Mikä on passkey? Salasanattoman kirjautumisen tulevaisuus

01Mikä salasanoissa on ongelmana?

Salasanat ovat olleet tunnistautumisen perusta vuosikymmeniä, mutta niiden heikkoudetkin tunnetaan hyvin: ihmiset valitsevat lyhyitä ja arvattavia salasanoja, käyttävät samaa salasanaa monella tilillä ja kirjoittavat salasanansa helposti väärennetylle kirjautumissivulle. Kun sivuston tietokanta vuotaa, miljoonat salasanat joutuvat vaaraan samanaikaisesti.

Pitkät salasanat ja salasanahallinnat lieventävät näitä ongelmia pitkälti; kerroimme niistä tarkemmin artikkelissa vahvan salasanan luominen. Yksi perusheikkous kuitenkin jää: salasana on jaettu salaisuus. Sekä sinä että sivusto tiedätte sen, ja se voidaan varastaa kaikkialla, minne se kirjoitetaan.

Passkey kääntää tämän lähestymistavan ympäri. Jaettua salaisuutta ei ole; sivusto säilyttää tiedon, jonka avulla se voi tunnistaa sinut, mutta sillä ei ole mitään, jolla voisi kirjautua sinun puolestasi.

02Miten passkey toimii?

Passkey perustuu julkisen avaimen kryptografiaan. Kun luot sivustolla passkeyn, laitteesi tuottaa kyseiselle sivustolle oman avainparin. Yksityinen avain pysyy laitteellasi tai salattuna synkronoitavassa salasanahallinnassasi; julkinen avain lähetetään sivustolle.

Kirjautumisen aikana sivusto lähettää satunnaisen haasteen (challenge). Laitteesi allekirjoittaa sen yksityisellä avaimella, ja sivusto tarkistaa allekirjoituksen tallennetulla julkisella avaimella. Sormenjälki tai kasvojentunnistus vain avaa laitteen lukituksen; biometriset tietosi eivät poistu laitteelta eikä niitä lähetetä sivustolle.

1. Napautat sivustolle kirjautuessasi vaihtoehtoa “Kirjaudu passkeyllä”
2. Laite tunnistaa sinut sormenjäljellä, kasvojentunnistuksella tai näytön lukituksen PIN-koodilla
3. Yksityinen avain allekirjoittaa sivuston lähettämän haasteen
4. Sivusto tarkistaa allekirjoituksen julkisella avaimella ja avaa istunnon

03Mikä on FIDO2?

FIDO2 on passkeyjen taustalla oleva avoimien standardien perhe. Toimialajärjestö FIDO Alliance ja verkkostandardeja määrittävä W3C kehittivät sen yhdessä, ja se koostuu kahdesta osasta: WebAuthn-rajapinnasta, jonka kautta selain puhuu sivustojen kanssa, sekä CTAP-protokollasta, jonka kautta laite puhuu ulkoisten todentajien (esimerkiksi USB-suojausavaimen) kanssa.

Avoin standardi on merkittävä etu. Koska suuret käyttöjärjestelmät ja selaimet tukevat samaa standardia, passkey ei ole sidottu yhteen yritykseen; kehittäjätkin voivat palvella kaikkia alustoja yhdellä rajapinnalla.

04Onko passkey turvallinen?

Kysymys onko passkey turvallinen on yksi eniten mietityistä. Lyhyt vastaus: se kestää salasanaa paljon paremmin, koska ei ole salasanaa, joka voitaisiin varastaa tai arvata. Vaikka sivuston tietokanta vuotaisi, haltuun saadut julkiset avaimet eivät auta tilillesi pääsemisessä.

Suurin etu on kalastelun kestävyys. Passkey on sidottu verkkotunnukseen, jolle se luotiin; selain ei koskaan tarjoa sivustolle kuuluvaa passkeytä väärennetyssä osoitteessa. Käyttäjä ei voi huolimattomuuttaankaan “kirjoittaa” avaintaan samannäköiseen osoitteeseen. Kerroimme, miten väärennetyt sähköpostit rakennetaan, artikkelissa mikä on phishing.

Huomioitavaa

• Laitteesi näytön lukituksen tulee olla vahva; passkeyn linnake on itse laite
• Suojaa synkronoitavien passkeyjen pilvitilisi kaksivaiheisella tunnistautumisella
• Pidä laitteen katoamisen varalta varapasskey toisella laitteella tai laitteistoavaimella
• Tilin palautustapojen (sähköposti, varakoodi) tulee olla yhtä turvallisia kuin passkey

05Miten passkeytä käytetään?

Passkeyn luominen tukevalla sivustolla tehdään yleensä tilin asetusten tietoturvaosiossa. Kun napautat “Luo passkey”, laitteesi tunnistaa sinut ja avain tallennetaan; tämän jälkeen kirjautumisessa salasanan sijaan riittää sormenjälki tai kasvojentunnistus.

Synkronoitava ja laitteeseen sidottu passkey

Synkronoitavat passkeyt siirtyvät käyttöjärjestelmän tai salasanahallinnan salatun holvin kautta samaan tiliin liitetyille laitteillesi; ne eivät katoa puhelinta vaihdettaessa. Laitteeseen sidotut passkeyt taas sijaitsevat USB- tai NFC-suojausavaimessa eivätkä poistu sieltä; niitä suositaan kriittiseen käyttöön, kuten ylläpitäjätileille.

Kirjautuminen toiselta laitteelta

Kun kirjaudut tietokoneelta, jolla passkeytäsi ei ole, ruudulle ilmestyy QR-koodi. Kun luet koodin puhelimellasi, puhelin käyttää Bluetoothia läheisyyden varmistamiseen ja hyväksyy kirjautumisen. Näin istunto avautuu kyseiselle tietokoneelle avaimen poistumatta puhelimesta.

06Passkeyn lisääminen verkkosivustoille

Passkeyn lisääminen jäsenjärjestelmällä varustetulle sivustolle tehdään selaimen WebAuthn-rajapinnalla ja palvelinpuolella allekirjoitukset varmentavalla kirjastolla. Palvelin tuottaa jokaiselle rekisteröitymiselle ja kirjautumiselle kertakäyttöisen haasteen, varmentaa saapuvan vastauksen ja tallentaa julkisen avaimen liitettynä käyttäjätietueeseen.

Alla oleva esimerkki näyttää selainpuolen uuden passkeyn luontikutsun rungon. Haaste ja käyttäjätunniste tulevat palvelimelta; oikeassa projektissa vastaus on aina varmennettava palvelimella.

Passkey-tuki on yksi helpoimmin lisättävistä ominaisuuksista alusta asti kirjoitettuun jäsenjärjestelmään; valmiiseen rakenteeseen jälkikäteen lisääminen vaatii usein istunnonhallinnan uudelleenkäsittelyä. Kun suunnittelet tämän ominaisuuden projektin alussa räätälöidyissä ohjelmistoratkaisuissa, joissa käyttäjät kirjautuvat joka päivä, kuten hotellivarauksessa, toimiston hallintapaneelissa tai jälleenmyyjäportaalissa, parannat sekä tietoturvaa että käyttäjätyytyväisyyttä. Erityisesti yrityksissä, joissa henkilökunta kirjautuu yhteiskäyttöisiltä tietokoneilta, henkilökohtaiset suojausavaimet lopettavat myös salasanojen jakamisen tavan.

• Tarjoa siirtymäaikana passkeytä lisävaihtoehtona salasanalle, älä pakota sitä
• Suunnittele passkey-vaihtoehto kirjautumisnäytölle selkeäksi ja näkyväksi
• Salli useamman passkeyn lisääminen ja poistaminen tilin asetuksissa
• Rakenna palautusprosessi yhtä turvalliseksi kuin passkey

const credential = await navigator.credentials.create({
  publicKey: {
    challenge: sunucudanGelenChallenge,
    rp: { name: 'Esimerkkiyritys', id: 'ornek.com' },
    user: { id: kullaniciIdBytes, name: 'ayse@ornek.com', displayName: 'Aino' },
    pubKeyCredParams: [
      { type: 'public-key', alg: -7 },
      { type: 'public-key', alg: -257 }
    ],
    authenticatorSelection: { residentKey: 'required', userVerification: 'preferred' }
  }
});

07Salasanattoman kirjautumisen tulevaisuus

Kun suuret alustat laajentavat passkey-tukeaan, salasanaton kirjautuminen lakkaa olemasta kokeellinen ominaisuus ja muuttuu arkipäiväiseksi vaihtoehdoksi. Silti salasanat eivät katoa yhdessä yössä; pitkään passkey ja salasana elävät rinnakkain.

Yrityksille oikea strategia on vaiheittainen siirtymä. Ensin ylläpitäjien ja henkilökunnan tileillä tehdään passkeystä tai laitteistoavaimesta pakollinen; sen jälkeen se tarjotaan asiakkaille valinnaisena vaihtoehtona. Kun käyttöasteita seurataan, salasanakirjautuminen jää taka-alalle ja tukitiimille tulevat “unohdin salasanani” -pyynnöt voivat vähentyä.

Myös kryptografia itse muuttuu tunnistautumisen tulevaisuudessa. Kerroimme, miten kvanttitietokoneita kestävät uudet algoritmit vaikuttavat passkeyn kaltaisiin julkisen avaimen järjestelmiin, artikkelissa post-kvanttikryptografia.