Skydda dina konton med tvåfaktorsautentisering (2FA)

För många år sedan hackades en väns mejlkonto, och jag började få falska mejl om att vännen var fast i ett annat land och behövde pengar så fort som möjligt. Det fick mig att tänka: tillgång till enbart min mejl skulle ge åtkomst till känslig information och i förlängningen till andra webbplatser. Det skulle gå att återställa lösenord till andra appar och webbplatser utanför Google via mejladressen och komma åt appar som använder Google-kontot som genomgångsinloggning. Ganska skrämmande, faktiskt.

Det var då jag verkligen fick upp ögonen för autentisering med 2 faktorer (2FA). Säkerheten i 2FA bygger på 2 saker: något du vet, ditt användarnamn och lösenord, och något du har. Det är vanligen en kod som skickas till ett kopplat mejlkonto, ett SMS till ett kopplat mobilnummer eller en autentiseringsapp på enheten som ger tidsbegränsade koder.

En app genererar en tidsbegränsad kod i realtid för ditt konto som du ska ange. Systemet liknar de kommersiella RSA-token som många företag använder för sin autentisering i 2 steg. Du kan skapa koder för flera konton, appar och webbplatser, bland annat populära Google Accounts, Microsoft Accounts, Paypal, Dropbox, Evernote, Twitter och Reddit.

Autentiseringsappen skapar en 6-siffrig kod som ändras var 30:e sekund. Även om lösenordet röjs måste tjuven alltså få tag på telefonen och appen för att kunna kapa kontot. Till och med en tangentbordslogger kan bara fånga användarnamnet och lösenordet, inte koden, eftersom verifieringskoden du anger bara är giltig i 30 sekunder åt gången.

Det finns flera autentiseringsappar, bland annat versioner från Microsoft och Google , men mitt eget val är Authy eftersom den har flera fördelar jämfört med alternativen, som att enkelt kunna köras på flera enheter och överföras till en ny när den gamla byts ut.

Det kan låta jobbigt att ange en kod varje gång du loggar in på en webbplats, men många webbplatser och appar låter dig förbli verifierad i 30 dagar eller längre om du använder samma enhet. Varje gång någon, även du själv, öppnar webbplatsen på en ny enhet eller i en ny webbläsare krävs dock en ny autentiseringskod.

Se till att INTE använda alternativet för flera dagar eller att komma ihåg enheten på en offentlig dator. Nästa person som loggar in där måste då ange en ny giltig verifieringskod, även om personen hittar ditt konto, användarnamn och lösenord i historiken. Den koden har personen inte tillgång till.

Som ett bra exempel använder jag GL.iNet Goodcloud för att hantera flera enheter. Tänk om en hackare fick tillgång till mitt användarnamn och lösenord för Goodcloud och kunde hantera och manipulera mina enheter. Som tur är stöder webbplatsen 2FA.

Här är den första inloggningsskärmen: något jag vet, mitt användarnamn och lösenord.

Nu behövs något jag har: en 2FA-kod från autentiseringsappen på enheten som är kopplad till mitt Goodcloud-konto.

Här är det: min autentiseringsapp Authy i datorversion ger mig en kod som gäller i 30 sekunder. Observera att koden ovan bara är giltig i ytterligare 15 sekunder. Min Authy-app är dessutom skyddad med fingeravtryck.

Om koden är fel eller om de 30 sekunderna passerar kommer du, eller en hackare, inte in.

Authy-koden ändras efter 15 sekunder. Det här är alltså koden jag behöver ange om det första försöket var fel eller om tidsgränsen passerades.

Rätt kod: jag är inne i Goodcloud.

Kom alltså ihåg att det är lika viktigt, om inte viktigare, att skydda åtkomsten till konton, appar och annan information som att skydda dataöverföringen med exempelvis VPN.

Om du kan skydda dina konton med någon form av 2FA, via mejl, SMS eller en app, så använd det. Det extra skyddslagret kan skydda dina data eller helt enkelt få hackaren att gå vidare till ett annat, enklare och oskyddat konto.

Det kan kräva lite mer arbete att konfigurera och använda, men för mig är det väl värt den extra tiden för den ytterligare tryggheten.