2. modulis · 2.4
Passkeys un drošības atslēgas
2. modulis: Paroles un pieteikšanās · Lasīšanas laiks: 10 minūtes
Mācīšanās mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kāpēc passkeys un drošības atslēgas ir noturīgas pret pikšķerēšanu, nosaukt atšķirību starp sinhronizētām un ierīcei piesaistītām passkeys un noteikt, kad tās izmantot.
Pamatjēdzieni: passkey, FIDO2, WebAuthn, publiskā un privātā atslēga, piesaiste domēnam, drošības atslēga, sinhronizēta passkey, ierīcei piesaistīta passkey
Problēma ar visu, ko Jūs pārrakstāt
Nodarbībā 2.3 Jūs redzējāt, ka kods no lietotnes vai sms neaizsargā pret labu viltus vietni. Jūs ievadāt kodu vietnē rnijnbank.example, krāpnieks to dažu sekunžu laikā pārsūta uz mijnbank.example un tiek iekšā. Vājā vieta katru reizi ir tā pati: Jums pašiem jānovērtē, vai esat īstajā vietnē. Cilvēks, kurš steidzas vai redz pārliecinošu lapu, agrāk vai vēlāk pieļauj šo kļūdu.
Passkeys un drošības atslēgas šo lēmumu atņem no Jums. Adresi pārbauda nevis Jūs, bet gan Jūsu pārlūks un Jūsu ierīce. Un nav nekā, ko pārrakstīt vai pārsūtīt.
Kas ir passkey
Jēdziens passkey apzīmē pieteikšanās līdzekli, kas aizstāj paroli. FIDO Alliance, organizācija, kas stāv aiz šī standarta, to apraksta kā paroles aizstājēju, ko Jūs atbloķējat tāpat kā savu ierīci: ar pirksta nospiedumu, seju vai PIN kodu.
Tehniski passkey ir atslēgu pāris:
- privātā atslēga, kas paliek Jūsu ierīcē (vai Jūsu paroļu pārvaldniekā, skatiet zemāk) un nekad netiek nosūtīta vietnei;
- publiskā atslēga, ko glabā vietne.
To, kas parakstīts ar privāto atslēgu, vietne var pārbaudīt ar publisko atslēgu. Taču ar publisko atslēgu Jūs pats nevarat neko parakstīt. Ja vietnes datubāze noplūst, uzbrucējam ir tikai publiskās atslēgas, un ar tām viņš nevar pieteikties. Tātad nav nekā, ko uzlauzt, atšķirībā no noplūdušām parolēm, par kurām runāts nodarbībā 2.1.
Šo tehnoloģiju sauc par FIDO2. Daļu, kas atrodas Jūsu pārlūkā, sauc par WebAuthn, tas ir W3C (konsorcijs, kas izstrādā tīmekļa standartus) standarts. Daļu starp Jūsu datoru un atsevišķu drošības atslēgu sauc par CTAP.
Tā notiek pieteikšanās
- Vietnē
mijnbank.exampleJūs izvēlaties "Pieteikties ar passkey". - Vietne nosūta nejaušu izaicinājumu: skaitli, kas tiek izmantots tikai vienu reizi.
- Jūsu pārlūks nodod šo izaicinājumu Jūsu ierīcei kopā ar domēnu, kurā Jūs atrodaties.
- Jūsu ierīce lūdz Jūs atbloķēt: pirkstu, seju vai PIN kodu. Šī pārbaude notiek Jūsu ierīcē. Jūsu pirksta nospiedums nekad netiek nosūtīts vietnei; vietne uzzina tikai to, ka pārbaude ir izdevusies.
- Jūsu ierīce paraksta izaicinājumu ar privāto atslēgu, kas pieder vietnei
mijnbank.example. - Vietne pārbauda parakstu ar Jūsu publisko atslēgu. Ja tas sakrīt, Jūs esat iekšā.
Kāpēc passkey nestrādā viltus vietnē
Izveidojot passkey, tā tiek piesaistīta vietnes domēnam. WebAuthn standartā to sauc par Relying Party ID: passkey pieder vietnei mijnbank.example (un, iespējams, tās apakšdomēniem) un nekam citam. Pārlūks nosaka, kurš domēns norādīts pieprasījumā, nevis vietne. Viltus vietne to nevar viltot.
Ja Jūs nonākat pikšķerēšanas e-pasta dēļ vietnē https://rnijnbank.example vai https://mijnbank.example.inlog-check.example, notiek šādi:
- Viltus vietne pieprasa passkey.
- Jūsu pārlūks meklē passkey, kas paredzēta tieši šim domēnam. Tādas nav.
- Jūs saņemat paziņojumu, piemēram, "šai vietnei nav passkey", vai tukšu izvēles sarakstu.
Nav nekā, ko Jūs varētu nejauši apstiprināt vai pārrakstīt. Pat ja Jūs nepamanāt, ka tā ir viltus vietne, passkey tur nestrādā. To mēs saucam par noturību pret pikšķerēšanu. To pašu apgalvo arī NIST: noturība pret pikšķerēšanu pieprasa kriptogrāfisku autentifikāciju; paroles, kodi, ko Jūs pārrakstāt, un apstiprinājuma paziņojumi tādi nav.
Vai vietnē, kurā parasti piesakāties ar passkey, pēkšņi redzat tikai paroles lauku vai lūgumu "ievadiet kodu no lietotnes"? Tas ir brīdinājuma signāls. Pārbaudiet adresi.
Sinhronizēta vai ierīcei piesaistīta
Pastāv divi passkeys veidi. Atšķirība ir tajā, kur atrodas privātā atslēga.
| Sinhronizēta passkey | Ierīcei piesaistīta passkey | |
|---|---|---|
| Kur atrodas privātā atslēga? | Pie passkey pakalpojuma sniedzēja: Jūsu operētājsistēmas atslēgu saišķī vai Jūsu paroļu pārvaldniekā, kas to šifrētā veidā kopē uz Jūsu citām ierīcēm | Vienā ierīcē, piemēram, drošības atslēgā, un no tās to nevar izņemt |
| Jauns telefons? | Passkey pārnesas automātiski, kad Jūs piesakāties pie sava pakalpojuma sniedzēja | Jaunajā ierīcē jāizveido jauna passkey |
| Pazaudēta ierīce? | Nav problēmu, kamēr Jūsu konts pie pakalpojuma sniedzēja ir drošs | Bez rezerves Jūs paliekat ārpusē |
| Vājā vieta | Konts pie Jūsu pakalpojuma sniedzēja: kurš tajā iekļūst, iegūst visas Jūsu passkeys | Nozaudēšana; Jums nepieciešama rezerves atslēga |
| Piemērots | Gandrīz visiem parastajiem kontiem | Administratoru kontiem, mitināšanai, domēna reģistrācijai, bankai, pašam pakalpojuma sniedzēja kontam |
WebAuthn standartā sinhronizētu passkey sauc par "multi-device credential". FIDO Alliance ierīcei piesaistītas passkeys uz drošības atslēgas dēvē par visdrošāko formu un arī iesaka izmantot drošības atslēgu kā atjaunošanas līdzekli, ja Jūs zaudējat piekļuvi saviem sinhronizētajiem ierīcēm.
Ja izmantojat sinhronizētas passkeys, aizsargājiet sava pakalpojuma sniedzēja kontu īpaši rūpīgi: stipra parole, divu faktoru autentifikācija un, vēlams, pats izmantojiet drošības atslēgu.
Drošības atslēgas
Drošības atslēga ir neliela ierīce, ko Jūs ievietojat usb pieslēgvietā vai pietuvinat telefonam (NFC). Tajā glabājas ierīcei piesaistītas passkeys. Pieteikšanās notiek, pieskaroties atslēgai, bieži vien ievadot atslēgas pašas PIN kodu vai izmantojot pirksta nospiedumu uz atslēgas.
Ir vairāki ražotāji; izvēloties pievērsiet uzmanību FIDO2 atbalstam, nepieciešamajam savienotājam (USB-A, USB-C, NFC) un tam, vai atslēga atbalsta PIN kodu vai pirksta nospiedumu.
Svarīgākais noteikums: vienmēr reģistrējiet vismaz divas atslēgas. Otra ir Jūsu rezerves atslēga. Jūs to pievienojat katram pakalpojumam tāpat kā pirmo un glabājat citā vietā, piemēram, mājās atvilktnē vai seifā. Ja pazaudējat ikdienas atslēgu, piesakāties ar rezerves atslēgu, noņemat pazaudēto atslēgu no saviem kontiem un nopērkat jaunu otro atslēgu. Atslēgu nevar nokopēt, tieši tas ir mērķis.
Pieteikšanās citā datorā
Jūs vēlaties pieteikties klēpjdatorā, bet Jūsu passkey atrodas telefonā. Tādā gadījumā pārlūks bieži piedāvā parādīt QR kodu. Jūs to noskenējat ar telefonu un atbloķējat to. FIDO Alliance šo sauc par cross-device authentication. Telefons caur Bluetooth pārbauda, vai tas patiešām atrodas klēpjdatora tuvumā. Tātad kāds, kam ir tikai QR koda fotoattēls, nevar ar to pieteikties no attāluma.
Nepilnības un kad tās izmantot
Passkeys ir liels solis uz priekšu, taču tās nav brīnumlīdzeklis:
- Parole bieži vien joprojām pastāv. Daudzi pakalpojumi papildus passkey ļauj pieteikties arī ar paroli un kodu. Krāpnieks tad mēģina tieši šo ceļu. Ja iespējams, izslēdziet vecos pieteikšanās veidus vai padariet paroli garu un unikālu.
- Atjaunošana ir vājākais posms. Ja kāds ar "aizmirsu paroli" e-pastu vai zvanu uz klientu atbalstu var apiet Jūsu passkey, Jūsu konts ir tikai tik drošs, cik droša ir šī atjaunošanas plūsma. Pārbaudiet, kādi atjaunošanas dati ir norādīti (nodarbība 2.5).
- Ne katrs pakalpojums to atbalsta. Tādā gadījumā izmantojiet autentifikatora lietotni.
- Kopīgi konti slikti saskan ar passkeys vienā personīgā ierīcē. Labāk piešķiriet katram savu kontu ar savu passkey (modulis 7).
- Atbloķēta ierīce ir atvērtas durvis. Aizsargājiet savu telefonu un klēpjdatoru ar labu ekrāna bloķēšanu (modulis 5).
Ar ko sākt? Ar kontiem, kuru pārņemšana radītu vislielāko kaitējumu: Jūsu e-pasts, Jūsu paroļu pārvaldnieks vai passkey pakalpojuma sniedzējs, mitināšana un domēna reģistrācija, banka un grāmatvedība. Ja kāds no šiem pakalpojumiem piedāvā passkeys vai drošības atslēgas, ieslēdziet tās tur vispirms.
Kopsavilkums
- Passkey ir atslēgu pāris: privātā atslēga paliek pie Jums, vietnei ir tikai publiskā atslēga. Noplūde vietnē nedod neko, ko uzlauzt.
- Pārlūks piesaista passkey īstajam domēnam. Viltus vietnē passkey nav, tātad nav nekā, ko nozagt vai apstiprināt.
- Sinhronizētas passkeys pārnesas uz Jūsu citām ierīcēm; ierīcei piesaistītas passkeys (drošības atslēga) paliek vienā ierīcē.
- Vienmēr reģistrējiet rezerves atslēgu un glabājiet to citā vietā.
- Passkey ir tikai tik droša, cik droša ir atjaunošanas plūsma un vecie pieteikšanās veidi, kas vēl ir ieslēgti.
Tests
Uzdevums
Uzdevums D2.4: Jūsu pirmā passkey vai drošības atslēga. Noskaidrojiet, kuri no Jūsu svarīgākajiem kontiem atbalsta passkeys vai drošības atslēgas, iestatiet to vismaz vienam no tiem un sagatavojiet rezervi. Atzīmējiet kontrolsarakstu un atbildiet uz pārdomu jautājumiem.
Uzdevums D2.4: Jūsu pirmā passkey vai drošības atslēga
Rīkojieties šādi: (1) Pārbaudiet savos svarīgākajos kontos (pasts, paroļu pārvaldnieks vai passkey pakalpojuma sniedzējs, mitināšana, domēna reģistrācija, banka, grāmatvedība) drošības iestatījumos, vai tie atbalsta passkeys vai drošības atslēgas. (2) Izvēlieties katram kontam: sinhronizēta passkey (operētājsistēmā vai paroļu pārvaldniekā) vai ar ierīci saistīta (drošības atslēga). Mitināšanas, domēnu un passkey pakalpojuma sniedzēja pārvaldībai labāk izmantot drošības atslēgu. (3) Iestatiet vismaz vienam kontam passkey vai atslēgu. (4) Nodrošiniet rezerves risinājumu: otru reģistrētu atslēgu, kas glabājas citā vietā, vai sinhronizētas passkey gadījumā otru ierīci un labu passkey pakalpojuma sniedzēja konta aizsardzību. (5) Pārbaudiet, vai vecais pieteikšanās veids (parole ar SMS vai kodu) joprojām ir ieslēgts. Ja iespējams, izslēdziet to, vai padariet paroli garu un unikālu. (6) Vienreiz pārbaudiet pieteikšanos otrā ierīcē (piemēram, izmantojot QR kodu un savu tālruni).
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Tālākai lasīšanai
- FIDO Alliance, Passkeys (angļu valodā): https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (angļu valodā, standarts): https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (angļu valodā, FIDO Alliance un W3C dalībnieku jēdzienu vārdnīca): https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, sadaļa par noturību pret pikšķerēšanu un sinhronizējamiem autentifikatoriem (angļu valodā): https://pages.nist.gov/800-63-4/sp800-63b.html
- Nīderlandes NCSC, Kā izvēlēties MFA metodi (holandiešu valodā): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode