Fogalomtár › Biztonság

többfaktoros hitelesítés (MFA)

angolul: multi-factor authentication

Olyan belépési mód, amelynél legalább két, egymástól független bizonyítékkal – például a jelszavaddal és a telefonoddal vagy az ujjlenyomatoddal – igazolod, hogy tényleg te vagy.

Érthetően

Képzeld el, hogy a lakásod ajtaján két különböző zár van: az egyikhez kulcs kell, a másikhoz számkód. Ha a betörő megszerzi a kulcsodat, a kód nélkül még mindig kint marad. A többfaktoros hitelesítés ugyanezt csinálja a fiókjaiddal: a jelszó önmagában nem elég a belépéshez.

A „faktor” a bizonyíték fajtáját jelenti. Három alaptípus van: valami, amit tudsz (jelszó, PIN-kód), valami, ami nálad van (telefon, biztonsági kulcs, bankkártya), és valami, ami te magad vagy (ujjlenyomat, arc). A védelem attól erős, hogy a két bizonyíték különböző fajtájú, ezért két jelszó egymás után nem számít többfaktorosnak.

Azért lett fontos, mert a jelszavak tömegesen szivárognak ki, és az AI-val írt, hibátlan magyarságú adathalász levelek egyre könnyebben csalják ki őket. Ha a jelszavad rossz kézbe kerül, a második faktor még megállíthatja a támadót.

Az AI-agentek korában új szerepet is kap: ha egy agent a nevedben intéz ügyeket, a második faktor lehet az a pont, ahol a kényes műveletet – például egy utalást – neked kell személyesen jóváhagynod.

Hogyan működik

1. Megadod a felhasználónevedet és a jelszavadat; ez az első faktor, amit a rendszer a szokott módon ellenőriz.
2. A rendszer kér egy második bizonyítékot: értesítést küld a telefonodra, egy alkalmazásból kér hatjegyű kódot, vagy megkér, hogy érintsd meg a biztonsági kulcsodat.
3. A kód csak rövid ideig, jellemzően fél-egy percig érvényes, és a pontos időből meg egy titkos kulcsból számolódik ki, amelyet csak a telefonod és a szolgáltató ismer, így aki csak a jelszavadat tudja, nem tudja előállítani.
4. A szolgáltató mindkét bizonyítékot külön ellenőrzi, és csak akkor enged be, ha mindkettő stimmel; gyanús helyzetben (új eszköz, idegen ország) akár további megerősítést is kérhet.
5. A megbízhatónak jelölt eszközökön ezután ritkábban kér második faktort, hogy a mindennapi használat ne legyen nyűg.

Példa a mindennapokból

Kit érint

Gyakori félreértés

Korlátok és kockázatok

• Az SMS-ben érkező kód a leggyengébb változat, mert az üzenet eltéríthető, a telefonszámod pedig SIM-csere-csalással átvehető; ha teheted, használj hitelesítő alkalmazást vagy biztonsági kulcsot.
• Ha elveszíted vagy lecseréled a telefonodat, és nincs elmentett tartalék kódod, könnyen kizárhatod magad a saját fiókodból.
• Az adathalász oldalak valós időben tovább tudják játszani a beírt kódodat a valódi szolgáltatónak, ezért a kód begépelése előtt is ellenőrizd, milyen oldalon vagy.
• Az AI-val klónozott hang és a deepfake videó gyengíti a hang- és arcalapú azonosítást, és hihetőbbé teszi a „bank nevében” telefonáló csalót, aki a kódodat kéri.

Hasonló, de nem ugyanaz

• kétlépcsős azonosítás – Két egymás utáni lépés nem feltétlenül két különböző fajta bizonyíték: a jelszó és egy biztonsági kérdés két lépés, de mindkettő „valami, amit tudsz”, tehát csak egy faktor.
• jelszókezelő – A jelszókezelő erős, egyedi jelszavakat tárol és tölt ki helyetted, vagyis az első faktort teszi jobbá, de nem ad hozzá másodikat.
• jogosultságkezelés – A hitelesítés azt dönti el, ki vagy, a jogosultságkezelés pedig azt, hogy belépés után mit szabad megtenned.

Kapcsolódó fogalmak

Röviden a története

A gondolat régebbi, mint az internet: a bankautomatánál a kártya és a PIN-kód együtt már két faktor. Az EU-ban a PSD2 irányelv erős ügyfél-hitelesítési szabályai 2019. szeptember 14-től írják elő az online banki és fizetési műveletek nagy részénél. Az internetes kártyás vásárlásoknál a bankok és a kereskedők haladékot kaptak, ott a gyakorlatban 2020 végétől, 2021 elejétől lett általános.

Hol tart most

2026 végén a bankoknál, a nagy levelező- és közösségi szolgáltatásoknál és a munkahelyi rendszerekben alapelvárás, sok helyen kötelező. A fejlődés az adathalászatnak ellenálló megoldások, főleg a jelszót is kiváltó jelkulcsok (passkey) felé halad, és nyitott kérdés, hogyan hitelesítsék magukat a nevedben eljáró agentek.

Állapot: 2026. november

A hírekben

• Hamis ChatGPT- és Gemini-oldalakkal csalnak ki hirdetési fiókokat és MFA-kódokat2026. okt. 8. · Marketing

Más nevei

MFA · 2FA · kétfaktoros hitelesítés · többtényezős hitelesítés · többlépcsős azonosítás · multi-factor authentication · two-factor authentication · erős ügyfél-hitelesítés

Források

• Wikipedia: Multi-factor authentication
• NIST SP 800-63B-4: Digital Identity Guidelines – Authentication and Authenticator Management

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.