Varför 2FA bör vara din främsta vana för e-postsäkerhet

Det uppfanns på 90-talet (och tillskrivs ofta AT&T) men blev inte allmänt känt förrän i mitten av 2000-talet. Tvåfaktorsautentisering (eller 2FA som det oftast kallas) bygger på en så enkel princip att den nästan är vacker — att kombinera något du vet med något du har.

Problemet och lösningen

Problemet:

Ett användarnamn och lösenord var allt som stod mellan våra data och obehörig åtkomst. Våra konton är i princip en obevakad dörr, redo att brytas upp dygnet runt utan vår vetskap. Detta hjälps inte av att användarnamn nästan alltid följer ett mönster, och lösenord också kan vara lätta att gissa eftersom vi alla tenderar att tänka på liknande sätt.

Till exempel skulle ett enda ord vara svårt för en annan människa att gissa, men på grund av det begränsade antalet ord i engelska språket är det förvånansvärt lätt för en dator. Därför ber många webbplatser oss att stärka våra lösenord med bokstäver och specialtecken. Men med allt mer sofistikerad hackningsprogramvara, och nu även AI, räcker inte ens detta. Kom ihåg att den där ”dörren” till ditt konto går att upptäcka i etern dygnet runt.

Lösningen:

Att verifiera att det verkligen är du som loggar in genom att använda något som bara (logiskt sett) kan vara i din besittning. Det kan vara en smartphone, ett e-postkonto, en nyckel eller till och med biometriska data. Oavsett vilken metod som används säkerställer 2FA att obehöriga inloggningsförsök kan blockeras, och du kan vidta åtgärder för att begränsa ytterligare intrång.

Visst, det är en upphöjd ID-kontroll — motsvarigheten till att titta genom titthålet innan man öppnar ytterdörren — men genomförandet är ganska genialt när man tänker på det. Den mängd säkerhet och medvetenhet som 2FA tillför ett konto gör att det blir större än summan av sina delar.

Så varför tog det så lång tid innan det slog igenom? Det var sannolikt bara en kombination av en gradvis ökning av cyberbrott genom åren, hur vanligt det blev att människor hade sekundära enheter, och den ökade datorkraft som cyberbrottslingar fick tillgång till, som gjorde att det fick vänta på sin tid att glänsa. Det är också möjligt att det fanns farhågor om att den sekundära enheten skulle gå förlorad.

Där vi har sett 2FA utmärka sig i flera år

Bank- och finansappar har använt detta i flera år nu. Men om du ännu inte har märkt att det sipprat ner till dina mer ”vardagliga” konton, kommer du förmodligen att göra det snart. Utrullningen pågår i takt med att hackningstekniken blir mer sofistikerad och dataföretag får ett allt större ansvar att skydda våra uppgifter.

Låt oss till exempel titta på 2FA i samband med e-postkonton. Hittills kanske du har tyckt att det varit lite omständligt eller överdrivet försiktigt att aktivera 2FA för dina e-postkonton — men vi ska övertyga dig om varför det är så värt det, särskilt om du driver företag.

Varför lägga till 2FA för att skydda ditt e-postkonto?

Tja, för det första är ett andra skyddslager utöver ditt lösenord egentligen aldrig något dåligt. Stanna nu upp och tänk på vilken typ av känsliga uppgifter ditt e-postkonto innehåller:

• Bankinformation — den typ som du redan har skyddat med 2FA på andra ställen i flera år.

• Personliga bilagor — foton, dokument eller till och med verk vars immateriella rättigheter du vill skydda.

• Köphistorik — och andra uppgifter som kan vara värdefulla för annonsörer.

• Medicinska uppgifter — journaler över besök, medicinering eller till och med tillstånd.

• Fastighetsuppgifter — husköp och liknande viktiga processer är ofta papperslösa.

Och som vi nämnde, om du driver företag omfattar dessa uppgifter nästan säkert även dina kunders data. Att hålla dessa uppgifter säkra är en juridisk skyldighet i länder med regler som GDPR. Så att säkra e-post börjar redan låta som en självklarhet, och vi är inte ens klara än!

Den kanske viktigaste anledningen att hålla din e-post säker är att den är en ingång till många av dina andra konton. I flera år har det varit ett vanligt sätt att återställa lösenord. Allt någon med tillgång till din e-post behöver göra är att läsa dina meddelanden för att ta reda på vilka webbplatser du har konton på, och sedan gå igenom processen för ”glömt lösenord” där.

För nästan alla mindre webbplatser är det registrerade e-postkontot allt som står mellan någon och åtkomst till ditt konto. Det kan innebära att många av dina konton komprometteras innan du ens är medveten om att ditt konto har blivit hackat.

Lägg enkelt till 2FA på ditt konto

Den goda nyheten är att det är väldigt enkelt att lägga till 2FA på de flesta e-postkonton. E-postkonton för företag eller professionellt bruk erbjuder särskilt ofta funktionen. Aktiveringsprocessen är vanligtvis enkel och går mycket snabbt att ställa in, särskilt om du redan har en autentiseringsapp för andra appar.

Vi ska titta på Spacemail (från Spaceship som ett bra exempel), där 2FA kan aktiveras med några få klick.

1. Logga in på ditt konto

2. Klicka på kugghjulet för inställningar längst upp till höger på skärmen.

3. Klicka på ”Launch security center” i den andra rutan.

4. Klicka på TWO FACTOR AUTHENTICATION på fliken.

5. Välj en av de två 2FA-typer som stöds.

Glöm inte att täta andra ingångar

Att lägga till 2FA för huvudinloggningen är förstås bra, men det finns en stor chans att du har en annan bakdörr till ditt e-postkonto om du har det kopplat till en app (som Outlook eller Gmail) på din telefon.

De protokoll som används för att möjliggöra denna funktion inkluderar IMAP, SMTP och POP3. Om de är aktiverade kan åtkomst till ditt konto ställas in via en app och därmed kringgå den 2FA du har konfigurerat. För att garantera säkerheten bör du inaktivera dessa protokoll om möjligt.

När det gäller Spacemail är en app för närvarande under utveckling och planeras att släppas senare i år. Detta kommer att ge dig enkel åtkomst till din e-post på en enhet som en smartphone, utan att kompromissa med säkerheten.

Typer av 2FA

På tal om ”typer av 2FA”, låt oss titta närmare på vad de är och hur de fungerar i Spacemail-sammanhang. Grovt sett finns det tre typer av 2FA. Alla använder olika saker för autentisering.

”Något du vet”

Detta omfattar sådant som extra PIN-koder eller säkerhetsfrågor. Det är information som bara du bör känna till — men på många sätt skiljer det sig inte så mycket från ett lösenord. Det är en äldre form av 2FA som gradvis fasas ut till förmån för metoderna nedan.

Du kanske hörde för flera år sedan rådet att välja ett falskt ”moderns flicknamn” eller ”första husdjur” för att undvika att människor gissar eller undersöker ditt svar.

På grund av sin relativa osäkerhet stöds denna metod inte av Spacemail.

”Något du är”

Vi berörde detta kort redan tidigare. Den här typen av 2FA bygger på biometriska data som fingeravtryck, ansiktsigenkänning och röstigenkänning. Detta är användbart där en sekundär enhet kanske inte är det bästa alternativet, till exempel när vi i många fall använder en smartphone som i sig är den sekundära enheten.

Biometri möjliggör en sekundär verifiering med hjälp av dig själv. Även om detta kräver ytterligare sensorer som vanligtvis bara finns på nyare och mer avancerade enheter.

”Något du har”

Det mesta av 2FA faller inom denna kategori, och det gäller båda alternativen du hittar i Spacemail. Dessa kräver att du har en specifik enhet eller ett specifikt föremål i din besittning. Det finns flera sätt att implementera denna metod.

TOTP (tidsbaserat engångslösenord)

En kod som genereras av en autentiseringsapp ger en säker inloggning. Du kan använda autentiseringsappar eller skicka engångskoder via SMS/e-post. När det gäller Spaceship tillåts TOTP endast via en autentiseringsapp eftersom detta är mycket säkrare.

U2F (universell andra faktor)

U2F använder kryptografi med publik nyckel, vilket gör det säkrare och mer motståndskraftigt mot nätfiske. Det kräver inte att du skriver in koder manuellt. Du sätter helt enkelt in en hårdvarunyckel (som en YubiKey) i din enhet. Detta har också den extra fördelen att om någon stjäl din smartphone krävs en ytterligare enhet (nyckeln) för att få åtkomst till konton som skyddas med 2FA.

Vilken metod du ska välja

U2F anses generellt vara säkrare eftersom enheterna är manipulationssäkra och den kryptografiska processen är bunden till den specifika webbplatsen eller appen. Detta säkerställer att även om en användare luras att besöka en falsk webbplats kommer autentiseringen att misslyckas, eftersom den falska webbplatsen inte kan återskapa den säkra anslutning som krävs.

Naturligtvis innebär köp av en U2F-nyckel en kostnad, men det kan vara värt det när det gäller din säkerhet.

2FA som en del av en balanserad säkerhetsdiet…

Människan kan inte leva av enbart 2FA. Det ersätter inte goda säkerhetsrutiner i allmänhet. Våra e-postkonton är särskilt utsatta för nätfiske och malware-attacker. Ironin är att ingen ens behöver ta sig in på ditt konto för att utgöra ett hot på det här sättet. De behöver bara skicka ett e-postmeddelande.

Därför är konton som erbjuder andra skydd mot e-posthot, särskilt antispamfilter, också en klok investering. Genom att hindra dig från att ens se e-postmeddelanden som innehåller socialt manipulerade fällor eller malware kommer du aldrig ens att se den största risken för din säkerhet.Aktivera 2FA på ditt konto idag, och om du upptäcker att det saknar det, överväg att byta till ett som har det.