Vad är tvåfaktorsautentisering? En lättförståelig guide

Tvåfaktorsautentisering (2FA) är en inloggning som kräver två olika typer av bevis på att du är den du säger att du är – vanligtvis något du vet, som ett lösenord, plus något du har, som din telefon eller en säkerhetsnyckel. Om en brottsling stjäl eller gissar ditt lösenord kommer de ändå inte in utan den andra faktorn. Det är ett av de enklaste sätten att skydda konton som spelar roll.

Varför det spelar roll när du bygger med AI

När du ber en AI-byggare om “inloggning” får du oftast e-post och lösenord. Det är en bra start, men lösenord återanvänds, nätfiskas och läcker. Om din app innehåller något värdefullt – kundposter, fakturor, adminfunktioner, betalningsinställningar – kan ett enda stulet lösenord blotta allt.

2FA påverkar också beslut du kanske inte tänker på från början:

• Vem som måste använda det. Valfritt för alla, obligatoriskt för admins, eller obligatoriskt för alla?
• Vilka metoder du stöder. Koder från en app, SMS, passkeys, säkerhetsnycklar.
• Vad som händer när någon är utelåst. Förlorade telefoner är den vanligaste supportfrågan i alla appar med 2FA.
• Var det tillämpas. Kontrollen måste ske på servern. En 2FA-skärm som bara döljer sidan i webbläsaren kan kringgås.

Du behöver inte bygga kryptografin själv – väl testade bibliotek och autentiseringsleverantörer sköter det. Men du behöver veta vad du ska be om.

En vardagsliknelse

Tänk på ett bankfack. För att öppna det behöver du din legitimation (något banken kontrollerar att du är eller vet) och den fysiska nyckeln (något du har). En tjuv som kopierar din signatur har fortfarande inte nyckeln. En tjuv som snor nyckeln kommer fortfarande inte förbi legitimationskontrollen.

2FA fungerar på samma sätt. Lösenordet är signaturen; telefonen eller säkerhetsnyckeln är den fysiska nyckeln. Var och en för sig räcker inte.

De tre typerna av faktorer

Säkerhetsstandarder, till exempel US National Institute of Standards and Technologys riktlinjer för digital identitet, grupperar faktorer i tre typer:

Nyckelordet är olika. Ett lösenord plus en säkerhetsfråga är två saker du vet, så det är inte riktig tvåfaktorsautentisering. Om ett enda läckage kan avslöja båda räknas det bara som en.

Vanliga 2FA-metoder jämförda

NIST:s vägledning räknar metoder där du skriver in en kod (SMS, e-post, autentiseringsappar) som inte nätfiskesäkra, och markerar att skicka koder över telefonnätet som “begränsad”. Passkeys och fysiska säkerhetsnycklar, baserade på WebAuthn/FIDO2-standarderna, är de som räknas som nätfiskesäkra.

Det praktiska: en autentiseringsapp är ett starkt och enkelt standardval för de flesta appar, och passkeys är värda att erbjuda om dina användare är bekväma med dem.

Ett praktiskt exempel: 2FA för en kundportal

Säg att du byggt en portal där ett litet redovisningsbolag delar skattedokument med sina kunder. Så här fungerar en vettig 2FA-uppsättning, steg för steg.

Aktivera den (registrering). Priya, en kund, öppnar Inställningar och klickar på “Aktivera tvåfaktorsautentisering”. Appen genererar en hemlighet och visar den som en QR-kod. Hon skannar den med sin autentiseringsapp, som börjar visa sexsiffriga koder. Hon skriver in den aktuella koden i portalen för att bekräfta att uppsättningen fungerar. Appen visar tio reservkoder och ber henne spara dem på ett säkert ställe.

Logga in efteråt.

1. Priya anger sin e-post och sitt lösenord. Servern kontrollerar dem.
2. I stället för att släppa in henne direkt markerar servern sessionen som “lösenord OK, andra faktorn väntar” och visar kodskärmen.
3. Hon skriver in koden från sin app. Servern kontrollerar den mot hennes lagrade hemlighet och tillåter lite klockavvikelse.
4. Först då skapar servern en fullständig session och låter henne se dokumenten.

Vad en angripare ser. Om Priyas lösenord läckt från en annan sajt fastnar angriparen på steg 3. Varje misslyckat kodförsök räknas, och efter flera felaktiga försök låses kontot tillfälligt och Priya får ett e-postmeddelande.

Förlorad telefon. Priya använder en av sina reservkoder för att logga in, stänger av 2FA och slår på det igen med sin nya telefon och får nya reservkoder. Den använda koden kan aldrig användas igen.

För personal. Bolagets revisorer kan se alla kunders filer, så portalen kräver 2FA för personalkonton; de når inte instrumentpanelen förrän de registrerat sig.

Vanliga termer förklarade

Vanliga misstag och missuppfattningar

• “2FA gör ett konto ohackbart.” Det gör det betydligt svårare. Nätfiskesidor kan fortfarande fånga inskrivna koder i realtid, vilket är anledningen till att passkeys finns.
• Att bara kontrollera koden i webbläsaren. Om servern utfärdar en full session efter lösenordet är kodskärmen bara dekoration. Servern måste neka åtkomst tills den andra faktorn godkänts.
• Ingen gräns för kodgissningar. En sexsiffrig kod har en miljon möjligheter. Utan hastighetsbegränsning och låsningar kan en angripare bara fortsätta gissa.
• Att glömma återställning. Utan reservkoder blir varje förlorad telefon ett supportärende, eller en utelåst kund.
• Att hantera TOTP-hemligheten slarvigt. Den delade hemligheten bör krypteras i databasen och aldrig visas igen efter uppsättningen.
• Att låta användare stänga av 2FA utan ny kontroll. Att stänga av 2FA eller ändra e-postadressen bör kräva lösenordet och en aktuell kod.
• Att lösenord plus säkerhetsfråga räknas som 2FA. Det gör det inte – båda är saker du vet.

Vad du kan be din AI-byggare om

• “Lägg till valfri tvåfaktorsautentisering med en autentiseringsapp (TOTP), med QR-kod för uppsättning och en bekräftelsekod innan den slås på.”
• “Visa tio engångsreservkoder när 2FA aktiverats. Lagra dem hashade, precis som lösenord.”
• “Tillämpa 2FA på servern: ingen full session förrän den andra faktorn godkänts.”
• “Begränsa antalet kodförsök och lås inloggningen i 15 minuter efter upprepade misslyckanden. Mejla användaren när det händer.”
• “Kräv 2FA för adminkonton.”
• “Kräv lösenordet och en aktuell kod innan 2FA stängs av eller kontots e-post ändras.”
• “Använd ett välkänt bibliotek eller vår autentiseringsleverantörs inbyggda 2FA – skriv inte kryptografin själv.”
• “Förklara vilken metod du använde och var hemligheterna lagras.”

Om du använder en hostad autentiseringsleverantör, kontrollera om den redan erbjuder 2FA eller passkeys; att slå på en inbyggd funktion är oftast säkrare än egen kod. Steg-för-steg-versionen finns i hur du lägger till tvåfaktorsautentisering, och vad autentisering är förklarar grunderna i inloggning under den.

Tvåfaktorsautentisering i Mythex

Mythex innehåller inget inbyggt inloggningssystem för din apps användare, så 2FA är en del av den autentiseringslösning du väljer – antingen en egen e-post- och lösenordsinloggning bakom projektets databas, eller en hostad leverantör som erbjuder 2FA. Du ber agenten lägga till det i chatten, och eventuella leverantörsnycklar läggs i projektets hemligheter snarare än i chatten. Docs-receptet om att lägga till inloggning i din app har en startprompt att anpassa, och säkerhet för appar du bygger täcker vanorna kring nycklar. Gå igenom säkerhetschecklistan för AI-byggda appar innan lansering.

Frågor