Vad är passkey? Framtidens inloggning utan lösenord

01Vad är problemet med lösenord?

Lösenord har varit grunden för autentisering i decennier, men deras svagheter är väl kända: människor väljer korta och gissningsbara lösenord, använder samma lösenord på många konton och skriver lätt in det på en falsk inloggningssida. När webbplatsens databas läcker hamnar dessutom miljontals lösenord i riskzonen samtidigt.

Långa lösenord och lösenordshanterare lindrar de här problemen i hög grad. Det har vi beskrivit i artikeln skapa ett starkt lösenord. Men en grundläggande svaghet finns kvar: ett lösenord är en delad hemlighet. Både du och webbplatsen känner till det, och det kan stjälas överallt där det skrivs in.

Passkeys vänder på det här synsättet. Det finns ingen delad hemlighet. Webbplatsen har den information som behövs för att verifiera dig, men inget som gör det möjligt att logga in åt dig.

02Hur fungerar en passkey?

Passkeys bygger på publik nyckelkryptografi. När du skapar en passkey på en webbplats genererar din enhet ett nyckelpar som är unikt för den webbplatsen. Den privata nyckeln stannar på din enhet eller i lösenordshanteraren, där den synkas krypterad, medan den publika nyckeln skickas till webbplatsen.

Vid inloggning skickar webbplatsen en slumpmässig utmaning (challenge). Din enhet signerar den med den privata nyckeln, och webbplatsen verifierar signaturen med den registrerade publika nyckeln. Fingeravtrycket eller ansiktsigenkänningen låser bara upp enheten i det här läget, så din biometriska data lämnar inte enheten och skickas inte till webbplatsen.

1. När du loggar in på webbplatsen trycker du på alternativet “Logga in med passkey”
2. Enheten verifierar dig med fingeravtryck, ansiktsigenkänning eller skärmlåsets PIN-kod
3. Den privata nyckeln signerar utmaningen som webbplatsen skickat
4. Webbplatsen kontrollerar signaturen med den publika nyckeln och öppnar sessionen

03Vad är FIDO2?

FIDO2 är den familj av öppna standarder som passkeys bygger på. Strukturen utvecklades gemensamt av branschorganisationen FIDO Alliance och W3C, som sätter webbstandarderna, och består av två delar: gränssnittet WebAuthn, där webbläsaren pratar med webbplatserna, och protokollet CTAP, där enheten pratar med externa autentiserare (till exempel en USB-säkerhetsnyckel).

Att det är en öppen standard är en viktig fördel. Eftersom stora operativsystem och webbläsare stödjer samma standard är passkeys inte bundna till ett enskilt företag, och utvecklare kan nå alla plattformar med ett enda gränssnitt.

04Är passkeys säkra?

Är passkeys säkra är en av de vanligaste frågorna. Kort svar: de är mycket mer motståndskraftiga än lösenord, eftersom det inte finns något lösenord att stjäla eller gissa. Även om webbplatsens databas läcker är de publika nycklar som hamnar i fel händer oanvändbara för att ta sig in på ditt konto.

Den största vinsten är motståndskraften mot nätfiske. En passkey är bunden till den domän den skapades för, och webbläsaren föreslår aldrig webbplatsens passkey på en falsk adress. Hur slarvig användaren än är kan hon inte “skriva in” sin nyckel på en adress som bara ser lik ut. Hur falska e-postmeddelanden är uppbyggda har vi beskrivit i artikeln vad är phishing.

Saker att tänka på

• Enhetens skärmlås måste vara starkt. Passkeyns fästning är själva enheten
• Skydda molnkontot som du använder för synkade passkeys med tvåstegsverifiering
• Ha en reservpasskey på en andra enhet eller en hårdvarunyckel om du tappar bort enheten
• Vägar för kontoåterställning (e-post, reservkod) måste vara lika säkra som passkeyn

05Så använder du en passkey

På en webbplats som stödjer det skapar du oftast en passkey under säkerhetsavsnittet i kontoinställningarna. När du trycker på “Skapa passkey” verifierar enheten dig och nyckeln sparas. Därefter räcker fingeravtryck eller ansiktsigenkänning vid inloggning i stället för lösenord.

Synkade passkeys och enhetsbundna passkeys

Synkade passkeys förs över till dina enheter som är kopplade till samma konto via operativsystemets eller lösenordshanterarens krypterade valv, så de försvinner inte när du byter telefon. Enhetsbundna passkeys ligger däremot på en USB- eller NFC-säkerhetsnyckel och lämnar den aldrig. De väljs för kritisk användning, som administratörskonton.

Logga in från en annan enhet

När du loggar in på en dator som saknar din passkey visas en QR-kod på skärmen. När du läser av koden med telefonen använder telefonen Bluetooth för närhetsverifiering och godkänner inloggningen. På så vis loggar du in på datorn utan att nyckeln lämnar telefonen.

06Lägga till passkeys på webbplatser

Att lägga till passkeys på en webbplats med medlemssystem görs med gränssnittet WebAuthn i webbläsaren och ett bibliotek på serversidan som verifierar signaturerna. Servern skapar en engångsutmaning för varje registrering och inloggning, verifierar svaret och sparar den publika nyckeln kopplad till användarposten.

Exemplet nedan visar skelettet för ett anrop som skapar en ny passkey i webbläsaren. Utmaningen och användar-ID:t kommer från servern, och i ett verkligt projekt måste svaret alltid verifieras på servern.

Passkey-stöd är en av de funktioner som är enklast att lägga till i ett medlemssystem som skrivs från grunden. Att lägga till det i en färdig struktur i efterhand kräver oftast att sessionshanteringen ses över. I skräddarsydda mjukvarulösningar som hotellbokning, byråpaneler eller återförsäljarportaler, där användarna loggar in varje dag, ökar både säkerheten och användarnöjdheten om funktionen planeras redan i projektets början. Särskilt i verksamheter där personalen loggar in från delade datorer gör personliga säkerhetsnycklar också slut på vanan att dela lösenord.

• Erbjud passkeys som ett extra alternativ till lösenord under övergångsperioden, gör dem inte obligatoriska
• Utforma alternativet med passkey på inloggningsskärmen enkelt och synligt
• Låt användaren lägga till och ta bort flera passkeys i kontoinställningarna
• Bygg återställningsflödet lika säkert som passkeyn

const credential = await navigator.credentials.create({
  publicKey: {
    challenge: sunucudanGelenChallenge,
    rp: { name: 'Exempelföretag', id: 'ornek.com' },
    user: { id: kullaniciIdBytes, name: 'ayse@ornek.com', displayName: 'Ayşe' },
    pubKeyCredParams: [
      { type: 'public-key', alg: -7 },
      { type: 'public-key', alg: -257 }
    ],
    authenticatorSelection: { residentKey: 'required', userVerification: 'preferred' }
  }
});

07Framtiden för inloggning utan lösenord

När de stora plattformarna sprider stödet för passkeys slutar inloggning utan lösenord vara en experimentell funktion och blir ett vardagligt alternativ. Lösenorden försvinner ändå inte över en natt, utan passkeys och lösenord kommer att leva sida vid sida under lång tid.

För företag är rätt strategi en gradvis övergång. Först görs passkeys eller hårdvarunycklar obligatoriska för administratörs- och personalkonton, och sedan erbjuds de kunderna som ett frivilligt alternativ. När användningen följs kan inloggning med lösenord tonas ner, och antalet “jag har glömt mitt lösenord”-ärenden till supporten kan minska.

I autentiseringens framtid förändras också själva kryptografin. Hur nya algoritmer som tål kvantdatorer kan påverka system med publika nycklar som passkeys har vi behandlat i artikeln post-kvantkryptografi.