret e-mailkonto kan bruges til at overtage kontoen til hjemmesiden.