Modul 2 · 2.4
Passkeys og sikkerhetsnøkler
Modul 2: Passord og innlogging · Lesetid: 10 minutter
Læringsmål: Etter denne leksjonen kan du forklare hvorfor passkeys og sikkerhetsnøkler er phishingsikre, nevne forskjellen mellom synkroniserte og enhetsbundne passkeys, og vurdere når du bør bruke dem.
Nøkkelbegreper: passkey, FIDO2, WebAuthn, offentlig og privat nøkkel, bundet til domenet, sikkerhetsnøkkel, synkronisert passkey, enhetsbundet passkey
Problemet med alt du skriver inn selv
I leksjon 2.3 så du at en kode fra en app eller sms ikke beskytter mot et godt forfalsket nettsted. Du skriver koden inn på rnijnbank.example, svindleren sender den videre til mijnbank.example i løpet av noen sekunder og er inne. Det svake punktet er alltid det samme: du må vurdere om du er på det ekte nettstedet. Et menneske som har det travelt eller ser en overbevisende side, gjør før eller siden denne feilen.
Passkeys og sikkerhetsnøkler fjerner denne avgjørelsen fra deg. Det er ikke du som kontrollerer adressen, men nettleseren og enheten din. Og det er ingenting å skrive inn eller sende videre.
Hva en passkey er
En passkey er et innloggingsmiddel som erstatter et passord. FIDO Alliance, organisasjonen bak standarden, beskriver det som en erstatning for passordet som du låser opp på samme måte som enheten din: med fingeravtrykket ditt, ansiktet ditt eller pinkoden din.
Teknisk sett er en passkey et nøkkelpar:
- en privat nøkkel som blir værende på enheten din (eller i passordbehandleren din, se nedenfor) og aldri sendes til nettstedet;
- en offentlig nøkkel som nettstedet lagrer.
Det som er signert med den private nøkkelen, kan nettstedet kontrollere med den offentlige nøkkelen. Men med den offentlige nøkkelen kan du ikke signere noe selv. Lekker databasen til nettstedet, har angriperen bare offentlige nøkler, og med dem kan han ikke logge inn. Det er altså ingenting å knekke, slik som med de lekkede passordene i leksjon 2.1.
Teknologien heter FIDO2. Delen som er i nettleseren din, heter WebAuthn, en standard fra W3C (konsortiet som lager webstandarder). Delen mellom datamaskinen din og en løs sikkerhetsnøkkel heter CTAP.
Slik foregår innlogging
- På
mijnbank.examplevelger du «Logg inn med passkey». - Nettstedet sender en tilfeldig utfordring: et tall som bare brukes én gang.
- Nettleseren din gir denne utfordringen til enheten din, sammen med domenet du er på.
- Enheten din ber deg låse opp: fingeravtrykk, ansikt eller pinkode. Denne kontrollen skjer på enheten din. Fingeravtrykket ditt sendes aldri til nettstedet; nettstedet får bare vite at kontrollen lyktes.
- Enheten din signerer utfordringen med den private nøkkelen som hører til
mijnbank.example. - Nettstedet kontrollerer signaturen med din offentlige nøkkel. Stemmer den, er du inne.
Hvorfor en passkey ikke fungerer på et falskt nettsted
Når en passkey opprettes, kobles den til domenet til nettstedet. I WebAuthn kalles dette Relying Party ID: passkeyen hører til mijnbank.example (og eventuelt underdomenene) og ingenting annet. Nettleseren bestemmer hvilket domene som står i forespørselen, ikke nettstedet. Et falskt nettsted kan ikke forfalske dette.
Kommer du via en phishing-e-post til https://rnijnbank.example eller https://mijnbank.example.inlog-check.example, skjer dette:
- Det falske nettstedet ber om en passkey.
- Nettleseren din leter etter en passkey for det domenet. Den finnes ikke.
- Du får en melding som «ingen passkey for dette nettstedet» eller en tom valgliste.
Det er ingenting du kan godkjenne eller skrive inn ved et uhell. Selv om du ikke gjennomskuer det falske nettstedet, fungerer ikke passkeyen der. Det er det vi mener med phishingsikker. NIST sier det samme: phishingsikkerhet krever kryptografisk autentisering; passord, koder du skriver inn selv og godkjenningsmeldinger er ikke det.
Får du plutselig bare et passordfelt på et nettsted der du alltid logger inn med passkey, eller spørsmål om «bare en kode fra appen din»? Det er et varselsignal. Se nøye på adressen.
Synkronisert eller enhetsbundet
Det finnes to typer passkeys. Forskjellen ligger i hvor den private nøkkelen oppbevares.
| Synkronisert passkey | Enhetsbundet passkey | |
|---|---|---|
| Hvor er den private nøkkelen? | Hos en passkey-leverandør: nøkkelringen til operativsystemet ditt eller passordbehandleren din, som kopierer den kryptert til de andre enhetene dine | På én enhet, for eksempel en sikkerhetsnøkkel, og kan ikke flyttes derfra |
| Ny telefon? | Passkeyen følger med når du logger inn hos leverandøren din | Du må lage en ny passkey på den nye enheten |
| Mistet enheten? | Ikke noe problem så lenge leverandørkontoen din er sikker | Uten en reserve står du utenfor |
| Svakt punkt | Kontoen hos leverandøren din: den som kommer inn der, har alle passkeyene dine | Tap av enheten; du trenger en reservenøkkel |
| Egnet for | Nesten alle vanlige kontoer | Administratorkontoer, webhotell, domeneregistrering, bank, selve leverandørkontoen |
I WebAuthn-standarden kalles en synkronisert passkey en «multi-device credential». FIDO Alliance omtaler enhetsbundne passkeys på en sikkerhetsnøkkel som formen med høyest sikkerhet, og anbefaler også en sikkerhetsnøkkel som gjenopprettingsmiddel hvis du mister tilgangen til de synkroniserte enhetene dine.
