Passkeyji in varnostni ključi

Modul 2: Gesla in prijava · Čas branja: 10 minut

Učni cilj: Po tej lekciji boste znali pojasniti, zakaj so passkeyji in varnostni ključi odporni na phishing, razložiti razliko med sinhroniziranimi in napravno vezanimi passkeyji ter določiti, kdaj jih uporabiti.

Ključni pojmi: passkey, FIDO2, WebAuthn, javni in zasebni ključ, vezava na domeno, varnostni ključ, sinhroniziran passkey, napravno vezan passkey

Težava z vsem, kar prepisujete

V lekciji 2.3 ste videli, da Vas koda iz aplikacije ali sporočila SMS ne ščiti pred dobro izdelano lažno stranjo. Vi vtipkate kodo na rnijnbank.example, goljuf jo v nekaj sekundah posreduje na mijnbank.example in je notri. Šibka točka je vedno enaka: Vi morate presoditi, ali ste na pravi strani. Človek, ki se mu mudi ali vidi prepričljivo stran, bo to napako prej ali slej naredil.

Passkeyji in varnostni ključi to odločitev prevzamejo namesto Vas. Naslova ne preverjate Vi, temveč Vaš brskalnik in Vaša naprava. In ni ničesar, kar bi lahko prepisali ali posredovali naprej.

Kaj je passkey

A passkey je sredstvo za prijavo, ki nadomesti geslo. Zveza FIDO (FIDO Alliance), organizacija, ki stoji za tem standardom, ga opisuje kot nadomestilo za geslo, ki ga odklenete na enak način kot svojo napravo: z Vašim prstnim odtisom, obrazom ali kodo PIN.

Tehnično gledano je passkey par ključev:

• zasebni ključ, ki ostane na Vaši napravi (ali v Vašem upravitelju gesel, glejte spodaj) in nikoli ne gre na spletno stran;
• javni ključ, ki ga hrani spletna stran.

Kar je podpisano z zasebnim ključem, lahko spletna stran preveri z javnim ključem. Z javnim ključem pa ne morete sami ničesar podpisati. Če pride do uhajanja podatkovne baze spletne strani, ima napadalec na voljo le javne ključe, s katerimi se ne more prijaviti. Tako ni ničesar za vdiranje, kot je bilo pri uhajanju gesel v lekciji 2.1.

Tehnologija se imenuje FIDO2. Del, ki se izvaja v Vašem brskalniku, je WebAuthn, standard konzorcija W3C (organizacije, ki ustvarja spletne standarde). Del med Vašim računalnikom in ločenim varnostnim ključem se imenuje CTAP.

Tako poteka prijava

1. Na mijnbank.example izberete možnost "Prijava s passkeyjem".
2. Spletna stran pošlje naključni izziv: število, ki se uporabi samo enkrat.
3. Vaš brskalnik ta izziv posreduje Vaši napravi skupaj z domeno, na kateri se nahajate.
4. Vaša naprava Vas pozove k odklepanju: prst, obraz ali koda PIN. Ta preverba poteka na Vaši napravi. Vaš prstni odtis nikoli ne gre na spletno stran; spletna stran izve le, da je bila preverba uspešna.
5. Vaša naprava podpiše izziv z zasebnim ključem, ki pripada domeni mijnbank.example.
6. Spletna stran preveri podpis z Vašim javnim ključem. Če se ujema, ste prijavljeni.

Zakaj passkey ne deluje na lažni strani

Ob ustvarjanju je passkey vezan na domeno spletne strani. V standardu WebAuthn se to imenuje Relying Party ID: passkey pripada domeni mijnbank.example (in po potrebi njenim poddomenam) in ničemur drugemu. Brskalnik določi, katera domena je navedena v zahtevi, ne spletna stran. Lažna stran tega ne more ponarediti.

Če prek lažnega sporočila (phishing) pridete na https://rnijnbank.example ali https://mijnbank.example.inlog-check.example, se zgodi naslednje:

• Lažna stran zahteva passkey.
• Vaš brskalnik išče passkey za to konkretno domeno. Takega ni.
• Prejmete sporočilo, na primer "za to stran ni passkeyja", ali prazen seznam za izbiro.

Ni ničesar, kar bi lahko po pomoti potrdili ali prepisali. Tudi če lažne strani ne prepoznate, passkey tam preprosto ne deluje. To mislimo z izrazom odporno na phishing. Tudi NIST pravi podobno: odpornost na phishing zahteva kriptografsko overjanje; gesla, kode, ki jih prepisujete, in potrditvena obvestila to niso.

Ali na strani, kjer se sicer vedno prijavljate s passkeyjem, nenadoma vidite samo polje za geslo ali zahtevo po tem, da "samo vnesete kodo iz aplikacije"? To je opozorilni znak. Preverite naslov.

Sinhroniziran ali napravno vezan

Obstajata dve vrsti passkeyjev. Razlika je v tem, kje se nahaja zasebni ključ.

V standardu WebAuthn se sinhroniziran passkey imenuje "multi-device credential" (poverilnica za več naprav). Zveza FIDO navaja napravno vezane passkeyje na varnostnem ključu kot obliko z najvišjo stopnjo zanesljivosti in priporoča varnostni ključ tudi kot sredstvo za obnovitev dostopa, če izgubite dostop do svojih sinhroniziranih naprav.

