Modul 2 · 2.4
Passkeys og sikkerhedsnøgler
Modul 2: Adgangskoder og login · Læsetid: 10 minutter
Læringsmål: Efter denne lektion kan du forklare hvorfor passkeys og sikkerhedsnøgler er phishingsikre, nævne forskellen mellem synkroniserede og enhedsbundne passkeys, og vurdere hvornår du skal bruge dem.
Nøglebegreber: passkey, FIDO2, WebAuthn, offentlig og privat nøgle, bundet til domænet, sikkerhedsnøgle, synkroniseret passkey, enhedsbunden passkey
Problemet med alt du selv skal skrive af
I lektion 2.3 så du at en kode fra en app eller sms ikke beskytter mod en god falsk hjemmeside. Du taster koden ind på rnijnbank.example, svindleren sender den videre til mijnbank.example inden for få sekunder, og er inde. Det svage punkt er altid det samme: du skal selv vurdere om du er på den rigtige side. Et menneske der har travlt eller ser en overbevisende side, begår før eller siden den fejl.
Passkeys og sikkerhedsnøgler fjerner den beslutning fra dig. Det er ikke dig, men din browser og din enhed, der kontrollerer adressen. Og der er intet at skrive af eller sende videre.
Hvad en passkey er
En passkey er et logingmiddel der erstatter en adgangskode. FIDO Alliance, organisationen bag standarden, beskriver det som en erstatning for adgangskoden, som du låser op på samme måde som din enhed: med dit fingeraftryk, dit ansigt eller din pinkode.
Teknisk set er en passkey et nøglepar:
- en privat nøgle der bliver på din enhed (eller i din adgangskodeadministrator, se nedenfor) og aldrig sendes til hjemmesiden;
- en offentlig nøgle som hjemmesiden gemmer.
Det der er underskrevet med den private nøgle, kan hjemmesiden kontrollere med den offentlige nøgle. Men med den offentlige nøgle kan du ikke selv underskrive noget. Lækker hjemmesidens database, har angriberen kun offentlige nøgler, og dem kan han ikke logge ind med. Der er altså intet at knække, sådan som det er tilfældet med de lækkede adgangskoder fra lektion 2.1.
Teknikken hedder FIDO2. Den del der sidder i din browser, er WebAuthn, en standard fra W3C (konsortiet der laver webstandarder). Delen mellem din computer og en separat sikkerhedsnøgle hedder CTAP.
Sådan foregår login
- På
mijnbank.examplevælger du "Log ind med passkey". - Hjemmesiden sender en tilfældig udfordring: et tal der kun bruges én gang.
- Din browser giver den udfordring videre til din enhed, sammen med det domæne du er på.
- Din enhed beder dig låse op: finger, ansigt eller pinkode. Den kontrol foregår på din enhed. Dit fingeraftryk sendes aldrig til hjemmesiden; hjemmesiden får kun besked om at kontrollen lykkedes.
- Din enhed underskriver udfordringen med den private nøgle der hører til
mijnbank.example. - Hjemmesiden kontrollerer underskriften med din offentlige nøgle. Stemmer den, er du logget ind.
Hvorfor en passkey ikke virker på en falsk hjemmeside
Når en passkey oprettes, bliver den koblet til hjemmesidens domæne. I WebAuthn kaldes det Relying Party ID: passkeyen hører til mijnbank.example (og eventuelt dens underdomæner) og intet andet. Det er browseren der afgør hvilket domæne der står i forespørgslen, ikke hjemmesiden. Det kan en falsk hjemmeside ikke forfalske.
Kommer du via en phishingmail ind på https://rnijnbank.example eller https://mijnbank.example.inlog-check.example, sker dette:
- Den falske hjemmeside beder om en passkey.
- Din browser søger efter en passkey til netop det domæne. Den findes ikke.
- Du får en besked som "ingen passkey til denne side" eller en tom valgliste.
Der er intet du ved et uheld kan godkende eller skrive af. Selv hvis du ikke gennemskuer den falske side, virker passkeyen ikke der. Det er det vi mener med phishingsikker. NIST siger det samme: phishingsikkerhed kræver kryptografisk autentifikation; adgangskoder, koder du selv skriver af, og godkendelsesbeskeder er det ikke.
Får du på en side hvor du plejer at logge ind med en passkey pludselig kun et felt til adgangskode, eller bliver du bedt om "lige en kode fra din app"? Det er en advarsel. Tjek adressen.
Synkroniseret eller enhedsbundet
Der findes to slags passkeys. Forskellen ligger i hvor den private nøgle befinder sig.
| Synkroniseret passkey | Enhedsbunden passkey | |
|---|---|---|
| Hvor ligger den private nøgle? | Hos en passkey-udbyder: dit styresystems nøglering eller din adgangskodeadministrator, som kopierer den krypteret til dine andre enheder | På én enhed, for eksempel en sikkerhedsnøgle, og kan ikke flyttes derfra |
| Ny telefon? | Passkeyen følger med når du logger ind hos din udbyder | Du skal oprette en ny passkey på den nye enhed |
| Mistet enhed? | Intet problem så længe din udbyderkonto er sikker | Uden en reserve står du udenfor |
| Svagt punkt | Kontoen hos din udbyder: den der kommer ind der, har alle dine passkeys | Tab af nøglen; du har brug for en reservenøgle |
| Egnet til | Næsten alle almindelige konti | Administratorkonti, hosting, domæneregistrering, bank, selve udbyderkontoen |
I WebAuthn-standarden kaldes en synkroniseret passkey en "multi-device credential". FIDO Alliance kalder enhedsbundne passkeys på en sikkerhedsnøgle for den form med højeste sikkerhed, og anbefaler også en sikkerhedsnøgle som backupmiddel hvis du mister adgangen til dine synkroniserede enheder.
