Moduuli 2 · 2.4
Passkeyt ja turva-avaimet
Moduuli 2: Salasanat ja kirjautuminen · Lukuaika: 10 minuuttia
Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, miksi passkeyt ja turva-avaimet kestävät tietojenkalastelua, kerrot eron synkronoitujen ja laitesidonnaisten passkeyiden välillä ja osaat päättää, milloin niitä kannattaa käyttää.
Keskeiset käsitteet: passkey, FIDO2, WebAuthn, julkinen ja yksityinen avain, sidottu verkkotunnukseen, turva-avain, synkronoitu passkey, laitesidonnainen passkey
Ongelma kaiken kanssa, mitä kirjoitat uudelleen
Oppitunnilla 2.3 näit, ettei sovelluksesta tai tekstiviestistä saatu koodi suojaa hyvältä huijaussivustolta. Kirjoitat koodin osoitteeseen rnijnbank.example, huijari lähettää sen muutamassa sekunnissa eteenpäin osoitteeseen mijnbank.example ja pääsee sisään. Heikko kohta on aina sama: sinun pitää arvioida, oletko oikealla sivustolla. Kiireinen tai vakuuttavan sivun nähnyt ihminen tekee tämän virheen ennemmin tai myöhemmin.
Passkeyt ja turva-avaimet poistavat tämän päätöksen sinulta. Osoitetta ei tarkista sinä, vaan selaimesi ja laitteesi. Eikä mitään ole, mitä kirjoittaa uudelleen tai lähettää eteenpäin.
Mikä passkey on
A passkey on kirjautumisväline, joka korvaa salasanan. FIDO Alliance, standardin takana oleva organisaatio, kuvailee sitä salasanan korvaajaksi, jonka avaat samalla tavalla kuin laitteesi: sormenjäljellä, kasvoillasi tai pin-koodilla.
Teknisesti passkey on avainpari:
- yksityinen avain, joka pysyy laitteellasi (tai salasanojen hallintaohjelmassasi, katso alla) eikä koskaan siirry verkkosivustolle;
- julkinen avain, jonka verkkosivusto säilyttää.
Sen, mikä on allekirjoitettu yksityisellä avaimella, verkkosivusto voi tarkistaa julkisella avaimella. Mutta julkisella avaimella et voi itse allekirjoittaa mitään. Jos verkkosivuston tietokanta vuotaa, hyökkääjällä on vain julkisia avaimia, eikä niillä pääse kirjautumaan sisään. Mitään murrettavaa ei siis ole, toisin kuin oppitunnilla 2.1 käsitellyissä vuotaneissa salasanoissa.
Tekniikan nimi on FIDO2. Selaimessasi oleva osa on WebAuthn, W3C:n (verkkostandardeja laativan konsortion) standardi. Tietokoneesi ja erillisen turva-avaimen välinen osa on nimeltään CTAP.
Näin kirjautuminen tapahtuu
- Osoitteessa
mijnbank.examplevalitset "Kirjaudu passkeyllä". - Verkkosivusto lähettää satunnaisen haasteen: luvun, jota käytetään vain kerran.
- Selaimesi välittää tämän haasteen laitteellesi yhdessä sen verkkotunnuksen kanssa, jolla olet.
- Laitteesi pyytää sinua avaamaan lukituksen: sormi, kasvot tai pin-koodi. Tämä tarkistus tapahtuu laitteellasi. Sormenjälkesi ei koskaan siirry verkkosivustolle; sivusto saa tietää vain, että tarkistus onnistui.
- Laitteesi allekirjoittaa haasteen yksityisellä avaimella, joka kuuluu osoitteeseen
mijnbank.example. - Verkkosivusto tarkistaa allekirjoituksen julkisella avaimellasi. Jos se täsmää, pääset sisään.
Miksi passkey ei toimi huijaussivustolla
Passkeytä luotaessa se sidotaan verkkosivuston verkkotunnukseen. WebAuthnissa tätä kutsutaan Relying Party ID:ksi: passkey kuuluu osoitteeseen mijnbank.example (ja mahdollisiin sen alitunnuksiin) eikä mihinkään muuhun. Selain määrittää, mikä verkkotunnus pyynnössä on, ei verkkosivusto. Huijaussivusto ei voi väärentää tätä.
Jos päädyt tietojenkalasteluviestin kautta osoitteeseen https://rnijnbank.example tai https://mijnbank.example.inlog-check.example, tapahtuu seuraavaa:
- Huijaussivusto pyytää passkeytä.
- Selaimesi etsii passkeytä juuri sille verkkotunnukselle. Sitä ei ole.
- Saat ilmoituksen, kuten "ei passkeytä tälle sivustolle", tai tyhjän valintalistan.
Mitään ei ole, mitä voisit vahingossa hyväksyä tai kirjoittaa uudelleen. Vaikka et itse huomaisi huijaussivustoa, passkey ei toimi siellä. Tätä tarkoitetaan sanalla tietojenkalastelun kestävä. Myös NIST sanoo tämän: tietojenkalastelun kestävyys edellyttää kryptografista tunnistautumista; salasanat, uudelleen kirjoitettavat koodit ja hyväksymisilmoitukset eivät sitä ole.
Saatko yhtäkkiä vain salasanakentän tai pyynnön "anna koodi sovelluksestasi" sivustolla, jolla aina kirjaudut passkeyllä? Se on varoitusmerkki. Tarkista osoite.
Synkronoitu vai laitesidonnainen
Passkeyitä on kahta tyyppiä. Ero on siinä, missä yksityinen avain sijaitsee.
| Synkronoitu passkey | Laitesidonnainen passkey | |
|---|---|---|
| Missä yksityinen avain on? | Passkey-palveluntarjoajalla: käyttöjärjestelmäsi avainnipussa tai salasanojen hallintaohjelmassasi, joka kopioi sen salattuna muille laitteillesi | Yhdellä laitteella, esimerkiksi turva-avaimella, eikä sitä voi siirtää sieltä pois |
| Uusi puhelin? | Passkey tulee mukana, kun kirjaudut palveluntarjoajaasi | Uudelle laitteelle pitää luoda uusi passkey |
| Laite hukassa? | Ei ongelma, kunhan palveluntarjoajatilisi on turvassa | Ilman varakopiota jäät ulkopuolelle |
| Heikko kohta | Tili palveluntarjoajalla: joka pääsee sinne, saa kaikki passkeysi | Katoaminen; tarvitset varaavaimen |
| Sopii | Lähes kaikkiin tavallisiin tileihin | Ylläpitäjätileihin, webhotelliin, verkkotunnuksen rekisteröintiin, pankkiin, itse palveluntarjoajatiliin |
WebAuthn-standardissa synkronoitua passkeytä kutsutaan "multi-device credential"-tunnukseksi. FIDO Alliance kutsuu turva-avaimella käytettäviä laitesidonnaisia passkeyita korkeimman varmuuden muodoksi ja suosittelee turva-avainta myös palautuskeinoksi, jos menetät pääsyn synkronoituihin laitteisiisi.
Jos käytät synkronoituja passkeyitä, suojaa palveluntarjoajasi tili erityisen hyvin: vahva salasana, kaksivaiheinen tunnistautuminen (2FA) ja mieluiten oma turva-avain.
Turva-avaimet
A turva-avain on pieni laite, jonka laitat usb-porttiin tai pidät puhelimesi vieressä (NFC). Siihen on tallennettu laitesidonnaisia passkeyita. Kirjautuminen tapahtuu koskettamalla avainta, usein avaimen omalla pin-koodilla tai avaimessa olevalla sormenjälkitunnistimella.
Valmistajia on useita; kiinnitä valitessasi huomiota FIDO2-tukeen, tarvitsemaasi liitäntään (USB-A, USB-C, NFC) ja siihen, tukeeko se pin-koodia tai sormenjälkeä.
Tärkein sääntö: rekisteröi aina vähintään kaksi avainta. Toinen on varaavaimesi. Yhdistät sen jokaiseen palveluun samalla tavalla kuin ensimmäisen ja säilytät sitä eri paikassa, esimerkiksi kotona laatikossa tai kassakaapissa. Jos kadotat päivittäisen avaimesi, kirjaudut sisään varaavaimella, poistat kadonneen avaimen tileiltäsi ja hankit uuden toisen avaimen. Avainta ei voi kopioida; se on juuri tarkoituskin.
Kirjautuminen toisella tietokoneella
Haluat kirjautua kannettavalla tietokoneella, mutta passkeysi on puhelimessasi. Tällöin selain tarjoaa usein QR-koodin näyttämistä. Skannaat sen puhelimellasi ja avaat lukituksen siellä. FIDO Alliance kutsuu tätä cross-device authenticationiksi. Puhelin tarkistaa Bluetoothin kautta, onko se todella kannettavan lähellä. Henkilö, jolla on pelkkä kuva QR-koodista, ei siis voi kirjautua sillä etänä.
Sudenkuopat ja milloin niitä käytetään
Passkeyt ovat suuri edistysaskel, mutta eivät taikuutta:
- Salasana jää usein käyttöön. Monet palvelut sallivat passkeyn lisäksi kirjautumisen myös salasanalla ja koodilla. Huijari yrittää silloin sitä reittiä. Jos mahdollista, poista vanhat kirjautumistavat käytöstä tai tee salasanasta pitkä ja uniikki.