Če uporabljate sinhronizirane passkeyje, še posebej dobro zaščitite račun pri svojem ponudniku: močno geslo, dvostopenjsko preverjanje (2FA) in po možnosti kar varnostni ključ.

Varnostni ključi

A varnostni ključ je majhna naprava, ki jo vtaknete v vrata USB ali približate telefonu (NFC). Na njem so shranjeni napravno vezani passkeyji. Prijava poteka tako, da se dotaknete ključa, pogosto skupaj s kodo PIN ključa samega ali prstnim odtisom na ključu.

Na voljo je več proizvajalcev; pri izbiri bodite pozorni na podporo za FIDO2, vrsto priključka, ki ga potrebujete (USB-A, USB-C, NFC), in na to, ali ključ podpira kodo PIN ali prstni odtis.

Najpomembnejše pravilo: vedno registrirajte vsaj dva ključa. Drugi je Vaš rezervni ključ. Povežete ga pri vsaki storitvi, enako kot prvega, in ga hranite na drugem mestu, na primer doma v predalu ali v sefu. Če izgubite svoj vsakodnevni ključ, se prijavite z rezervnim, izgubljeni ključ odstranite iz svojih računov in kupite novega rezervnega. Ključa ni mogoče kopirati; to je tudi namen.

Prijava v drugem računalniku

Želite se prijaviti v prenosniku, vendar je Vaš passkey shranjen na telefonu. V tem primeru brskalnik pogosto ponudi prikaz kode QR. To kodo poskenirate s telefonom in se odklenete tam. Zveza FIDO to imenuje cross-device authentication (prijava z druge naprave). Telefon prek povezave Bluetooth preveri, ali je resnično v bližini prenosnika. Nekdo, ki ima zgolj fotografijo kode QR, se torej z njo ne more prijaviti na daljavo.

Pasti in kdaj jih uporabiti

Passkeyji so velik korak naprej, vendar niso čarobni:

• Geslo pogosto še vedno obstaja. Veliko storitev poleg passkeyja še vedno omogoča prijavo z geslom in kodo. Goljuf bo poskusil prav po tej poti. Če je mogoče, izklopite stare načine prijave ali poskrbite, da bo geslo dolgo in edinstveno.
• Obnovitev dostopa je najšibkejši člen. Če lahko nekdo z e-sporočilom "pozabljeno geslo" ali s klicem na podporo zaobide Vaš passkey, je Vaš račun močan le toliko, kolikor je močna ta pot obnovitve. Preverite, kateri podatki za obnovitev so shranjeni (lekcija 2.5).
• Ne podpirajo ga vse storitve. V tem primeru uporabite aplikacijo za preverjanje pristnosti.
• Skupni računi se slabo ujemajo s passkeyji na eni osebni napravi. Raje vsakomur dodelite svoj račun s svojim passkeyjem (modul 7).
• Odklenjena naprava je odprta vrata. Zaščitite svoj telefon in prenosnik z dobro zaklepanjem zaslona (modul 5).

Kje začeti? Pri računih, pri katerih bi prevzem povzročil največjo škodo: Vaša e-pošta, Vaš upravitelj gesel ali ponudnik passkeyjev, gostovanje in registracija domen, banka in računovodstvo. Če katera od teh storitev ponuja passkeyje ali varnostne ključe, jih najprej vklopite tam.

Povzetek

• Passkey je par ključev: zasebni ključ ostane pri Vas, spletna stran ima na voljo samo javni ključ. Uhajanje podatkov pri spletni strani ne pomeni ničesar za vdiranje.
• Brskalnik poveže passkey s pravo domeno. Na lažni strani passkeyja ni, zato ni ničesar za krajo ali potrditev.
• Sinhronizirani passkeyji se prenesejo na Vaše druge naprave; napravno vezani passkeyji (varnostni ključ) ostanejo na eni napravi.
• Vedno registrirajte rezervni ključ in ga hranite na drugem mestu.
• Passkey je tako močan, kot je močna pot obnovitve dostopa in kot so še vedno odprti stari načini prijave.

Kviz

Naloga

Naloga D2.4: Vaš prvi passkey ali varnostni ključ. Ugotovite, kateri od Vaših najpomembnejših računov podpirajo passkeyje ali varnostne ključe, pri vsaj enem ga nastavite in uredite rezervo. Odkljukajte kontrolni seznam in odgovorite na vprašanja za razmislek.

Za nadaljnje branje

• Zveza FIDO (FIDO Alliance), Passkeys (v angleščini): https://fidoalliance.org/passkeys/
• W3C, Web Authentication Level 3 (v angleščini, standard): https://www.w3.org/TR/webauthn-3/
• passkeys.dev, Terms (v angleščini, slovar pojmov članov Zveze FIDO in W3C): https://passkeys.dev/docs/reference/terms/
• NIST SP 800-63B-4, poglavje o odpornosti na phishing in sinhronizacijskih overjevalnikih (v angleščini): https://pages.nist.gov/800-63-4/sp800-63b.html
• Nizozemski NCSC, Kako izbrati metodo večfaktorskega preverjanja (MFA)? (vir v nizozemščini): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode