autentiseringsalternativer

Autentiseringsalternativer refererer til metoder som brukes for å verifisere en brukers identitet når de logger seg på systemer, applikasjoner eller tjenester. Valgene varierer i sikkerhet, brukervennlighet og kostnad, og de bør tilpasses krav til konfidensialitet, integritet og tilgjengelighet.

En vanlig inndeling følger hva brukeren kjenner, har, er, gjør og kontekst. Noe brukeren kjenner inkluderer passord eller PIN-koder. Noe brukeren har kan være en sikkerhetsnøkkel, en mobiltelefon som mottar en kode, eller et smartkort. Noe brukeren er omfatter biometriske trekk som fingeravtrykk eller ansiktsgjenkjenning. Noe brukeren gjør kan være atferdsmønstre eller godkjennelse via enhet. Kontekst kan være geolokasjon, kjent enhet og tidsbegrensninger som brukes i risikobaserte beslutninger.

Vanlige autentiseringsmetoder inkluderer passordbasert autentisering, og multi-faktor autentisering MFA som kombinerer to eller flere faktorer. Autentiseringsapper som genererer tidsbaserte koder, samt kodeleveranser via SMS eller e-post, brukes også. Push-godkjenning er et annet alternativ. For passordløse løsninger blir WebAuthn/FIDO2 og biometrisk autentisering på enheter stadig mer utbredt. Passord gir risiko som phishing og lekkasjer, mens SMS-koder ofte anses som mindre sikre; fysiske sikkerhetsnøkler gir sterk motstand mot phishing og MITM-angrep.

Standarder og arkitektur inkluderer OAuth 2.0 og OpenID Connect for autentisering og autorisering i applikasjoner, og SAML i eldre bedriftsmiljøer. Federert autentisering gjør det mulig å bruke identitetsleverandører, mens WebAuthn er sentralt for passordløse løsninger.

Når man velger autentiseringsalternativer, bør organisasjoner vurdere brukervennlighet, tilgjengelighet, personvern og kostnader, samt sikkerhetsrisiko og infrastruktur. Anbefalingen er å implementere MFA som standard og vurdere passordløse løsninger eller sikkerhetsnøkler der det er praktisk mulig, og å bruke risikobasert autentisering for ekstra sikkerhet.