Vrste faktora
| Faktor | Primjeri |
|---|---|
| nešto što korisnik zna | lozinka, PIN |
| nešto što korisnik posjeduje | aplikacija za autentifikaciju na mobitelu, sigurnosni ključ, pametna kartica |
| nešto što korisnik jest | otisak prsta, prepoznavanje lica |
Dvofaktorska autentifikacija kombinira dva faktora različitih vrsta. Dvije lozinke nisu dva faktora.
Propisi
- Zakon o kibernetičkoj sigurnosti među mjerama upravljanja kibernetičkim sigurnosnim rizicima navodi korištenje višefaktorske provjere autentičnosti, prema potrebi
- Uredba o kibernetičkoj sigurnosti obvezuje ključne i važne subjekte da višefaktorsku autentifikaciju uvedu za kritične sustave koji su više izloženi napadima, primjerice za VPN i aplikacije dostupne putem interneta
- GDPR (čl. 32.) traži odgovarajuće tehničke mjere zaštite osobnih podataka, a višefaktorska autentifikacija jedna je od uobičajenih mjera
Sigurno korištenje
- prednost imaju aplikacije za autentifikaciju i sigurnosni ključevi pred SMS porukama
- korisnik ne smije potvrditi zahtjev za prijavu koji nije sam pokrenuo, čak ni kad zahtjevi stižu više puta zaredom
- jednokratni kod ne smije se nikome dati, ni osobi koja se predstavlja kao IT podrška
- tvrtka treba imati siguran postupak za vraćanje pristupa kad zaposlenik izgubi mobitel
Primjer
Napadač phishingom dozna lozinku zaposlenika za e-poštu. Kad se pokuša prijaviti, sustav traži kod iz aplikacije na zaposlenikovu mobitelu. Napadač ga nema pa se ne može prijaviti, a zaposlenik dobiva obavijest o pokušaju prijave i mijenja lozinku.