Hvorfor 2FA bør være din viktigste vane for e-postsikkerhet

Det ble oppfunnet på 90-tallet (og tilskrives i stor grad AT&T), men ble først virkelig kjent på midten av 2000-tallet. Tofaktorautentisering (eller 2FA, som det er mer kjent som) er et så enkelt prinsipp at det nesten er vakkert — å kombinere noe du vet med noe du har.

Problemet og løsningen

Problemet:

Et brukernavn og passord var alt som sto mellom dataene våre og uautorisert tilgang. Kontoene våre er i praksis en uovervåket dør, klar til å bli brutt opp døgnet rundt uten at vi vet det. Dette blir ikke bedre av at brukernavn nesten alltid følger et mønster, og passord også kan være enkle å gjette fordi vi alle har en tendens til å tenke likt.

For eksempel kan et enkelt ord være vanskelig for et annet menneske å gjette, men på grunn av det begrensede antallet ord i det engelske språket er det overraskende enkelt for en datamaskin. Derfor ber mange nettsteder oss om å styrke passordene våre med bokstaver og spesialtegn. Men med stadig mer sofistikert hackingprogramvare, og nå også fremveksten av AI, er ikke engang dette nok. Husk at den «døren» til kontoen din kan oppdages i eteren døgnet rundt.

Løsningen:

Å bekrefte at det faktisk er du som logger inn ved å bruke noe som bare (logisk sett) kan være i din besittelse. Dette kan være en smarttelefon, e-postkonto, nøkkel eller til og med biometri. Uansett hvilken metode som brukes, sørger 2FA for at uautoriserte innloggingsforsøk kan blokkeres, og at du kan iverksette tiltak for å begrense ytterligere brudd.

Joda, det er en opphøyd ID-sjekk — tilsvarende å kikke gjennom dørspionen før du tar av sikkerhetslenken på inngangsdøren — men implementeringen er ganske genial når du tenker over det. Mengden sikkerhet og bevissthet 2FA tilfører en konto løfter det til mer enn summen av delene.

Så hvorfor tok det så lang tid før det slo an? Det var sannsynligvis bare en kombinasjon av en gradvis økning i nettkriminalitet gjennom årene, hvor vanlig det ble å ha sekundære enheter, og den økte datakraften som nettkriminelle fikk tilgang til, som gjorde at det måtte vente på sin tid til å skinne. Det er også mulig at det fantes bekymringer for at den sekundære enheten kunne gå tapt.

Der vi har sett 2FA utmerke seg i årevis

Bank- og finansapper har brukt dette i flere år allerede. Men hvis du ikke har lagt merke til at det har begynt å dukke opp på de mer «hverdagslige» kontoene dine ennå, vil du sannsynligvis gjøre det snart. Utrullingen er i gang etter hvert som hackingteknologien blir mer sofistikert, og dataselskaper får et stadig større ansvar for å beskytte dataene våre.

La oss for eksempel se på 2FA i sammenheng med e-postkontoer. Frem til nå har du kanskje tenkt at det var litt styr, eller unødvendig forsiktig, å aktivere 2FA for e-postkontoene dine — men vi skal overbevise deg om hvorfor det er så verdifullt, spesielt hvis du driver virksomhet.

Hvorfor legge til 2FA for å sikre e-postkontoen din?

For det første bør du tenke på at et ekstra beskyttelseslag utover passordet ditt aldri egentlig er en dårlig ting. Stopp så opp og tenk på hva slags sensitive data e-postkontoen din inneholder:

• Bankinformasjon — den typen du har beskyttet med 2FA andre steder i årevis.

• Personlige vedlegg — bilder, dokumenter eller til og med verk du ønsker immaterielle rettigheter til.

• Kjøpshistorikk — og andre data som kan være verdifulle for annonsører.

• Medisinske data — opplysninger om avtaler, medisiner eller til og med tilstander.

• Eiendomsdata — boligkjøp og lignende viktige prosesser er ofte papirløse.

Og som vi nevnte, hvis du driver virksomhet, omfatter disse dataene nesten helt sikkert også kundenes data. Å holde disse dataene trygge er en juridisk forpliktelse i land med regler som GDPR. Så det begynner allerede å høres ut som en selvfølge å sikre e-post, og vi er ikke engang ferdige ennå!

Den kanskje viktigste grunnen til å holde e-posten din sikker er at den er en inngangsport til mange av de andre kontoene dine. I årevis har det vært en vanlig måte å tilbakestille passord på. Alt noen med tilgang til e-posten din trenger å gjøre, er å lese meldingene dine for å finne ut hvilke nettsteder du har kontoer på, og deretter gå gjennom prosessen for «glemt passord» på dem.

For nesten alle mindre nettsteder er den registrerte e-postkontoen alt som står mellom kontoen din og uvedkommendes tilgang. Dette kan bety at mange av kontoene dine blir kompromittert før du i det hele tatt er klar over at kontoen din har blitt hacket.

Legg enkelt til 2FA på kontoen din

Den gode nyheten er at det er veldig enkelt å legge til 2FA på de fleste e-postkontoer. E-postkontoer for bedrifter eller profesjonell bruk tilbyr særlig ofte denne funksjonen. Aktiveringsprosessen er vanligvis enkel og veldig rask å sette opp, spesielt hvis du har en autentiseringsapp for andre apper.

