Pääsyavaimet ja salasanojen loppu
Miten FIDO2-pääsyavaimet toimivat, miksi ne pysäyttävät tietojenkalastelun ja mitä organisaatioiden on muutettava ottaakseen ne käyttöön.
Kolmekymmentä vuotta olemme pyytäneet ihmisiä muistamaan salaisuuksia, olemaan käyttämättä niitä uudelleen, vaihtamaan niitä säännöllisesti ja kirjoittamaan ne vain oikealle sivustolle. Ihmiset eivät pysty siihen, ja hyökkääjät tietävät sen. Varastetut ja kalastellut tunnukset ovat yhä yksi yleisimmistä reiteistä organisaatioon.
Pääsyavaimet (passkeys) ovat ensimmäinen salasanojen korvaaja, joka on sekä turvallisempi että helpompi käyttää. Näin ne toimivat, ja tätä niiden käyttöönotto vaatii.
Mikä pääsyavain on
Pääsyavain on FIDO2- / WebAuthn-standardeihin perustuva tunniste. Jaetun salaisuuden sijaan se käyttää avainparia:
- Yksityinen avain pysyy käyttäjän laitteessa tai salasanojen hallintaohjelmassa laitteen lukituksen (sormenjälki, kasvot tai PIN) suojaamana.
- Julkisen avaimen tallentaa palvelu. Siitä ei ole hyötyä hyökkääjälle, joka varastaa tietokannan.
Kirjautuessa palvelu lähettää satunnaisen haasteen, laite allekirjoittaa sen yksityisellä avaimella, kun käyttäjä avaa lukituksen, ja palvelu tarkistaa allekirjoituksen julkisella avaimella. Mikään salaisuus ei koskaan kulje verkossa.
Miksi pääsyavaimet pysäyttävät tietojenkalastelun
Tämä on tärkein ominaisuus. Pääsyavain on sidottu sivuston verkkotunnukseen. Selain käyttää osoitteen esimerkki.fi pääsyavainta vain osoitteessa esimerkki.fi. Kirjautumissivun täydellinen kopio osoitteessa esimerkk1-kirjaudu.fi ei saa yksinkertaisesti mitään.
Vertaa vaihtoehtoihin:
| Menetelmä | Kalastelunkestävä? | Miksi |
|---|---|---|
| Salasana | Ei | Käyttäjä voi kirjoittaa sen minne tahansa |
| Tekstiviesti- tai sähköpostikoodi | Ei | Väärennetty sivusto voi välittää koodit reaaliajassa |
| Todennussovelluksen koodi (TOTP) | Ei | Sama välitysongelma |
| Hyväksyntä ilmoituksella | Osittain | Altis "MFA-väsytykselle", ellei käytetä numerovahvistusta |
| Pääsyavain / FIDO2-turva-avain | Kyllä | Kryptografisesti sidottu oikeaan verkkotunnukseen |
Synkronoitu vai laitteeseen sidottu?
Pääsyavaimia on kahta tyyppiä, ja organisaatioille valinnalla on merkitystä:
- Synkronoidut pääsyavaimet varmuuskopioidaan käyttäjän alustatilille tai salasanojen hallintaohjelmaan, ja ne ovat käytettävissä kaikilla laitteilla. Ne sopivat kuluttajille, koska puhelimen katoaminen ei lukitse ulos.
- Laitteeseen sidotut pääsyavaimet ovat fyysisessä turva-avaimessa tai hallitussa laitteessa, eikä niitä voi kopioida. Ne sopivat ylläpitäjille ja korkean riskin rooleille, joissa tunnisteen sijainti on tiedettävä tarkasti.
Mitä organisaatioiden on muutettava
- Aloita ylläpitäjistä. Etuoikeutetut tilit vähentävät riskiä eniten myönnettyä pääsyavainta kohden.
- Korjaa ensin tilin palautus. Jos "kadotin pääsyavaimeni" johtaa sähköpostilinkkiin tai tukipuheluun muutaman henkilökohtaisen kysymyksen kera, hyökkääjä käyttää palautusta. Palautuksen on oltava vähintään yhtä vahva kuin kirjautumisen.
- Huomioi yhteiskäyttö- ja kioskilaitteet, joissa henkilökohtainen biometriikka ei toimi. Turva-avaimet ratkaisevat tämän yleensä.
- Poista salasana, älä vain lisää pääsyavainta. Niin kauan kuin salasana toimii, myös kalastelu toimii. Tavoite on salasanaton tili, ei uusi vaihtoehto.
- Mittaa käyttöönottoa. Seuraa kalastelunkestävillä menetelmillä tehtyjen kirjautumisten osuutta, ei vain rekisteröityjen pääsyavainten määrää.
Kaikille kotona
Jos sähköpostipalvelusi, pankkisi tai salasanojen hallintaohjelmasi tarjoaa pääsyavaimia, ota ne käyttöön. Aloita sähköpostitilistä: se, joka hallitsee sähköpostiasi, voi palauttaa lähes kaiken muun.