Passkey'd ja turvavõtmed

Moodul 2: Paroolid ja sisselogimine · Lugemisaeg: 10 minutit

Õpieesmärk: Pärast seda õppetundi oskad selgitada, miks passkey'd ja turvavõtmed on andmepüügikindlad, nimetada vahet sünkroonitud ja seadmepõhiste passkey'de vahel ning otsustada, millal neid kasutada.

Põhimõisted: passkey, FIDO2, WebAuthn, avalik ja privaatvõti, domeeniga seotud, turvavõti, sünkroonitud passkey, seadmepõhine passkey

Probleem kõigega, mida sa ümber kirjutad

Õppetunnis 2.3 nägid, et rakendusest või sõnumist saadud kood ei kaitse hea võltsitud saidi eest. Sina sisestad koodi saidil rnijnbank.example, petis saadab selle mõne sekundi jooksul edasi saidile mijnbank.example ja on sees. Nõrk koht on alati sama: sina pead hindama, kas oled õigel saidil. Inimene, kes kiirustab või näeb veenvat lehte, teeb selle vea varem või hiljem.

Passkey'd ja turvavõtmed võtavad selle otsuse sinult ära. Aadressi ei kontrolli mitte sina, vaid su brauser ja su seade. Ja pole midagi, mida ümber kirjutada või edasi saata.

Mis on passkey

alaseIga passkey on sisselogimisvahend, mis asendab parooli. FIDO Alliance, standardi taga olev organisatsioon, kirjeldab seda kui parooli asendust, mille sa avad samamoodi nagu oma seadme: sõrmejälje, näo või PIN-koodiga.

Tehniliselt on passkey võtmepaar:

• privaatvõti, mis jääb su seadmesse (või su paroolihaldurisse, vt allpool) ja ei lähe kunagi veebilehele;
• avalik võti, mida veebileht hoiab.

Seda, mis on allkirjastatud privaatvõtmega, saab veebileht kontrollida avaliku võtmega. Kuid avaliku võtmega ei saa sa ise midagi allkirjastada. Kui veebilehe andmebaas lekib, on ründajal ainult avalikud võtmed, ja nendega ei saa ta sisse logida. Seega pole midagi murda, nagu lekkinud paroolidega õppetunnis 2.1.

Tehnikat nimetatakse FIDO2-ks. Osa, mis on su brauseris, on WebAuthn, W3C (veebistandardeid loov konsortsium) standard. Osa su arvuti ja eraldiseisva turvavõtme vahel kannab nime CTAP.

Nii toimub sisselogimine

1. Saidil mijnbank.example valid "Logi sisse passkey'ga".
2. Veebileht saadab juhusliku väljakutse: numbri, mida kasutatakse ainult üks kord.
3. Su brauser edastab selle väljakutse su seadmele, koos domeeniga, millel sa viibid.
4. Su seade palub sul end avada: sõrme, näo või PIN-koodiga. See kontroll toimub su seadmes. Su sõrmejälg ei lähe kunagi veebilehele; veebileht saab teada ainult, et kontroll õnnestus.
5. Su seade allkirjastab väljakutse privaatvõtmega, mis kuulub saidile mijnbank.example.
6. Veebileht kontrollib allkirja sinu avaliku võtmega. Kui see klapib, oled sees.

Miks passkey ei tööta võltsitud saidil

Loomisel seotakse passkey veebilehe domeeniga. WebAuthnis nimetatakse seda Relying Party ID-ks: passkey kuulub domeenile mijnbank.example (ja võimalikele alamdomeenidele) ja mitte millelegi muule. Brauser otsustab, milline domeen päringus on, mitte veebileht. Võltsitud sait ei saa seda võltsida.

Kui jõuad andmepüügikirja kaudu lehele https://rnijnbank.example või https://mijnbank.example.inlog-check.example, juhtub järgmine:

• Võltsitud sait küsib passkey'd.
• Su brauser otsib passkey'd just selle domeeni jaoks. Seda ei ole.
• Saad teate nagu "sellele saidile passkey'd pole" või tühja valikunimekirja.

Pole midagi, mida saaksid kogemata heaks kiita või ümber kirjutada. Isegi kui sa ise võltsitud saiti ei märka, ei tööta passkey seal. Just seda mõtleme andmepüügikindluse all. NIST ütleb sedagi: andmepüügikindlus nõuab krüptograafilist autentimist; paroolid, koodid, mida sa ümber kirjutad, ja heakskiiduteated seda ei ole.

Kas saidil, kus sa alati logid sisse passkey'ga, ilmub äkki ainult parooliväli või küsimus "sisesta kiirelt kood oma rakendusest"? See on hoiatus. Vaata aadressi.

Sünkroonitud või seadmepõhine

Passkey'sid on kahte sorti. Vahe on selles, kus privaatvõti asub.

