«Sikkerhetstoken» kan bety flere ting. I en innloggingsguide kan det være en fysisk nøkkel eller en kodebrikke. I en app kan det være et digitalt bevis på innlogging eller tilgang. Finn ut hvilken betydning tjenesten bruker før du kjøper utstyr eller deler opplysninger. Microsofts forklaring av passnøkler og sikkerhetsnøkler viser et konkret eksempel på fysisk innloggingsutstyr.
Tre vanlige betydninger
| Type | Hva den gjør | Hva du bør passe på |
|---|---|---|
| Kodebrikke eller kodeapp | Lager eller viser en engangskode som brukes ved innlogging. | Koden kan bli stjålet gjennom en falsk innloggingsside. |
| Fysisk sikkerhetsnøkkel | Brukes som innloggingsmiddel hos tjenester som støtter nøkkelen. | Sjekk støttet standard, USB eller NFC og mulighet for reserve. |
| Digitalt tilgangstoken | Lar en app få tilgang til en bestemt ressurs med bestemte rettigheter. | Et stjålet token kan gi tilgang selv om passordet ikke er delt. |
Microsofts tokenforklaring skiller blant annet mellom ID-token, tilgangstoken og oppdateringstoken. Et ID-token forteller om en autentisert bruker, mens et tilgangstoken brukes for tilgang til en ressurs. Et oppdateringstoken kan brukes til å hente nye tilgangstoken når vilkårene for det er oppfylt.
Digital signatur betyr ikke skjult innhold
Noen token bruker formatet JWT. Opplysningene i et slikt token kan være lesbare selv om det er signert. Signaturen brukes til å kontrollere ekthet; den er ikke i seg selv kryptering av innholdet. Ikke legg token i skjermbilder, supportforum eller en nettbasert «token-dekoder». Behandle dem som hemmeligheter.
Identitetskontroll og sikker innlogging er to forskjellige ledd i kontosikkerheten. Forklaringen av hva en dokumentbasert identitetskontroll omfatter bruker ID, adressebevis og betalingsbevis som eksempler, og beskriver trygg opplasting og skjerming av kortopplysninger. Et slikt dokumentkrav erstatter ikke beskyttelsen ved innlogging; NSMs veiledning om tofaktorautentisering forklarer rollen til en fysisk sikkerhetsnøkkel.
Hvordan får du riktig innloggingsmiddel?
- Åpne tjenestens sikkerhetsinnstillinger gjennom en kjent adresse.
- Se hvilke metoder tjenesten støtter. En hvilken som helst USB-nøkkel fungerer ikke nødvendigvis.
- Registrer metoden etter leverandørens veiledning.
- Opprett en reserve eller lagre gjenopprettingskoder slik tjenesten beskriver.
- Prøv en ny innlogging før du fjerner den gamle metoden.
Nettvett forklarer totrinnsbekreftelse. Vil du forstå hvorfor moderne passnøkler og kodebasert innlogging beskytter på forskjellige måter, se guiden til tofaktorautentisering.
Hvis en brikke, nøkkel eller et token er på avveie
Bruk tjenestens offisielle kontaktkanal. Fjern en mistet nøkkel fra kontoen, avslutt ukjente innlogginger og følg leverandørens rutine for å trekke tilbake tilgang. Ved eksponerte digitale token må tjenesten vurdere sperring og nye token; et passordbytte alene er ikke en generell garanti for at all tilgang stopper.
Ved mistanke om misbruk av BankID, kontakt banken straks. Ikke send koder eller passord til noen som hevder at de må «kontrollere» brikken. Se også hva du gjør ved phishing.
Kilder og videre lesning
Redaksjonelt ansvar
Sindre Ole Solberg Hansen
Skribent og redaktør for Midtpunktets guider om nettsikkerhet, betaling, mobil og digitale tjenester. Les om bakgrunnen hans, kildene og hvordan guidene er bygget opp.
Ser du en feil eller en opplysning som har endret seg? Send en rettelse til Midtpunktet.