Bruger du synkroniserede passkeys, så beskyt din udbyderkonto ekstra godt: en stærk adgangskode, totrinsbekræftelse, og helst din egen sikkerhedsnøgle.
Sikkerhedsnøgler
En sikkerhedsnøgle er en lille enhed du sætter i en usb-port eller holder op mod din telefon (NFC). Den indeholder enhedsbundne passkeys. Du logger ind ved at røre ved nøglen, ofte med en pinkode til selve nøglen eller et fingeraftryk på nøglen.
Der findes flere producenter; kig ved valg efter understøttelse af FIDO2, den tilslutning du har brug for (USB-A, USB-C, NFC), og om den understøtter pinkode eller fingeraftryk.
Den vigtigste regel: registrér altid mindst to nøgler. Den anden er din reservenøgle. Du kobler den til hver tjeneste, ligesom den første, og opbevarer den et andet sted, for eksempel i en skuffe derhjemme eller i et pengeskab. Mister du din daglige nøgle, logger du ind med reserven, fjerner den mistede nøgle fra dine konti og køber en ny anden nøgle. En nøgle kan ikke kopieres; det er netop meningen.
Login på en anden computer
Du vil logge ind på en bærbar, men din passkey ligger på din telefon. Så tilbyder browseren ofte at vise en QR-kode. Du scanner den med din telefon og låser op der. FIDO Alliance kalder dette cross-device authentication. Telefonen tjekker via Bluetooth om den virkelig er i nærheden af den bærbare. En der kun har et billede af QR-koden, kan derfor ikke logge ind på afstand med den.
Faldgruber og hvornår du bruger dem
Passkeys er et stort skridt fremad, men ikke magiske:
- Adgangskoden findes ofte stadig. Mange tjenester lader dig stadig logge ind med adgangskode plus kode ved siden af passkeyen. En svindler forsøger så den vej. Kan det lade sig gøre, så slå de gamle loginmetoder fra, eller gør adgangskoden lang og unik.
- Gendannelse er det svageste led. Kan nogen med en "glemt adgangskode"-mail eller et opkald til helpdesken omgå din passkey, er din konto kun så stærk som den gendannelsesvej. Tjek hvilke gendannelsesoplysninger der er registreret (lektion 2.5).
- Ikke alle tjenester understøtter det. Brug da en authenticator-app.
- Delte konti passer dårligt til passkeys på én personlig enhed. Giv hellere alle deres egen konto med deres egen passkey (modul 7).
- En ulåst enhed er en åben dør. Beskyt din telefon og bærbare med en god skærmlås (modul 5).
Hvor begynder du? Ved de konti hvor skaden er størst hvis de bliver overtaget: din mail, din adgangskodeadministrator eller passkey-udbyder, hosting og domæneregistrering, bank og bogholderi. Tilbyder en af de tjenester passkeys eller sikkerhedsnøgler, så slå det til der først.
Opsummering
- En passkey er et nøglepar: den private nøgle bliver hos dig, hjemmesiden har kun den offentlige nøgle. Et læk hos hjemmesiden giver intet at knække.
- Browseren kobler passkeyen til det rigtige domæne. På en falsk hjemmeside findes der ingen passkey, så der er intet at stjæle eller godkende.
- Synkroniserede passkeys følger med til dine andre enheder; enhedsbundne passkeys (sikkerhedsnøgle) bliver på én enhed.
- Registrér altid en reservenøgle, og opbevar den et andet sted.
- En passkey er kun så stærk som gendannelsesvejen og de gamle loginmetoder der stadig er åbne.
Quiz
Opgave
Opgave D2.4: Din første passkey eller sikkerhedsnøgle. Find ud af hvilke af dine vigtigste konti der understøtter passkeys eller sikkerhedsnøgler, sæt mindst én op, og ordn en reserve. Kryds checklisten af, og besvar refleksionsspørgsmålene.
Opgave D2.4: Din første passkey eller sikkerhedsnøgle
Sådan griber du det an: (1) Tjek i sikkerhedsindstillingerne hos dine vigtigste konti (mail, adgangskodeadministrator eller passkey-udbyder, hosting, domæneregistrering, bank, bogholderi), om de understøtter passkeys eller sikkerhedsnøgler. (2) Vælg for hver konto: synkroniseret passkey (i dit styresystem eller din adgangskodeadministrator) eller enhedsbundet (sikkerhedsnøgle). Til administration af hosting, domæner og din passkey-udbyder helst en sikkerhedsnøgle. (3) Opsæt en passkey eller nøgle på mindst én konto. (4) Ordn en reserve: en anden nøgle registreret og opbevaret et andet sted, eller ved en synkroniseret passkey en anden enhed og god beskyttelse af din udbyderkonto. (5) Tjek om den gamle login metode (adgangskode med sms eller kode) stadig er slået til. Slå den fra, hvis muligt, eller gør adgangskoden lang og unik. (6) Test én gang login på en anden enhed (for eksempel med QR-koden og din telefon).
Dine afkrydsninger og noter forbliver kun i denne browser; vi sender dem ingen steder hen. Er du logget ind, gemmer vi kun i Mine kurser, at du har udført opgaven.
Læs mere
- FIDO Alliance, Passkeys (engelsk): https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (engelsk, standarden): https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (engelsk, begrebsliste fra medlemmer af FIDO Alliance og W3C): https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, afsnit om phishingsikkerhed og syncable authenticators (engelsk): https://pages.nist.gov/800-63-4/sp800-63b.html
- Det nederlandske NCSC, Hvordan vælger du en MFA-metode? (hollandsk): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode