Kas ir divfaktoru autentifikācija (2FA) un kā to ieslēgt

Atjaunināts 2026. gada 13. septembrī 4 min lasīšanai

Ar paroli vien svarīgu kontu aizsardzībai nepietiek. Divfaktoru autentifikācija (2FA) prasa divus atšķirīgus faktorus un mazina iespēju pieteikties ar nozagtu paroli. Šis ceļvedis izskaidro, kā tā darbojas, kurš veids ir drošākais, ko tā neaptur un kad Latvijā tā ir juridisks pienākums.

Kas ir divfaktoru autentifikācija?

Divfaktoru autentifikācija (angļu val. two-factor authentication, 2FA) pārbauda divus atšķirīga veida faktorus. Piemērs ir parole un autentifikācijas lietotnes ģenerēts kods. Divas paroles pēc kārtas nav divfaktoru autentifikācija. Daudzfaktoru autentifikācija (MFA) ir plašāks jēdziens – nepieciešami vismaz divi dažādi faktori.

Trīs faktoru veidi

Kaut kas, ko lietotājs zina: parole vai PIN kods.
Kaut kas lietotāja rīcībā: drošības atslēga vai ierīce ar autentifikācijas lietotni.
Lietotāja biometriskā pazīme: piemēram, pirksta nospiedums. To var izmantot, lai aktivizētu ierīcē glabātu autentifikācijas līdzekli.

Ne katra metode sākas ar paroli. Piemēram, FIDO piekļuves atslēga (passkey) var apvienot ierīces kriptogrāfisko atslēgu un lietotāja pārbaudi ar PIN vai biometriju. Izšķiroša ir konkrētā risinājuma uzbūve un iestatījumi.

Kāpēc pievienot otru faktoru

Paroles var izkrāpt, uzminēt vai iegūt datu noplūdē. Otrs neatkarīgs faktors nozīmē, ka ar paroli vien parasti nepietiek. Tomēr nozīme ir arī konta atkopšanai, ierīces drošībai un tam, kādus pieprasījumus lietotājs apstiprina.

Cik daudz tas maina, rāda divi Microsoft publicēti rādītāji. 2019. gada publikācijā apgalvots, ka daudzfaktoru autentifikācija novērš vairāk nekā 99,9 % automatizēto kontu uzbrukumu. 2023. gada pētījumā par Microsoft Azure Active Directory kontiem MFA lietotājiem kompromitēšanas risks bija par 99,22 % mazāks visā aplūkotajā kopā un par 98,56 % gadījumos ar jau noplūdušiem piekļuves datiem.

Kā atšķiras autentifikācijas metodes

Nav lietderīgi salikt visas lietotnes un aparatūras ierīces vienā drošības kategorijā. NIST īpaši izdala noturību pret pikšķerēšanu: manuāli ievadītu kodu uzbrucējs var pārtvert un uzreiz izmantot īstajā vietnē.

Metodes, ieguvumi un ierobežojumi
Metode	Ieguvums	Kas jāņem vērā
SMS kods	Papildu pārbaude līdzās parolei	Iespējama numura pārņemšana un koda izkrāpšana; svarīgiem kontiem izvēlies spēcīgāku pieejamo metodi.
Autentifikācijas lietotnes kods (TOTP)	Nav atkarīgs no SMS piegādes	Kodu joprojām var izkrāpt un pārsūtīt reāllaikā.
Apstiprinājums lietotnē, tostarp Smart-ID	Apstiprinājums reģistrētā ierīcē	Pārbaudi darbības saturu un kontroles kodu; neapstiprini negaidītu pieprasījumu. Risinājumu aizsardzība atšķiras.
FIDO2/WebAuthn drošības atslēga vai passkey	Autentifikācija ir piesaistīta īstā pakalpojuma domēnam un ir noturīga pret pikšķerēšanu	Joprojām jāsargā ierīce, konta atkopšana un aktīvās sesijas.

Salīdzinājums balstīts NIST SP 800-63B-4 autentifikācijas un pikšķerēšanas noturības principos. Pieteikšanās ar Google vai Facebook kontu nav otrais faktors: tā ir piekļuves deleģēšana (OAuth), un konta drošība paliek atkarīga no tā, kā aizsargāts pats Google vai Facebook konts.

Kā ieslēgt 2FA

Sāc ar svarīgajiem kontiem. E-pasts bieži nodrošina citu kontu atkopšanu. Aizsargā arī paroļu pārvaldnieku, darba kontus un finanšu pakalpojumus.
Atver pakalpojumu patstāvīgi. Konta drošības iestatījumos meklē daudzfaktoru autentifikāciju, divpakāpju verifikāciju vai piekļuves atslēgas. Seko paša pakalpojuma aktuālajai instrukcijai.
Izvēlies piemērotu metodi. Ja pakalpojums atbalsta FIDO2/WebAuthn, apsver drošības atslēgu vai passkey. Internetbankā izmanto bankas piedāvāto risinājumu un pārbaudi katra pieprasījuma saturu.
Sagatavo atkopšanu. Saglabā rezerves kodus vai reģistrē papildu drošu metodi atbilstoši pakalpojuma iespējām. Pārbaudi, vai tiem piekļūsi arī tad, ja pazaudēsi tālruni.
Darba kontus saskaņo ar IT. Organizācijai jānodrošina prasības visiem attiecīgajiem cilvēku kontiem un jāpārvalda izņēmumi. Automatizētu pakalpojumu identitātēm vajadzīgi tām piemēroti piekļuves aizsardzības pasākumi.

Kādi riski saglabājas

Reāllaika pikšķerēšana. SMS un TOTP kodus iespējams ievadīt viltus lapā. FIDO2/WebAuthn sasaista autentifikāciju ar pakalpojuma domēnu un pret šo paņēmienu nodrošina aizsardzību.
Nepamatots apstiprinājums. Negaidīts pieprasījums vai atkārtoti paziņojumi nav jāapstiprina, lai tie beigtos. Noraidi tos un pārbaudi konta drošību.
Aktīvas sesijas pārņemšana. Ļaunatūra var nozagt sesijas datus, apejot jaunu pieteikšanos. Vajadzīga ierīču aizsardzība un iespēja atsaukt sesijas.
Nedroša atkopšana. Spēcīgu MFA var vājināt viegli pārņemams atkopšanas konts vai nepārbaudīta palīdzības dienesta procedūra.

Apstiprini tikai saprotamu darbību, ko pats uzsāki īstajā pakalpojumā. Ar to vien nepietiek pret visiem uzbrukumiem, tāpēc apvieno MFA ar atjauninājumiem un pikšķerēšanas atpazīšanu.

Kad daudzfaktoru autentifikācija ir juridisks pienākums

Daļai Latvijas uzņēmumu tā vairs nav izvēle. Ministru kabineta 2025. gada 25. jūnija noteikumu Nr. 397 “Minimālās kiberdrošības prasības” 52. punkts nosaka obligātu daudzfaktoru autentifikāciju konkrētām kontu kategorijām.

Subjekts nodrošina obligātu daudzfaktoru autentifikācijas izmantošanu, lai piekļūtu: 52.1. A klases informācijas sistēmas administratora lietotāja kontam un standarta lietotāja kontam; 52.2. B klases informācijas sistēmas administratora lietotāja kontam [..] – MK noteikumu Nr. 397 52. punkts

B klases sistēmas standarta lietotājam prasība iestājas tad, ja tiek izmantota attālināta piekļuve no ārējā tīkla un šai piekļuvei netiek lietots šifrēts VPN risinājums ar daudzfaktoru autentifikāciju (52.3. apakšpunkts).

Drošības klasi A, B vai C subjekts nosaka pats katrai informācijas sistēmai pēc noteikumu 5. pielikuma metodikas (32. punkts). A klase ir paaugstinātas drošības sistēma, B – pamata drošības, C – minimālās drošības (33. punkts). Vai prasības attiecas uz tavu uzņēmumu, var pārbaudīt ceļvedī par NIS2 prasībām uzņēmumiem.

Tie paši noteikumi 55.8. apakšpunktā nosaka, ka piekļuve iekšējā tīkla informācijas resursiem no ārpuses ir iespējama tikai caur šifrētu virtuālā privātā tīkla (VPN) risinājumu ar daudzfaktoru autentifikāciju. Attālinātajam darbam tas nozīmē, ka otrs faktors ir prasība, nevis izvēle.

Biežākās kļūdas

Paļaušanās tikai uz SMS svarīgākajiem kontiem, kaut arī pieejama lietotne.
Rezerves kodu neuzglabāšana – un pēc tam piekļuves zaudēšana kopā ar tālruni.
Rezerves kodu glabāšana tajā pašā tālrunī, kas ģenerē kodus.
2FA ieslēgšana sociālajam tīklam, bet ne e-pastam. E-pasts ir atslēga uz visu pārējo, tāpēc sāc ar to.
Atkopšanas tālruņa numura izmantošana arī kā otrais faktors – ja numurs tiek pārņemts, krīt abi.

Avoti

One simple action you can take to prevent 99.9 percent of attacks on your accounts Microsoft · 2019 Šeit publicēts 99,9 % rādītājs, uz kuru atsaucas šis ceļvedis.
How effective is multifactor authentication at deterring cyberattacks? Microsoft Research / arXiv:2305.00945 · 2023 Kompromitēšanas risks MFA kontiem par 99,22 % mazāks visā kopā un par 98,56 % ar noplūdušiem piekļuves datiem; rezultāts attiecas uz šo novērojumu kopu, nevis ir universāla garantija.
Papildu drošība – vairāku faktoru autentifikācija CERT.LV (Esi drošs) · 2021 Ievads autentifikācijas faktoru veidos; aktuālam metožu salīdzinājumam izmantots arī NIST SP 800-63B-4.
Ministru kabineta noteikumi Nr. 397 “Minimālās kiberdrošības prasības” likumi.lv · 2025 52. punkts – obligātā daudzfaktoru autentifikācija; 32. un 33. punkts – drošības klases.
2025 Data Breach Investigations Report Verizon · 2025 Nozagtu piekļuves datu izmantošana joprojām ir visbiežākais sākotnējās piekļuves veids; ievainojamību izmantošana sasniedza 20 %.
Digital Identity Guidelines: Authentication and Authenticator Management, SP 800-63B-4 NIST · 2025 Autentifikācijas faktori, pikšķerēšanas noturība un konta atkopšana.
The OAuth 2.0 Authorization Framework, RFC 6749 IETF · 2012 OAuth nosaka deleģētas piekļuves autorizāciju, nevis atsevišķu MFA faktoru.
PIN kodi: kam tie ir domāti? SK ID Solutions / Smart-ID PIN1 un PIN2 atšķirība un lietotāja apstiprinājuma nozīme.

Jāievieš visā organizācijā?

Atstāj e-pastu – OffSeq atbildēs par tavas organizācijas situāciju.

Paldies, pieprasījums saņemts.

Atbildēsim uz norādīto e-pasta adresi.

Pieprasījumu neizdevās nosūtīt. Mēģini vēlreiz vai raksti uz support@offseq.com.

Biežāk uzdotie jautājumi

Saistītie jautājumi

Kurš 2FA veids ir noturīgs pret pikšķerēšanu?

FIDO2/WebAuthn drošības atslēgas un piekļuves atslēgas piesaista autentifikāciju īstā pakalpojuma domēnam. SMS un lietotnes ģenerētu kodu var izkrāpt reāllaikā. Izvēloties risinājumu, jāpārbauda arī atkopšana un ierīces aizsardzība.

Ko darīt, ja pazaudēju tālruni?

Izmanto iepriekš sagatavoto rezerves metodi vai pakalpojuma oficiālo atkopšanas kārtību. No uzticamas ierīces pārbaudi aktīvās sesijas un atsauc pazudušās ierīces piekļuvi. Darba kontam nekavējoties informē IT atbildīgo.

Vai Smart-ID apstiprinājums vienmēr ir drošs?

Neapstiprini pieprasījumu tikai tāpēc, ka tas redzams īstajā lietotnē. Pārbaudi pakalpojumu, darbības saturu un kontroles kodu. Svešs pieprasījums var būt saistīts ar krāpniecību.

Vai uzņēmumam MFA ir obligāta?

Nacionālās kiberdrošības likuma subjektiem MK noteikumu Nr. 397 52. punkts nosaka konkrētas kontu kategorijas: A klases administratora un standarta lietotāja kontus, B klases administratora kontus un B klases standarta kontu attālinātu piekļuvi no ārējā tīkla, ja netiek lietots šifrēts VPN ar MFA. Tvērumu izvērtē atbilstoši sistēmas klasei un piekļuves veidam.

Turpini lasīt