To-faktorautentificering

Tofaktorautentificering er MFA med præcis to faktorer, i praksis næsten altid en memoreret hemmelighed plus en besiddelsesfaktor. Betegnelserne "2FA" og "totrinsbekræftelse" (Googles navn, da funktionen blev åbnet for alle konti i 2011) bruges ofte i flæng, men er ikke helt ens: to trin er ikke to faktorer, hvis begge tilhører samme kategori, og en kode sendt til en mailboks, der kan nås med den samme adgangskode, tilføjer et trin uden at tilføje en uafhængig faktor. Standarderne undgår de løse begreber. NIST SP 800-63B taler om multifaktorautentificering på AAL2, og PSD2-reglerne om stærk kundeautentifikation kræver to uafhængige elementer fra forskellige kategorier.

De udbredte andenfaktorer er meget forskellige i styrke. Sms- og opkaldskoder afhænger af telefonnettet og er udsat for SIM-swap-svindel, nummerflytning og SS7-aflytning; NIST klassificerer dem som "restricted". TOTP-apps (RFC 6238) fjerner afhængigheden af telefonnettet, men giver stadig en kode, som et menneske kan lokkes til at taste ind på en phishingside. Push-godkendelser er bekvemme, men inviterer til prompt bombing, medmindre number matching håndhæves. En FIDO U2F- eller FIDO2-sikkerhedsnøgle brugt som anden faktor efter adgangskoden er phishing-resistent, fordi det signerede svar er bundet til sitets origin. En passkey med brugerverifikation (pinkode eller biometri på enheden) er i sig selv to faktorer i ét trin, og derfor beskrives login med passkeys ofte som en erstatning for mønstret adgangskode-plus-kode snarere end en tilføjelse til det.

Det svageste led er som regel ikke den primære andenfaktor, men reservevejen. Tjenester, der tilbyder sms som backup til en sikkerhedsnøgle, kontogendannelse via mail eller nulstilling hos servicedesken på baggrund af kontrolspørgsmål, reducerer den reelle styrke til den svageste aktiverede vej; angribere går efter netop de veje, fordi hovedfaktoren er stærk. Gendannelseskoder - en kort liste af engangshemmeligheder udstedt ved tilmelding - er en bedre reserve, hvis de opbevares offline.

2FA beskytter heller ikke det, der sker efter login. Sessionscookies og refresh tokens opsnappet af adversary-in-the-middle-proxyer, malware der stjæler browsercookies, og ældre protokoller, der kun kræver adgangskode, omgår alle den anden faktor. Organisationer håndhæver derfor 2FA via central politik (betinget adgang i identitetsudbyderen) frem for frivilligt tilvalg pr. applikation, slår ældre autentificering fra og overvåger registrering af nye enheder, som er et typisk persistenstrin efter en kontoovertagelse. I Danmark leverer MitID (til borgere) og MitID Erhverv (til virksomheder og organisationer) det nationale multifaktorlogin, baseret på et bruger-ID og et identifikationsmiddel som MitID-appen, en kodeviser, en kodelæser eller en MitID-chip.