Multifaktorautentisering

"Multi-factor authentication" (MFA) begär ett andra identitetsbevis vid inloggning, utöver lösenordet: en sexsiffrig kod från en autentiseringsapp i telefonen. Du ställer in den själv under "Profile" → "Security", och en administratör kan kräva den av hela organisationen.

Ställa in en autentiseringsapp

Välj "Start setup" under "Profile" → "Security". Flowtly visar en QR-kod och hemligheten bakom den – skanna koden med din autentiseringsapp, eller skriv in hemligheten för hand om du inte kan skanna. Ange sedan de sex siffror appen visar och välj "Verify and enable".

Koderna har sex siffror och byts var 30:e sekund. Koden precis före och precis efter den aktuella godtas också, så en telefonklocka som går några sekunder fel stänger dig inte ute.

MFA slås på först när du har angett en korrekt kod. Fram till dess ändras ingenting i din inloggning.

Återställningskoder

När du bekräftar din autentiseringsapp får du tio återställningskoder. Var och en fungerar en gång, i stället för en kod från appen, och de finns till för den dag du inte längre har telefonen.

De visas en enda gång och kan inte visas igen. Spara dem på ett säkert ställe, eller använd "Download codes" för att behålla dem som en fil. Att ställa in en autentiseringsapp på nytt ger tio nya koder, och de tidigare tio slutar fungera.

Om din organisation kräver MFA

En administratör kan kräva MFA av alla. Är kravet påslaget och du ännu inte har ställt in en autentiseringsapp leder inloggningsskärmen dig genom installationen: skanna koden, ange de sex siffrorna, spara återställningskoderna – och du är inloggad.

Om en kod avvisas under den här konfigurationen anger skärmen varför:

• Koden är inte giltig. Kontrollera siffrorna eller skanna QR-koden på den här skärmen igen. Varje konfigurationsförsök har sin egen QR-kod, så en autentiseringsapp-post från en tidigare skanning ger koder som inte fungerar.
• För många försök. Vänta en stund. Gränsen försvinner av sig själv.
• Din inloggning har gått ut, eller konfigurationen kan inte längre slutföras. QR-koden ersätts av meddelandet och en knapp tillbaka till inloggningsskärmen. Logga in igen för att få en ny QR-kod.
• Konfigurationen behövs inte längre för det här kontot. Gå tillbaka till inloggningsskärmen och logga in igen.

Du behöver inte be en administratör om hjälp, och att slå på kravet stänger inte ute någon.

Betrodda enheter

När du anger en kod kan du kryssa i "Trust this device". Flowtly slutar då fråga efter kod i den webbläsaren i 30 dagar. Det gäller per webbläsare, inte per person: en annan webbläsare, ett privat fönster eller en andra dator frågar igen.

"Profile" → "Security" listar de enheter du har litat på och när var och en senast användes, och låter dig återkalla vilken som helst – eller alla på en gång med "Revoke all", vilket är rätt åtgärd när en bärbar dator tappas bort eller blir stulen.

E-post som reserv

Du kan slå på "Email fallback", så att en engångskod kan skickas till din adress när autentiseringsappen inte finns till hands. Den koden gäller i tio minuter. Att slå på reserven bekräftas med en kod som skickas till din adress. Efter 10 felaktiga koder på 15 minuter nekas den bekräftelsen en stund, även med rätt kod.

När du väljer e-post vid inloggning skickas ingenting förrän du ber om koden. När en kod har skickats räknar skicka-knappen ned 30 sekunder innan den kan skicka en ny. Bara den senaste koden fungerar: att be om en ny avbryter den föregående, så vänta på att e-postmeddelandet kommer fram i stället för att be om en ny. En inklistrad kod accepteras även med ett överflödigt mellanslag runt omkring.

Reserven är svagare än en autentiseringsapp, eftersom den bara är så säker som brevlådan bakom den. En administratör kan stänga av den för hela organisationen, och då är den av för alla oavsett vad den individuella inställningen säger.

Byta ut eller stänga av din autentiseringsapp

"Profile" → "Security" → "Reset" stänger av MFA för ditt konto. Först begärs en aktuell kod från din app eller en av dina återställningskoder, så att ingen kan göra det från en session som inte är deras. Efter 10 felaktiga koder på 15 minuter nekas "Reset" en stund, även med rätt kod, så vänta innan du försöker igen.

Återställningen rensar mer än appen: hemligheten, samtliga återställningskoder, en eventuell väntande e-postkod och alla betrodda enheter, och reserven via e-post stängs av igen. Det är det som gör den till rätt åtgärd för en förlorad eller komprometterad telefon. Sedan ställer du in en autentiseringsapp från början – och kräver din organisation MFA blir du ombedd att göra det vid nästa inloggning.

Kräva MFA av alla

"Settings" → "Security" innehåller det organisationsomfattande kravet: kräv MFA av alla. Det finns bredvid sidans andra organisationsomfattande kontroller, som beskrivs under Säkerhetsinställningar. Det finns inga lösenordspolicyer och inga sessionstidsgränser i Flowtly.

Med den på loggar alla in med en andra faktor, och den som ännu inte har ställt in någon leds genom installationen på inloggningsskärmen i stället för att nekas. Att slå på den lämnar alltså ingen utanför.

På demokonton går MFA inte att aktivera.

Exempel på användning

• Skydda ett konto som ser löner, fakturor och bankdata med mer än bara ett lösenord.
• Uppfylla en kunds eller ett försäkringsbolags säkerhetskrav genom att slå på MFA för hela organisationen på ett ställe.
• Låta en delad kontorsdator logga in friktionsfritt i 30 dagar, medan en bärbar dator som reser får frågan varje gång.
• Ta sig in med en återställningskod när telefonen med appen är borta, och sedan återställa och ställa in den nya telefonen.