Bruker du synkroniserte passkeys, bør du beskytte leverandørkontoen din ekstra godt: sterkt passord, tofaktorautentisering (2FA), og helst en egen sikkerhetsnøkkel.
Sikkerhetsnøkler
En sikkerhetsnøkkel er en liten enhet du setter i en USB-port eller holder mot telefonen din (NFC). Den inneholder enhetsbundne passkeys. Innlogging skjer ved å berøre nøkkelen, ofte med en pinkode på selve nøkkelen eller et fingeravtrykk på nøkkelen.
Det finnes flere produsenter; når du velger, se etter støtte for FIDO2, tilkoblingen du trenger (USB-A, USB-C, NFC) og om den støtter pinkode eller fingeravtrykk.
Den viktigste regelen: registrer alltid minst to nøkler. Den andre er reservenøkkelen din. Du kobler den til hver tjeneste, akkurat som den første, og oppbevarer den på et annet sted, for eksempel hjemme i en skuff eller i en safe. Mister du daglignøkkelen din, logger du inn med reserven, fjerner den tapte nøkkelen fra kontoene dine og kjøper en ny reservenøkkel. En nøkkel kan ikke kopieres; det er nettopp poenget.
Innlogging på en annen datamaskin
Du vil logge inn på en laptop, men passkeyen din ligger på telefonen din. Da tilbyr nettleseren ofte å vise en QR-kode. Du skanner den med telefonen og låser opp der. FIDO Alliance kaller dette cross-device authentication. Telefonen kontrollerer via Bluetooth om den faktisk er i nærheten av laptopen. Noen som bare har et bilde av QR-koden, kan altså ikke logge inn med den på avstand.
Fallgruver og når du bør bruke dem
Passkeys er et stort fremskritt, men ikke magi:
- Passordet blir ofte værende. Mange tjenester lar deg i tillegg til passkeyen fortsatt logge inn med passord pluss kode. En svindler forsøker da den veien. Kan du, skru av de gamle innloggingsmåtene eller gjør passordet langt og unikt.
- Gjenoppretting er det svakeste leddet. Kan noen omgå passkeyen din med en «glemt passord»-e-post eller en telefonsamtale til kundestøtten, er kontoen din bare så sterk som den gjenopprettingsveien. Kontroller hvilke gjenopprettingsopplysninger som ligger inne (leksjon 2.5).
- Ikke alle tjenester støtter det. Bruk da en autentiseringsapp.
- Delte kontoer passer dårlig med passkeys på én personlig enhet. Gi heller alle sin egen konto med sin egen passkey (modul 7).
- En ulåst enhet er en åpen dør. Beskytt telefonen og laptopen din med en god skjermlås (modul 5).
Hvor begynner du? Med kontoene som gir størst skade hvis de blir overtatt: e-posten din, passordbehandleren din eller passkey-leverandøren din, webhotell og domeneregistrering, bank og regnskap. Tilbyr en av disse tjenestene passkeys eller sikkerhetsnøkler, skru det på der først.
Oppsummering
- En passkey er et nøkkelpar: den private nøkkelen blir hos deg, nettstedet har bare den offentlige nøkkelen. Et lekk hos nettstedet gir ingenting å knekke.
- Nettleseren kobler passkeyen til det ekte domenet. På et falskt nettsted finnes det ingen passkey, så det er ingenting å stjele eller godkjenne.
- Synkroniserte passkeys følger med til de andre enhetene dine; enhetsbundne passkeys (sikkerhetsnøkkel) blir på én enhet.
- Registrer alltid en reservenøkkel og oppbevar den på et annet sted.
- En passkey er bare så sterk som gjenopprettingsveien og de gamle innloggingsmåtene som fortsatt er åpne.
Quiz
Oppgave
Oppgave D2.4: Din første passkey eller sikkerhetsnøkkel. Finn ut hvilke av de viktigste kontoene dine som støtter passkeys eller sikkerhetsnøkler, sett opp dette på minst én av dem, og ordne en reserve. Kryss av sjekklisten og svar på refleksjonsspørsmålene.
Oppgave D2.4: Din første passkey eller sikkerhetsnøkkel
Slik gjør du det: (1) Se i sikkerhetsinnstillingene hos kontoene som betyr mest (e-post, passordbehandler eller passkey-leverandør, webhotell (hosting), domeneregistrering, bank, regnskap) om de støtter passkeys eller sikkerhetsnøkler. (2) Velg for hver konto: synkronisert passkey (i operativsystemet ditt eller passordbehandleren) eller enhetsbundet (sikkerhetsnøkkel). For administrasjon av webhotell (hosting), domener og passkey-leverandøren din helst en sikkerhetsnøkkel. (3) Sett opp en passkey eller nøkkel for minst én konto. (4) Ordne en reserve: en andre nøkkel registrert og lagret et annet sted, eller ved en synkronisert passkey en andre enhet og god beskyttelse av leverandørkontoen din. (5) Se om den gamle innloggingsmåten (passord med sms eller kode) fortsatt er på. Skru den av hvis mulig, eller gjør passordet langt og unikt. (6) Test innlogging én gang på en annen enhet (for eksempel med QR-koden og telefonen din).
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
- FIDO Alliance, Passkeys (engelsk): https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (engelsk, selve standarden): https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (engelsk, begrepsliste fra medlemmer av FIDO Alliance og W3C): https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, del om phishingsikkerhet og syncable authenticators (engelsk): https://pages.nist.gov/800-63-4/sp800-63b.html
- Nasjonal sikkerhetsmyndighet (NSM), råd om sikker pålogging: https://nsm.no/