WebAuthni standardis nimetatakse sünkroonitud passkey'd "multi-device credential'iks". FIDO Alliance nimetab seadmepõhiseid passkey'sid turvavõtmel kõrgeima kindluse vormiks ja soovitab turvavõtit ka taasteabinõuna, kui kaotad juurdepääsu oma sünkroonitud seadmetele.

Kui kasutad sünkroonitud passkey'sid, kaitse oma teenusepakkuja kontot eriti hästi: tugev parool, kaheastmeline autentimine (2FA) ja soovitavalt ka ise turvavõti.

Turvavõtmed

NüüdTurvavõti on väike seade, mille paned usb-porti või hoiad vastu telefoni (NFC). Sellel on seadmepõhised passkey'd. Sisselogimine toimub võtme puudutamisega, sageli koos võtme enda PIN-koodi või sõrmejäljega võtmel.

Tootjaid on mitu; valimisel vaata FIDO2 tuge, vajalikku ühendust (USB-A, USB-C, NFC) ning kas see toetab PIN-koodi või sõrmejälge.

Kõige tähtsam reegel: registreeri alati vähemalt kaks võtit. Teine on su varuvõti. Sidusid ta iga teenusega nagu esimesegi, ja hoiad teda mujal, näiteks kodus sahtlis või seifis. Kui kaotad oma igapäevase võtme, logid sisse varuvõtmega, eemaldad kaotatud võtme oma kontodelt ja ostad uue teise. Võtit ei saa kopeerida; just see on mõte.

Sisselogimine teises arvutis

Tahad sisse logida sülearvutis, aga su passkey on telefonis. Siis pakub brauser sageli QR-koodi näitamist. Skaneerid selle oma telefoniga ja avad seal. FIDO Alliance nimetab seda cross-device authentication'iks. Telefon kontrollib Bluetoothi kaudu, kas ta on tõesti sülearvuti lähedal. Nii ei saa keegi, kellel on ainult foto QR-koodist, sellega kaugelt sisse logida.

Lõksud ja millal neid kasutada

Passkey'd on suur samm edasi, kuid mitte maagilised:

• Parool jääb sageli alles. Paljud teenused lasevad peale passkey veel ka parooli pluss koodiga sisse logida. Petis proovib siis seda teed. Kui saab, lülita vanad sisselogimisviisid välja või tee parool pikaks ja ainulaadseks.
• Taaste on kõige nõrgem lüli. Kui keegi saab "unustasin parooli" kirja või kõnega klienditoele su passkey'st mööda minna, on su konto nii tugev kui see taasteetee. Kontrolli, millised taasteandmed on kirjas (õppetund 2.5).
• Mitte iga teenus ei toeta seda. Kasuta siis autentimisrakendust.
• Jagatud kontod sobivad halvasti passkey'dega ühel isiklikul seadmel. Anna pigem igaühele oma konto oma passkey'ga (moodul 7).
• Avatud seade on avatud uks. Kaitse oma telefoni ja sülearvutit hea ekraanilukuga (moodul 5).

Kust alustada? Kontodest, mille ülevõtmisel on kõige suurem kahju: su e-post, su paroolihaldur või passkey-teenusepakkuja, majutus ja domeeni registreerimine, pank ja raamatupidamine. Kui mõni neist teenustest pakub passkey'sid või turvavõtmeid, lülita see esimesena sisse.

Kokkuvõte

• Passkey on võtmepaar: privaatvõti jääb sinu kätte, veebilehel on ainult avalik võti. Lekke korral veebilehel pole midagi murda.
• Brauser seob passkey õige domeeniga. Võltsitud saidil pole passkey'd, seega pole midagi varastada ega heaks kiita.
• Sünkroonitud passkey'd liiguvad kaasa su teistesse seadmetesse; seadmepõhised passkey'd (turvavõti) jäävad ühte seadmesse.
• Registreeri alati varuvõti ja hoia seda mujal.
• Passkey on nii tugev kui taasteetee ja vanad sisselogimisviisid, mis veel avatud on.

Test

Ülesanne

Ülesanne D2.4: Sinu esimene passkey või turvavõti. Uuri, millised su kõige tähtsamatest kontodest toetavad passkey'sid või turvavõtmeid, seadista vähemalt üks neist ja korralda varu. Täida kontrollnimekiri ja vasta järelemõtlemisküsimustele.

Loe edasi

• FIDO Alliance, Passkeys (inglise keeles): https://fidoalliance.org/passkeys/
• W3C, Web Authentication Level 3 (inglise keeles, standard): https://www.w3.org/TR/webauthn-3/
• passkeys.dev, Terms (inglise keeles, FIDO Alliance'i ja W3C liikmete koostatud mõistete loend): https://passkeys.dev/docs/reference/terms/
• NIST SP 800-63B-4, andmepüügikindluse ja syncable authenticators'i osa (inglise keeles): https://pages.nist.gov/800-63-4/sp800-63b.html
• Madalmaade NCSC, Kuidas valida MFA meetodit? (hollandi keeles): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode