Hva er passkey? Fremtidens pålogging uten passord

01Hva er problemet med passord?

Passord har vært grunnlaget for autentisering i flere tiår, men svakhetene er godt kjent: folk velger korte og gjettbare passord, bruker det samme passordet på mange kontoer, og skriver det lett inn på en falsk påloggingsside. Når nettstedets database lekker, havner millioner av passord i fare samtidig.

Lange passord og passordbehandlere demper disse problemene i stor grad; vi har forklart det i artikkelen Slik lager du sterke passord. Men én grunnleggende svakhet består: et passord er en delt hemmelighet. Både du og nettstedet kjenner det, og det kan stjeles overalt hvor det skrives inn.

Passkey snur denne tilnærmingen på hodet. Det finnes ingen delt hemmelighet; nettstedet lagrer informasjonen som trengs for å bekrefte hvem du er, men har ingenting som kan brukes til å logge inn på dine vegne.

02Hvordan fungerer passkey?

Passkey bygger på kryptografi med offentlig nøkkel. Når du oppretter en passkey på et nettsted, lager enheten din et nøkkelpar som er spesifikt for det nettstedet. Den private nøkkelen blir på enheten din, eller i passordbehandleren din, der den synkroniseres kryptert; den offentlige nøkkelen sendes til nettstedet.

Ved pålogging sender nettstedet en tilfeldig utfordring (challenge). Enheten din signerer dataene med den private nøkkelen, og nettstedet verifiserer signaturen med den lagrede offentlige nøkkelen. Fingeravtrykk eller ansiktsgjenkjenning låser her bare opp enheten; biometriske data forlater aldri enheten og sendes ikke til nettstedet.

1. Når du logger inn på nettstedet, trykker du på «Logg inn med passkey»
2. Enheten bekrefter hvem du er med fingeravtrykk, ansiktsgjenkjenning eller PIN-koden til skjermlåsen
3. Den private nøkkelen signerer utfordringen nettstedet har sendt
4. Nettstedet kontrollerer signaturen med den offentlige nøkkelen og åpner sesjonen

03Hva er FIDO2?

FIDO2 er den åpne standardfamilien som ligger under passkeys. Rammeverket er utviklet i fellesskap av bransjeorganisasjonen FIDO Alliance og W3C, som fastsetter webstandardene, og består av to deler: WebAuthn-grensesnittet som nettleseren bruker mot nettstedene, og CTAP-protokollen som enheten bruker mot eksterne autentiseringsenheter (for eksempel en USB-sikkerhetsnøkkel).

At standarden er åpen er en viktig fordel. Fordi de store operativsystemene og nettleserne støtter den samme standarden, er passkey ikke bundet til ett enkelt selskap, og utviklere kan nå alle plattformer med ett enkelt grensesnitt.

04Er passkey trygt?

Er passkey trygt er et av de mest stilte spørsmålene. Kort svar: det er mye mer robust enn et passord, fordi det ikke finnes noe passord som kan stjeles eller gjettes. Selv om nettstedets database lekker, er de offentlige nøklene som havner på avveie ubrukelige for å logge inn på kontoen din.

Den største gevinsten er motstandsdyktighet mot phishing. En passkey er knyttet til domenet den ble opprettet for; nettleseren foreslår aldri nettstedets passkey på en falsk adresse. Uansett hvor uoppmerksom brukeren er, kan vedkommende ikke «skrive inn» nøkkelen sin på en adresse som bare ligner. Hvordan falske e-poster er bygget opp, har vi forklart i artikkelen Hva er phishing.

Ting å være oppmerksom på

• Skjermlåsen på enheten din må være sterk; festningen til passkey er selve enheten
• Beskytt skykontoen du bruker for synkroniserte passkeys med tofaktorautentisering
• Ha en backup-passkey på en ekstra enhet eller en maskinvarenøkkel i tilfelle du mister enheten
• Metodene for kontogjenoppretting (e-post, reservekoder) må være like sikre som passkey

05Hvordan bruker du passkey?

