autentiseringskoder

Autentiseringskoder är temporära koder som används för att verifiera en användares identitet vid inloggning eller vid känsliga åtgärder, som överföringar eller ändringar av kontoinställningar. De utgör ofta en andra faktor i tvåfaktorsautentisering (2FA) och kompletterar vad användaren vet (lösenord) med vad användaren har eller genererar (enhet eller token).

Vanliga sätt att få autentiseringskoder är genom autentiseringsappar som genererar koder baserade på tidsbaserade algoritmer (TOTP), leveranser via SMS eller e-post, eller genom hårdvarutoken såsom USB-nycklar som stödjer moderna autentiseringsprotokoll. De flesta autentiseringsapparna kommunicerar med servern genom en delad hemlighet och en tidsbaserad eller händelsebaserad algoritm.

De två mest vanliga tekniska metoderna för OTP är HOTP och TOTP. HOTP baseras på ett förutbestämt räknebaserat värde, medan TOTP är tidsbaserat och vanligtvis utgivet i en 30-sekunds fönster. I båda fallen används en hemlig nyckel mellan tjänsten och användarens enhet för att beräkna den giltiga koden som servern verifierar vid inloggning.

Säkerhet och risker. Eftersom koder ofta är kortlivade och begränsade i användning minskar de risken för lösenordsåteranvändning, men de kan vara sårbara för phishing, sim-swap och malware som fångar koder. SMS-baserad 2FA är särskilt utsatt för sådana attacker.

Bästa praxis inkluderar att föredra app-baserade eller tokenbaserade koder framför SMS, använda backup- eller återställningskoder, och säkerställa ordentlig skydd av enheten samt regelbundet uppdatera och övervaka kontoinställningar. Standards och specifikationer som HOTP (RFC 4226) och TOTP (RFC 6238) används brett inom industrin.