Modul 2 · 2.4
Passkeys och säkerhetsnycklar
Modul 2: Lösenord och inloggning · Lästid: 10 minuter
Lärandemål: Efter den här lektionen kan du förklara varför passkeys och säkerhetsnycklar är phishingsäkra, skilja mellan synkroniserade och enhetsbundna passkeys och avgöra när du ska använda dem.
Nyckelbegrepp: passkey, FIDO2, WebAuthn, publik och privat nyckel, bunden till domänen, säkerhetsnyckel, synkroniserad passkey, enhetsbunden passkey
Problemet med allt du skriver av
I lektion 2.3 såg du att en kod från en app eller sms inte skyddar mot en bra falsk webbplats. Du skriver in koden på rnijnbank.example, bedragaren skickar den vidare till mijnbank.example inom några sekunder och är inne. Den svaga punkten är alltid densamma: du måste bedöma om du är på den riktiga webbplatsen. En människa som har bråttom eller ser en övertygande sida gör förr eller senare det misstaget.
Passkeys och säkerhetsnycklar tar bort det beslutet från dig. Det är inte du som kontrollerar adressen, utan din webbläsare och din enhet. Och det finns inget att skriva av eller skicka vidare.
Vad en passkey är
En passkey är ett inloggningsmedel som ersätter ett lösenord. FIDO Alliance, organisationen bakom standarden, beskriver det som en ersättning för lösenordet som du låser upp på samma sätt som din enhet: med fingeravtryck, ansikte eller pinkod.
Tekniskt sett är en passkey ett nyckelpar:
- en privat nyckel som stannar på din enhet (eller i din lösenordshanterare, se nedan) och aldrig skickas till webbplatsen;
- en publik nyckel som webbplatsen sparar.
Det som signerats med den privata nyckeln kan webbplatsen kontrollera med den publika nyckeln. Men med den publika nyckeln kan du själv inte signera något. Läcker webbplatsens databas har angriparen bara publika nycklar, och med dem kan han inte logga in. Det finns alltså inget att knäcka, till skillnad från de läckta lösenorden i lektion 2.1.
Tekniken heter FIDO2. Den del som finns i din webbläsare heter WebAuthn, en standard från W3C (konsortiet som tar fram webbstandarder). Delen mellan din dator och en fristående säkerhetsnyckel kallas CTAP.
Så går inloggningen till
- På
mijnbank.exampleväljer du "Logga in med passkey". - Webbplatsen skickar en slumpmässig utmaning: ett nummer som bara används en gång.
- Din webbläsare skickar utmaningen till din enhet, tillsammans med domänen du befinner dig på.
- Din enhet ber dig låsa upp: fingeravtryck, ansikte eller pinkod. Den kontrollen sker på din enhet. Ditt fingeravtryck skickas aldrig till webbplatsen; webbplatsen får bara veta att kontrollen lyckades.
- Din enhet signerar utmaningen med den privata nyckel som hör till
mijnbank.example. - Webbplatsen kontrollerar signaturen med din publika nyckel. Stämmer den, är du inloggad.
Varför en passkey inte fungerar på en falsk webbplats
När en passkey skapas kopplas den till webbplatsens domän. I WebAuthn kallas det Relying Party ID: passkeyn hör till mijnbank.example (och eventuellt dess subdomäner) och inget annat. Det är webbläsaren som avgör vilken domän som anges i förfrågan, inte webbplatsen. En falsk webbplats kan inte förfalska det.
Kommer du via ett nätfiskemejl till https://rnijnbank.example eller https://mijnbank.example.inlog-check.example, händer följande:
- Den falska webbplatsen frågar efter en passkey.
- Din webbläsare letar efter en passkey för just den domänen. Den finns inte.
- Du får ett meddelande som "ingen passkey för den här webbplatsen" eller en tom lista.
Det finns inget du av misstag kan godkänna eller skriva av. Även om du inte genomskådar den falska webbplatsen fungerar inte passkeyn där. Det är vad vi menar med phishingsäker. NIST säger samma sak: phishingsäkerhet kräver kryptografisk autentisering; lösenord, koder du skriver av och godkännandemeddelanden räknas inte.
Får du plötsligt bara ett lösenordsfält på en webbplats där du alltid loggar in med en passkey, eller frågan om "bara en kod från din app"? Det är en varningssignal. Titta på adressen.
Synkroniserad eller enhetsbunden
Det finns två typer av passkeys. Skillnaden ligger i var den privata nyckeln finns.
| Synkroniserad passkey | Enhetsbunden passkey | |
|---|---|---|
| Var finns den privata nyckeln? | Hos en passkey-leverantör: ditt operativsystems nyckelring eller din lösenordshanterare, som krypterat kopierar den till dina andra enheter | På en enda enhet, till exempel en säkerhetsnyckel, och kan inte flyttas därifrån |
| Ny telefon? | Passkeyn följer med när du loggar in hos din leverantör | Du måste skapa en ny passkey på den nya enheten |
| Tappat enheten? | Inga problem så länge ditt leverantörskonto är säkert | Utan reserv står du utanför |
| Svag punkt | Kontot hos din leverantör: den som kommer in där har alla dina passkeys | Förlust; du behöver en reservnyckel |
| Lämplig för | Nästan alla vanliga konton | Administratörskonton, webbhotell, domänregistrering, bank, själva leverantörskontot |
I WebAuthn-standarden kallas en synkroniserad passkey "multi-device credential". FIDO Alliance kallar enhetsbundna passkeys på en säkerhetsnyckel den form med högst säkerhet, och rekommenderar också en säkerhetsnyckel som återställningsmedel om du förlorar åtkomsten till dina synkroniserade enheter.