På et nettsted som støtter det, oppretter du vanligvis passkey i sikkerhetsdelen av kontoinnstillingene. Når du trykker på «Opprett passkey», bekrefter enheten hvem du er, og nøkkelen lagres; fra da av holder et fingeravtrykk eller ansiktsgjenkjenning i stedet for passord ved pålogging.

Synkroniserte og enhetsbundne passkeys

Synkroniserte passkeys overføres til enhetene dine knyttet til samme konto via operativsystemets eller passordbehandlerens krypterte hvelv; de forsvinner ikke når du bytter telefon. Enhetsbundne passkeys ligger på en USB- eller NFC-sikkerhetsnøkkel og forlater den aldri; de foretrekkes til kritisk bruk, som administratorkontoer.

Pålogging fra en annen enhet

Når du logger inn fra en datamaskin som ikke har passkey-en din, vises det en QR-kode på skjermen. Når du skanner koden med telefonen, bruker telefonen Bluetooth til å bekrefte nærhet og godkjenner påloggingen. På den måten åpnes sesjonen på den datamaskinen uten at nøkkelen forlater telefonen.

06Legge til passkey på nettsider

Å legge til passkey på et nettsted med medlemssystem gjøres med WebAuthn-grensesnittet i nettleseren og et bibliotek som verifiserer signaturene på serversiden. Serveren lager en engangsutfordring for hver registrering og pålogging, verifiserer svaret og lagrer den offentlige nøkkelen koblet til brukerposten.

Eksempelet under viser skjelettet i kallet som oppretter en ny passkey på nettleserens side. Utfordringen og bruker-ID-en kommer fra serveren; i et reelt prosjekt må svaret alltid verifiseres på serveren.

Passkey-støtte er en av de enkleste funksjonene å legge til i et medlemssystem som skrives fra bunnen av; å legge det til i en ferdig struktur i etterkant krever ofte at sesjonshåndteringen tas opp på nytt. I skreddersydde programvareløsninger som hotellbooking, byråpaneler eller forhandlerportaler, der brukerne logger inn hver dag, øker det både sikkerheten og brukertilfredsheten å planlegge denne funksjonen allerede ved prosjektstart. Særlig i virksomheter der de ansatte logger inn fra felles datamaskiner, gjør personlige sikkerhetsnøkler slutt på vanen med å dele passord.

• Tilby passkey som et tilleggsalternativ til passord i overgangsperioden, ikke som et krav
• Design passkey-alternativet enkelt og synlig på påloggingsskjermen
• La brukerne legge til og slette flere passkeys i kontoinnstillingene
• Bygg gjenopprettingsflyten like sikker som passkey

const credential = await navigator.credentials.create({
  publicKey: {
    challenge: sunucudanGelenChallenge,
    rp: { name: 'Eksempel AS', id: 'ornek.com' },
    user: { id: kullaniciIdBytes, name: 'ayse@ornek.com', displayName: 'Ayşe' },
    pubKeyCredParams: [
      { type: 'public-key', alg: -7 },
      { type: 'public-key', alg: -257 }
    ],
    authenticatorSelection: { residentKey: 'required', userVerification: 'preferred' }
  }
});

07Fremtiden for passordfri pålogging

Etter hvert som de store plattformene gjør passkey-støtte utbredt, går passordfri pålogging fra å være en eksperimentell funksjon til et hverdagslig valg. Passord forsvinner likevel ikke over natten; passkey og passord kommer til å leve side om side i lang tid.

For virksomheter er riktig strategi en gradvis overgang. Først gjøres passkey eller maskinvarenøkkel obligatorisk for administrator- og ansattkontoer; deretter tilbys det kundene som et valgfritt alternativ. Etter hvert som bruken følges opp, skyves passordpålogging i bakgrunnen, og antallet «glemt passord»-henvendelser til supportteamet kan gå ned.

I fremtidens autentisering endrer også selve kryptografien seg. Hvordan nye algoritmer som tåler kvantedatamaskiner vil påvirke systemer med offentlig nøkkel som passkey, har vi tatt for oss i artikkelen post-kvantekryptografi.