Rask innf?ring
USIT, IT-avdelingen p? UiO, har denne v?ren jobbet intensivt med ? gj?re klar for ?kt sikkerhet for alle UiOs IT-brukere og for UiO. – Den gode nyheten er at n? ?ker vi sikkerheten for IT-systemene p? UiO. Vi er allerede i kjent for ? v?re i front p? IT-sikkerhet i sektoren, og n? innf?rer vi et nytt lag i sikkerhetsprosessene, nemlig tofaktorautentisering. Innf?ring av krav om tofaktorautentisering vil i f?rste omgang kun gjelde kun for p?logging til Microsoft 365, alts? de nettbaserte produktene fra Microsoft, som Teams og OneDrive, forklarer prosjektleder Frank Paul Silye.
Hva er tofaktorautentisering?
Tofaktorautentisering er noe som de fleste av oss allerede bruker, for eksempel i forbindelse med kontakt med offentlige kontorer og banktjenester. Kort fortalt er dette en mer sikker m?te bekrefte hvem man er p?. Det er ikke lenger nok ? oppgi et passord. Du m? bruke to faktorer:
Noe du vet, alts? passordet ditt, og noe du har, alts? mobiltelefonen din.
Andre faktorer som fingeravtrykk og annet kan ogs? brukes, men p? UiO er det valgt p?logging med passord sammen med en bekreftelseskode i en app p? mobilen.
Tidsplan for innf?ringen p? UiO
Den nye l?sningen har v?rt pr?vd ut p? de IT-ansatte siden 9. mars, og resten av UiO st?r n? for tur. Teologisk fakultet er f?rst ut allerede 6. april, og s? innf?rer de andre l?sningen etter tur i tiden fram til 5. mai. Husk at det i denne omgang kun gjelder for p?logging til Microsoft 365, ikke alle IT-tjenester eller p?logging p? datamaskiner eller annet. Andre tjenester vil f?lge etter, men da er du allerede vant til det.
Hva skjer?
– Endringen best?r i at du n? framover ogs? m? bruke mobilen n?r du skal logge p?. Det fungerer omtrent som med BankID p? mobil, som de fleste kjenner. Vi logger inn, og f?r en melding p? mobilen om ? bekrefte p?loggingen, forteller prosjektleder Silye. – Men f?rste gang du skal logge inn med tofaktorautentisering, er det litt annerledes. Du m? installere godkjenningsapp p? mobilen og koble sammen appen med Microsoft-p?loggingen din. Det gj?r du ved ? skanne en QR-kode med appen p? mobilen. Dette har vi gode veiledninger for. Etter f?rste p?logging, vil du ikke merke noe nytt f?r etter 30 dager, da du blir bedt om ? bekrefte p?logging n?r du skal bruke Teams eller et annet MS365-produkt. Da piper telefonen og du bare trykker p? ?godkjenn? i appen. Du vil bli bedt om en slik godkjenning hver 30. dag, eller n?rmeste p?logging etter 30 dager, avslutter han.
Anbefalt metode for tofaktorautentisering er ? bruke mobiltelefonen, slik det beskrives over, men det er ogs? mulig ? ? installere et program p? datamaskinen og utf?re autentiseringen derfra.
En enkel m?te ? sikre oss p?
UiOs IT-sikkerhetssjef, Espen Gr?ndahl, er prosjekteier for innf?ringen av tofaktorautentisering p? UiO. Han forklarer at det er gode grunner til at du n? m? bekrefte at det faktisk er du som fors?ker ? logge inn. – Bare passord er faktisk ikke tilstrekkelig trygt. N?r vi n? innf?rer to faktorer, alts? passord og bekreftelse fra en annen enhet, blir det mye vanskeligere for angripere ? komme innenfor. Passord kan gjettes med hackerverkt?y (brute force), eller de kan lekkes ved en feil. N? blir ikke det lenger nok til at uvedkomne kan f? tilgang til dine og mine data, eller misbruke UiOs IT-infrastruktur, sier Gr?ndahl.
Han forteller at det ofte er snakk om at det er fire m?ter et passord kan komme p? avveie p?:
- Lekkasje av passord fra et nettsted,
- Skadevare p? datamaskiner hvor brukernavn og passord plukkes opp,
- Man in the middle-angrep - hvor noen plukker opp brukernavn og passord mellom deg og den tjenesten du logger deg p?, og
- Phishing-angrep - n?r noen lurer deg til ? oppgi passord p? galt sted (typisk gjennom e-post)
Felles for disse angrepsmetodene er at de ikke kan brukes s? lenge det kreves to faktorer for p?logging. Om en angriper skulle f? tak i passordet ditt med en av disse metodene, f?r han ikke tak i mobilen din, og da kan han ikke bruke passordet til noe.
Veien videre
Gr?ndahl er glad for at vi n? er godt i gang med ? innf?re ekstra p?loggingssikkerhet. Men er det bare for Microsoft 365-p?loggingen? – Nei, absolutt ikke. Det er der vi begynner. F?r sommeren kommer det tofaktor p? innlogging til f?rst en del tjenester med Feide-innlogging og deretter p? e-posten v?r. Vi pr?ver ? ta det litt etter hvert, slik at ikke all belastningen kommer samtidig. Vi venter ikke at mange vil f? problemer, men vi ?nsker at de fleste er i gang med tofaktorautentisering f?r vi legger det p? e-posten, siden det er et av de viktigste arbeidsverkt?yene v?re. Det kommer god og grundig informasjon om n?r og hvordan det innf?res tofaktorautentisering p? de andre tjenestene. – Andre universiteter har innf?rt tofakorautentisering uten at det medf?rte mye henvendelser til support, s? da er jeg sikker p? at vi greier det her p? UiO ogs?, avslutter IT-sikkerhetssjefen.
Vil du vite mer?
Tofaktorautentisering er n? en IT-tjeneste p? UiO, s? du finner informasjon og veiledninger p? IT-tjenstesidene. For ? gj?re det enkelt, har innf?ringsprosjektet laget en snarvei dit som heter uio.no/tofaktor. For ? f? den beste brukeropplevelsen n?r du n? framover skal bekrefte p?logging med en app p? mobilen, anbefaler innf?ringsprosjektet at du leser veiledningen og gj?r innstillingene som anbefales der. Da slipper du ? bekrefte med en kode, men trenger bare p? trykke p? ?Godkjenn? i appen p? mobilen.