„coś, co użytkownik wie”: dane, które zna tylko użytkownik np. hasło, kod PIN; „coś, czym użytkownik jest”: dane biometryczne, unikalne cechy fizyczne użytkownika np. odcisk palca, skan tęczówki oka, skan twarzy itp. "coś, co użytkownik posiada”: przedmiot lub urządzenie do uwierzytelniania np. token, aplikacja na smartfonie, klucz, karta bankomatowa itp. „miejsce, w jakim użytkownik aktualnie się znajduje”: np. wykorzystanie GPS, albo IP do potwierdzenia typowych lokalizacji użytkownika.
Dodatkowe składniki uwierzytelniania użytkownika mogą przybierać różne formy:
ograniczone czasowe hasło jednorazowe (TOTP) z aplikacji zainstalowanej na przenośnym urządzeniu internetowym (np. smartfon, tablet), czyli np. token z dedykowanej aplikacja typu Google Authenticator czy Authy; token sprzętowy; hasło lub link wysłany za pośrednictwem e-mail; kod wysłany za pomocą SMS; kod z powiadomienia push; uwierzytelnianie biometryczne (skanowanie źrenicy oka, linii papilarnych, twarzy, weryfikacja tonu głosu); autoryzacja behawioralna; pytanie zabezpieczające (użytkownik musi odpowiedzieć na pytanie wg określonego wzorca).