Använder du synkroniserade passkeys, skydda då kontot hos din leverantör extra noga: starkt lösenord, tvåfaktorsautentisering (2FA), och helst en egen säkerhetsnyckel.
Säkerhetsnycklar
En säkerhetsnyckel är en liten enhet som du sätter i en usb-port eller håller mot din telefon (NFC). Den innehåller enhetsbundna passkeys. Inloggning sker genom att röra vid nyckeln, ofta med en pinkod på själva nyckeln eller ett fingeravtryck på nyckeln.
Det finns flera tillverkare; se vid val till stöd för FIDO2, vilken anslutning du behöver (USB-A, USB-C, NFC) och om den stöder pinkod eller fingeravtryck.
Den viktigaste regeln: registrera alltid minst två nycklar. Den andra är din reservnyckel. Du kopplar den till varje tjänst, precis som den första, och förvarar den på en annan plats, till exempel hemma i en låda eller i ett kassaskåp. Tappar du bort din dagliga nyckel loggar du in med reserven, tar bort den förlorade nyckeln från dina konton och köper en ny andra nyckel. En nyckel går inte att kopiera, och det är just meningen.
Logga in på en annan dator
Du vill logga in på en bärbar dator, men din passkey finns på din telefon. Då erbjuder webbläsaren ofta att visa en QR-kod. Du skannar den med din telefon och låser upp där. FIDO Alliance kallar det här cross-device authentication. Telefonen kontrollerar via Bluetooth att den verkligen befinner sig i närheten av den bärbara datorn. Någon som bara har ett foto av QR-koden kan alltså inte logga in på distans med den.
Fallgropar och när du ska använda dem
Passkeys är ett stort steg framåt, men inte magi:
- Lösenordet finns ofta kvar. Många tjänster låter dig förutom passkeyn fortfarande logga in med lösenord plus kod. En bedragare provar då den vägen. Om det går, stäng av de gamla inloggningssätten eller gör lösenordet långt och unikt.
- Återställning är den svagaste länken. Kan någon kringgå din passkey med ett "glömt lösenord"-mejl eller ett samtal till supporten, är ditt konto bara så starkt som den återställningsvägen. Kontrollera vilka återställningsuppgifter som finns (lektion 2.5).
- Inte alla tjänster stöder det. Använd då en autentiseringsapp.
- Delade konton passar dåligt ihop med passkeys på en personlig enhet. Ge hellre alla en egen inloggning med en egen passkey (modul 7).
- En upplåst enhet är en öppen dörr. Skydda din telefon och bärbara dator med ett bra skärmlås (modul 5).
Var börjar du? Med de konton som skulle orsaka störst skada om de togs över: din e-post, din lösenordshanterare eller passkey-leverantör, webbhotell och domänregistrering, bank och bokföring. Erbjuder någon av de tjänsterna passkeys eller säkerhetsnycklar, aktivera det där först.
Sammanfattning
- En passkey är ett nyckelpar: den privata nyckeln stannar hos dig, webbplatsen har bara den publika nyckeln. Ett läckage hos webbplatsen ger inget att knäcka.
- Webbläsaren kopplar passkeyn till den riktiga domänen. På en falsk webbplats finns ingen passkey, så det finns inget att stjäla eller godkänna.
- Synkroniserade passkeys följer med till dina andra enheter; enhetsbundna passkeys (säkerhetsnyckel) stannar på en enda enhet.
- Registrera alltid en reservnyckel och förvara den på en annan plats.
- En passkey är bara så stark som återställningsvägen och de gamla inloggningssätt som fortfarande är aktiva.
Quiz
Uppgift
Uppgift D2.4: Din första passkey eller säkerhetsnyckel. Ta reda på vilka av dina viktigaste konton som stöder passkeys eller säkerhetsnycklar, ställ in det för minst ett av dem, och ordna en reserv. Bocka av checklistan och svara på reflektionsfrågorna.
Uppgift D2.4: Din första passkey eller säkerhetsnyckel
Så gör du: (1) Kolla i säkerhetsinställningarna för dina viktigaste konton (e-post, lösenordshanterare eller passkey-leverantör, webbhotell, domänregistrering, bank, bokföring) om de stöder passkeys eller säkerhetsnycklar. (2) Välj per konto: synkroniserad passkey (i ditt operativsystem eller din lösenordshanterare) eller enhetsbunden (säkerhetsnyckel). För hantering av webbhotell, domäner och din passkey-leverantör helst en säkerhetsnyckel. (3) Ställ in en passkey eller nyckel för minst ett konto. (4) Ordna en reserv: en andra nyckel registrerad och förvarad på en annan plats, eller vid en synkroniserad passkey en andra enhet och gott skydd av ditt leverantörskonto. (5) Kolla om det gamla inloggningssättet (lösenord med sms eller kod) fortfarande är aktivt. Stäng av det om det går, eller gör lösenordet långt och unikt. (6) Testa en gång att logga in på en andra enhet (till exempel med QR-koden och din telefon).
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
- FIDO Alliance, Passkeys (engelska): https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (engelska, standarden): https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (engelska, ordlista från medlemmar i FIDO Alliance och W3C): https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, avsnitt om phishingsäkerhet och syncable authenticators (engelska): https://pages.nist.gov/800-63-4/sp800-63b.html
- NCSC (Nederländerna), Hur väljer du en MFA-metod?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode