Step-up och MFA

Skillnaden mellan MFA och step-up

MFA innebär att inloggningen kräver mer än en faktor. Idag räcker det sällan med enbart lösenord för att skydda känsliga uppgifter och digitala system. Lösenord kan gissas, läcka eller hamna i fel händer. Med tvåfaktorsautentisering och multifaktorautentisering adderas ett extra skyddslager som gör det betydligt svårare för obehöriga att komma åt verksamhetens data.

Step-up innebär att den starkare autentiseringen inträffar villkorat. Användaren loggar in i ett normalt flöde och möter en starkare metod först när åtkomsten motiverar det. Samma användare kan alltså ha en enkel väg in i en intern översiktsvy och en starkare kontroll framför en känslig åtgärd i samma system.

De två utesluter inte varandra. Step-up är i praktiken ofta ett sätt att införa MFA där MFA gör mest nytta, i stället för överallt samtidigt.

Vad som utlöser en upptrappning

Valet av metod bör styras av sammanhanget. En låg-risk-applikation kan ha ett enklare flöde. En känslig tjänst, administrativ funktion eller reglerad process kan kräva starkare autentisering, högre tillitsnivå eller step-up.

Fyra typer av villkor är vanliga:

• Applikationen Vissa system har en kravnivå som gäller all åtkomst, oavsett vad användaren gör i dem.
• Åtgärden Samma applikation kan ha olika krav på att läsa och att ändra. Att godkänna en behörighet, ändra en betalningsuppgift eller nå en journal är en annan sak än att öppna en startsida.
• Risken Ovanlig tid, okänd enhet eller ett avvikande mönster kan höja kravet i just det tillfället.
• Tillitskravet Ett flöde som ska kunna granskas i efterhand kan kräva en metod som bär en högre tillitsnivå, även när risken i övrigt är låg.

Villkoren bör beslutas av verksamheten, inte av varje applikation för sig. Poängen med att samla autentiseringen i en Identity Provider är att reglerna kan formuleras en gång och tillämpas likadant över anslutna tjänster.

Metoder som kan bära den starkare nivån

I praktiken kan det innebära att användaren loggar in med lösenord och sedan bekräftar sin identitet med exempelvis e-legitimation, engångskod, passkey eller säkerhetsnyckel.

Metoderna är inte likvärdiga, och skillnaden mellan dem är just det som gör step-up meningsfullt:

• Engångskod och OATH ger ett extra lager men är svagare mot phishing än metoder som är bundna till en enhet.
• Passkey och säkerhetsnyckel kan användas som primär lösenordsfri inloggning, som stark MFA-metod eller som step-up vid känsliga åtgärder. Se passkey och lösenordsfri autentisering.
• E-legitimation knyter autentiseringen till en identitet som har utfärdats och kontrollerats, inte bara till en faktor användaren råkar ha tillgång till. Med organisationsstyrd e-Legitimation kan organisationen dessutom påverka giltigheten över tid.

Det är därför en upptrappning inte bara är "ytterligare ett steg". Den byter ofta ut vad inloggningen faktiskt vilar på.

Kopplingen till LoA3 och LoA4

Step-up är den mekanism som gör tillitsnivåer praktiskt användbara. En organisation behöver sällan LoA4 i varje flöde, men kan behöva det i några. Utan upptrappning blir valet binärt: antingen höjs kravet för allt, eller så saknas den höga nivån där den behövs.

För LoA3 och LoA4 räcker det inte att användaren kan logga in med en stark metod. Organisationen behöver också kunna visa hur identiteten kontrollerades, hur autentiseringen skyddades, hur rätt tillitsnivå förmedlades och hur händelsen kan följas upp. En upptrappning som inte kan redovisas i efterhand ger alltså inte den tillit som nivån förutsätter. Läs mer om LoA4 och tillitsnivåer.

Hur nivån förmedlas till applikationen

En upptrappning har bara effekt om den anslutna applikationen kan agera på den. Applikationen behöver därför kunna se inte bara att användaren är autentiserad, utan hur.

Identitetsleveransen bär den informationen vidare till applikationen, tillsammans med identiteten. Både SAML och OpenID Connect har utrymme för att beskriva vilken metod som användes och vilken nivå den motsvarar – se SAML och OpenID Connect. Applikationen kan då antingen släppa igenom åtgärden eller begära en upptrappning innan den utförs.

Det innebär också att kravet kan uttryckas från två håll. Antingen bestämmer Identity Provider att flödet kräver en högre nivå, eller så begär applikationen den när användaren når en känslig åtgärd.

Vad som behöver kunna följas upp

Autentiseringshändelser är underlag för granskning, inte bara för felsökning. För att en upptrappning ska kunna redovisas behöver organisationen kunna följa upp inloggning, metodval, tillitsnivå och identitetsleverans över tid.

I praktiken betyder det att det ska gå att svara på vilken metod som användes vid ett givet tillfälle, vilken nivå den motsvarade, om en upptrappning begärdes och om den genomfördes. Se loggning och spårbarhet.

Vad organisationen behöver ta ställning till

• vilka applikationer som har en kravnivå för all åtkomst
• vilka åtgärder inom en applikation som ska utlösa en upptrappning
• vilka metoder som ska vara tillåtna på respektive nivå
• vilka reservflöden som gäller när den starkare metoden inte är tillgänglig
• hur användaren informeras om varför en starkare inloggning krävs
• hur metodval och tillitsnivå ska loggas och följas upp