Vi skal se på Spacemail (fra Spaceship som et godt eksempel), der 2FA kan aktiveres med noen få klikk.

1. Logg inn på kontoen din

2. Klikk på innstillingshjulet øverst til høyre på skjermen.

3. Klikk på «Launch security center» i den andre boksen.

4. Klikk på TWO FACTOR AUTHENTICATION i fanen.

5. Velg én av de to støttede 2FA-typene.

Ikke glem å tette andre inngangspunkter

Å legge til 2FA på hovedinnloggingen er vel og bra, men det er stor sjanse for at du har en annen bakdør inn til e-postkontoen din hvis du har den koblet til en app (som Outlook eller Gmail) på telefonen din.

Protokollene som brukes for å aktivere denne funksjonen, inkluderer IMAP, SMTP og POP3. Hvis de er aktivert, kan tilgang til kontoen din settes opp ved hjelp av en app og dermed omgå 2FA-en du har konfigurert. For å garantere sikkerheten bør du deaktivere disse protokollene hvis mulig.

Når det gjelder Spacemail, er en app for tiden under utvikling og planlagt lansert senere i år. Dette vil gi deg enkel tilgang til e-posten din på en enhet som en smarttelefon, uten å gå på bekostning av sikkerheten.

Typer 2FA

Når vi snakker om «typer 2FA», la oss se nærmere på hva de er, og hvordan de fungerer i sammenheng med Spacemail. Grovt sett finnes det tre typer 2FA. Alle bruker ulike ting for autentisering.

«Noe du vet»

Dette inkluderer ting som ekstra PIN-koder eller sikkerhetsspørsmål. Dette er informasjon som bare du bør kjenne til — men på mange måter er det ikke så forskjellig fra et passord. Som en mer foreldet form for 2FA fases det gradvis ut til fordel for metodene nedenfor.

Du har kanskje hørt for flere år siden at man ble rådet til å velge et falskt «mors pikenavn» eller «første kjæledyr» for å unngå at folk kunne gjette eller undersøke svaret ditt.

På grunn av den relative usikkerheten støttes ikke denne metoden av Spacemail.

«Noe du er»

Vi var så vidt inne på dette allerede. Denne typen 2FA er avhengig av biometriske data som fingeravtrykk, ansiktsgjenkjenning og stemmegjenkjenning. Dette er nyttig der en sekundær enhet kanskje ikke er det beste alternativet, for eksempel bruker vi i mange tilfeller en smarttelefon som i seg selv er den sekundære enheten.

Biometri gjør det mulig med en sekundær validering ved hjelp av deg selv. Selv om dette krever ekstra sensorer som vanligvis bare finnes på nyere og mer avanserte enheter.

«Noe du har»

Det meste av 2FA faller inn under denne kategorien, og det gjelder begge alternativene du finner i Spacemail. Disse krever at du har en bestemt enhet eller gjenstand i din besittelse. Det finnes flere måter å implementere denne metoden på.

TOTP (Time-Based One-Time Password)

En kode generert av en autentiseringsapp gir sikker innlogging. Du kan bruke autentiseringsapper, eller sende engangskoder via SMS/e-post. Når det gjelder Spaceship, er TOTP kun tillatt via en autentiseringsapp fordi dette er langt sikrere.

U2F (Universal 2nd Factor)

U2F bruker kryptografi med offentlig nøkkel, noe som gjør det sikrere og mer motstandsdyktig mot phishing. Det krever ikke at du skriver inn koder manuelt. Du setter ganske enkelt inn en maskinvare-nøkkel (som en YubiKey) i enheten din. Dette har også den ekstra fordelen at hvis noen stjeler smarttelefonen din, kreves det en ekstra enhet (nøkkelen) for å få tilgang til kontoer som er sikret med 2FA.

Hvilken metode du bør velge

U2F anses generelt som sikrere fordi enhetene er manipulasjonsbestandige, og den kryptografiske prosessen er knyttet til det spesifikke nettstedet eller appen. Dette sikrer at selv om en bruker blir lurt til å besøke et falskt nettsted, vil autentiseringen mislykkes, siden det falske nettstedet ikke kan gjenskape den sikre tilkoblingen som kreves.

Selvfølgelig innebærer kjøp av en U2F-nøkkel en kostnad, men det kan være verdt det når det gjelder sikkerheten din.

2FA som del av et balansert sikkerhetskosthold…

Man kan ikke leve av 2FA alene. Det er ikke en erstatning for gode, helhetlige sikkerhetsrutiner. E-postkontoene våre er spesielt utsatt for phishing og malware-angrep. Ironien er at ingen trenger å komme seg inn på kontoen din for å utgjøre en trussel på denne måten. De sender ganske enkelt en e-post.

Derfor er kontoer som tilbyr annen beskyttelse mot e-posttrusler, særlig antispamfiltre, også en klok investering. Ved å hindre deg i å se e-poster som inneholder sosialt manipulerte feller eller malware, vil du aldri engang se den største risikoen for sikkerheten din.Aktiver 2FA på kontoen din i dag, og hvis du oppdager at den ikke har det, bør du vurdere å bytte til en som har det.