- Palautus on heikoin lenkki. Jos joku pääsee ohittamaan passkeysi "unohdin salasanan" -viestillä tai puhelulla asiakastukeen, tilisi on vain niin vahva kuin tuo palautusreitti. Tarkista, mitä palautustietoja on tallennettu (oppitunti 2.5).
- Kaikki palvelut eivät tue sitä. Käytä silloin autentikaattorisovellusta.
- Jaetut tilit sopivat huonosti yhteen yhdelle henkilökohtaiselle laitteelle sidottujen passkeyiden kanssa. Anna mieluummin jokaiselle oma tili omalla passkeyllä (moduuli 7).
- Avattu laite on avoin ovi. Suojaa puhelimesi ja kannettavasi hyvällä näytön lukituksella (moduuli 5).
Mistä aloitat? Tileistä, joiden kaappaamisesta aiheutuisi suurin vahinko: sähköpostisi, salasanojen hallintaohjelmasi tai passkey-palveluntarjoajasi, webhotelli ja verkkotunnuksen rekisteröinti, pankki ja kirjanpito. Jos jokin näistä palveluista tarjoaa passkeyita tai turva-avaimia, ota se käyttöön ensimmäisenä.
Yhteenveto
- Passkey on avainpari: yksityinen avain pysyy sinulla, verkkosivustolla on vain julkinen avain. Vuoto verkkosivustolla ei anna mitään murrettavaa.
- Selain yhdistää passkeyn oikeaan verkkotunnukseen. Huijaussivustolla ei ole passkeytä, joten mitään ei ole varastettavissa tai hyväksyttävissä.
- Synkronoidut passkeyt siirtyvät muille laitteillesi; laitesidonnaiset passkeyt (turva-avain) pysyvät yhdellä laitteella.
- Rekisteröi aina varaavain ja säilytä sitä eri paikassa.
- Passkey on vain yhtä vahva kuin palautusreitti ja vielä auki olevat vanhat kirjautumistavat.
Tietovisa (quiz)
Tehtävä
Tehtävä D2.4: Ensimmäinen passkey tai turva-avain. Selvitä, mitkä tärkeimmistä tileistäsi tukevat passkeyita tai turva-avaimia, ota käyttöön ainakin yhdellä ja järjestä varaavain. Rastita tarkistuslista ja vastaa pohdintakysymyksiin.
Tehtävä D2.4: Ensimmäinen passkey tai turva-avain
Näin teet sen: (1) Katso tärkeimpien tiliesi (sähköposti, salasanojen hallintaohjelma tai passkey-palveluntarjoaja, webhotelli, verkkotunnuksen rekisteröinti, pankki, kirjanpito) turva-asetuksista, tukevatko ne passkeyä tai turva-avaimia. (2) Valitse jokaiselle tilille: synkronoitu passkey (käyttöjärjestelmässäsi tai salasanojen hallintaohjelmassasi) tai laitesidonnainen (turva-avain). Webhotellin, verkkotunnusten ja passkey-palveluntarjoajasi hallintaan mieluiten turva-avain. (3) Ota vähintään yhteen tiliin käyttöön passkey tai avain. (4) Järjestä varajärjestelmä: toinen avain rekisteröitynä ja säilytettynä eri paikassa, tai synkronoidun passkeyn kohdalla toinen laite ja palveluntarjoajan tilisi hyvä suojaus. (5) Tarkista, onko vanha kirjautumistapa (salasana tekstiviestillä tai koodilla) vielä päällä. Sammuta se jos mahdollista, tai tee salasanasta pitkä ja uniikki. (6) Testaa kerran kirjautuminen toisella laitteella (esimerkiksi QR-koodilla ja puhelimellasi).
Merkintäsi ja muistiinpanosi pysyvät vain tässä selaimessa, emme lähetä niitä minnekään. Jos olet kirjautunut sisään, tallennamme kohtaan Omat kurssit vain sen, että olet tehnyt tehtävän.
Lue lisää
- FIDO Alliance, Passkeys (englanniksi): https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (englanniksi, standardi): https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (englanniksi, FIDO Alliancen ja W3C:n jäsenten käsitteistö): https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, osio tietojenkalastelun kestävyydestä ja syncable authenticators (englanniksi): https://pages.nist.gov/800-63-4/sp800-63b.html
- Traficomin Kyberturvallisuuskeskus, ohjeet: https://www.kyberturvallisuuskeskus.fi/