Meldingsautentiseringskoder

Meldingsautentiseringskoder er engangs-koder som brukes for å verifisere en brukers identitet ved pålogging eller ved utførelse av sensitive handlinger. De inngår ofte i multifaktorautentisering (MFA) og kan også brukes ved kontoresett eller transaksjonsbekreftelser. Kodene gir et annet bevis på eierforhold enn passord og reduserer risikoen ved misbruk.

Det finnes to hovedmåter å håndtere disse kodene på. Enten genereres de lokalt i brukerens enhet ved hjelp av tidsbaserte (TOTP) eller tellerbaserte (HOTP) engangskoder, eller de utstedes av tjenesten og leveres til brukeren via meldingskanaler som SMS, e-post eller push-varsler i en autentiseringsapp. TOTP-koder er vanligvis gyldige i 30–60 sekunder, mens HOTP-koder er engangs og basert på en teller.

Leveringsmetoder inkluderer SMS og e-post, push-varsler gjennom autentiseringsapper, eller i applikasjoner. I tillegg kan man bruke taleoppringning eller fysiske sikkerhetsnøkler som et alternativ til koder. Bruk av slike koder er vanlig i banker, nettbutikker og bedriftsløsninger for å sikre pålogging og betalingsbekreftelser.

Sikkerhetsaspekter: meldingsautentiseringskoder kan være utsatt for phishing, SIM-swap og avlytting av meldinger eller nettverkskanaler. For å redusere risikoen bør koder ha korte levetider, ikke gjenbrukes, og innføre rate-limiting og overvåkning av mistenkelig aktivitet. Vurder phishing-resistente metoder som FIDO2-sikkerhetsnøkler eller passordløse løsninger som et tillegg eller alternativ.

Begrensninger og behov: levering kan være treg eller feile, spesielt i områder med dårlig dekning. Brukere uten mobilenhet eller uten tilgang til meldinger kan få problemer. Derfor brukes disse kodene ofte i kombinasjon med andre faktorer og som et tillegg, ikke som eneste autentiseringsmetode.