Duett har gått til anskaffelse av en ny identitetsplattform, kalt Okta.
Som del av dette arbeidet vil tofaktor-pålogging gradvis bli obligatorisk for alle.
Se Ofte Stilte Spørsmål (OSS) lenger ned, for å lese mer om sikkerhet og begrunnelsen for endringen.
Tidsplanen for når de forskjellige tjenestene tar i bruk Okta, ser slik ut:
| Tjeneste |
Tidspunkt |
| Duett Egen
|
19.09.2023 |
| Duett Sky
|
01.11.2023 |
| Duett Win
|
01.11.2023 |
| Duett Økonomi |
12.12.2023 |
Hvem gjelder dette for?
Alle som bruker tjenester hos Duett, inkludert Microsoft-tjenester som leveres av oss, vil bli påvirket av endringen.
Hva må du gjøre?
Innloggings-skjermbildet vil kunne se litt annerledes ut når du logger på.
Brukernavnet vil for de fleste være din registrerte e-postadresse. Det finnes imidlertid noen unntak, og vi har forsøkt å varsle de det gjelder.
Passordet ditt vil være som tidligere.
Alle brukere må velge hvilken ekstra sikkerhetsfaktor de ønsker å benytte seg av. Dette gjelder både de som ikke har hatt tofaktor tidligere, og de som brukte to-faktor via den gamle løsningen.
Alternativene man kan velge fra, er:
- Pushvarsling via appen Okta Verify (anbefales)
- Engangskode (OTP) via appen Microsoft/Google Authenticator
- SMS-kode som mottas via teksmelding
I tillegg utredes en ekstra sikkerhetsfaktor som vi ønsker å tilby, som ikke er avhengig av mobiltelefon:
- USB-nøkkel som man setter i pc'en.
Ta kontakt med oss dersom du mener at USB-nøkkel kan være beste alternativ.
Når man har valgt sikkerhetsfaktor og konfigurert denne, vil man kunne logge på
Duett sine tjenester.
Fordeler og ulemper ved de forskjellige sikkerhetsfaktorene
SMS - Bekreftelseskode som mottas på SMS som skrives inn ved pålogging.
Fordel med SMS-kode:
- Man slipper å installere - og forholde seg til en app. Alle mobiltelefoner kan motta SMS.
Ulemper med SMS-kode:
- SMS er sikkerhetsfaktoren med lavest sikkerhet. Det er enklere å forfalske og snappe opp en SMS, sammenlignet med engangspassord (via app) og Push-varsling (bekreftelsesmelding på mobiltelefonen).
- SMS må tastes inn ved innlogging. Push-varsling er enklere å bruke når det først er satt opp.
De som har brukt SMS tidligere, trenger å ikke gjøre noe spesielt for å fortsatt kunne bruke dette. Men det anbefales å gå over til Engangskode (OTP) eller Push-varsling, på grunn av sikkerhet og brukervennlighet.
Engangskode (OTP) - En kode som mottas i appen Microsoft/Google Authenticator som skrives inn ved pålogging.
Fordeler med Engangskode (OTP):
- Høy sikkerhet.
- Hvis man har installert Microsofts eller Googles Authenticator-app, kan man fortsatt bruke denne.
Ulemper med Engangskode (OTP):
- Det er mer tungvint å måtte taste inn engangskoden, framfor å bekrefte en Push-melding.
- Man er avhengig av en app på telefonen sin.
Den som ønsker å bruke engangskode (OTP), kan følge veiledningen som ligger her.
Push-varsling på mobilen via appen Okta Verify.
Fordeler med Push-varsling:
- Høy sikkerhet.
- Smidig påloggingsopplevelse.
Ulemper med Push-varsling:
- Man er avhengig av en app (Okta Verify) på telefonen sin.
Den som ønsker å sette opp Push-varsling, kan følge veiledningen her.
USB-nøkkel som man setter i pc'en.
Fordeler ved USB-nøkkel:
- Høy sikkerhet
- Slipper å bruke mobiltelefon
- Smidig påloggingsopplevelse.
Ulemper ved USB-nøkkel:
- USB-nøkkelen koster noe i innkjøp og forvaltning, og er knyttet til én bruker
Ofte Stilte Spørsmål (OSS):
Hva er Okta?
Okta er kallenavnet på identitetsløsningen vi har anskaffet, og er også navnet på selskapet som har laget løsningen.
Hva er Tofaktor / MFA?
Tofaktor eller MFA er et begrep som brukes for å beskrive en pålogging som krever noe ekstra, ut over brukernavn og passord. Vi kaller dette ofte sikkerhetsfaktorer. Typiske eksempler kan være biometri, sms-kode, push-varsling og usb-nøkkel. Det mest vanlige er at man krever én ekstra sikkerhetsfaktor i tillegg til brukernavn og passord, men i teorien kan man sette opp så mange sikkerhetsfaktorer man ønsker.
Hvorfor er det nødvendig med tofaktor / MFA?
Etter at kryptovirusene kom, disse som krypterer kundedata og krever penger får å låse de opp igjen, har sikkerhetssituasjonen på internett forverret seg betraktelig. Det er såpass mye penger å tjene på slik kriminalitet, at svindlerne investerer store penger og ressurser for å kunne bryte seg inn i tjenester som er tilgjengelige på internett.
Tjenester på internett kan normalt nås av alle, i hele verden. Dersom den eneste sikkerhetsbarrieren vi har, er et brukernavn og passord, er det ofte kun et spørsmål om tid før en eller annen har gjettet seg fram til dette, og dermed får tilgang til dataene.
Tofaktor / MFA har derfor kommet som et ekstra sikkerhetslag, fordi det er en utrolig effektiv måte å luke ut over 99,9 % av problemet på. Uten fysisk tilgang til den ekstra sikkerhetsfaktoren,
vil ikke kriminelle kunne utnytte et brukernavn og passord som evt. er på avveie.
Hvorfor gjør vi dette nå?
Det aller største sikkerhetsproblemet vi har i dag, er brukerkontoer som kommer på avveie, og som misbrukes av kriminelle. Tofaktor / MFA er det mest effektive midlet vi har i denne kampen.
Hva er Engangskoder / OTP?
Engangskoder / OTP er koder som blir generert av en app, vanligvis på mobiltelefonen. Microsoft, Google, Okta og Facebook er eksempler på selskaper som lager slike apper som lager koder. Disse kodene brukes til å verifisere at det er en legitim bruker som logger seg på tjenestene på internett.
Hva er Push-varsling / bekreftelsesmelding?
Push-varsling / bekreftelsesmelding fungerer slik at når man logger seg på en tjeneste, så sendes det en melding til brukerens mobiltelefon. Denne meldingen fungerer både som en varsling om at noen forsøker å logge seg på, samtidig som at man bekrefter at man er den man utgir seg for å være.
Er SMS-kode like sikkert som OTP og push-varsling?
Å bruke SMS-koder som en ekstra sikkerhetsfaktor er mye bedre enn å ikke bruke tofaktor i det hele tatt. Men dersom det er snakk om et målrettet angrep, så er det kjent at SMS-koder er enklere å forfalske enn for eksempel Engangskoder / OTP eller Push-varsling.
Kan man koble flere mobiltelefoner til én brukerkonto?
Ja, det er ikke noe problem. Man kan registrere flere mobiler til en konto, og Push-varsling blir sendt til alle registrerte enheter, og man står da fritt til å bekrefte på den mobilen man selv ønsker.
Må man bruke tofaktor når man har brannmur med VPN på kontoret?
Den som har fått satt opp VPN-tunnel til tjenestene i Duett, slipper å bruke to-faktor nå i første omgang. Årsaken til dette er at det er kun fra kontoret man har mulighet til å nå disse tjenestene uten tofaktor, og dermed er sannsynligheten for angrep redusert betraktelig. Men hvis man befinner seg et annet sted enn på kontoret, så må man bruke
tofaktor for å nå tjenestene i Duett.
På sikt så vil tofaktor bli obligatorisk uansett, men vi arbeider med å etablere gode løsninger for dette, slik at man ikke opplever unødig plunder og heft.
Må vi bruke mobiltelefonen som ekstra sikkerhetsfaktor eller finnes det andre alternativer?
Det finnes et alternativ som ikke er avhengig av mobiltelefonen, og det er en USB-nøkkel som man setter i pc'en. Disse finnes det flere modeller av.
Ta kontakt med oss i Duett dersom dere har et behov som ikke kan løses ved bruk av mobiltelefon.
Vi har en PC som står på hele dagen, som ikke er knyttet til en bestemt person, hva bør vi gjøre?
Ta kontakt med oss i Duett, så finner vi en god løsning som passer for deg.