2 modulis · 2.4
Passkeys ir apsaugos raktai
2 modulis: Slaptažodžiai ir prisijungimas · Skaitymo trukmė: 10 min.
Mokymosi tikslas: Baigę šią pamoką galėsite paaiškinti, kodėl passkeys ir apsaugos raktai yra atsparūs sukčiavimui, nurodyti skirtumą tarp sinchronizuojamų ir su įrenginiu susietų passkeys bei nuspręsti, kada juos naudoti.
Pagrindinės sąvokos: passkey, FIDO2, WebAuthn, viešasis ir privatusis raktas, susietas su domenu, apsaugos raktas, sinchronizuojamas passkey, su įrenginiu susietas passkey
Problema su viskuo, ką perrašote ranka
2.3 pamokoje matėte, kad kodas iš programėlės ar SMS neapsaugo nuo gerai padarytos netikros svetainės. Jūs įvedate kodą svetainėje rnijnbank.example, sukčius per kelias sekundes jį persiunčia į mijnbank.example ir patenka vidun. Silpnoji vieta visada ta pati: Jūs turite įvertinti, ar esate tikroje svetainėje. Žmogus, kuris skuba arba mato įtikinamą puslapį, anksčiau ar vėliau padarys šią klaidą.
Passkeys ir apsaugos raktai šį sprendimą atima iš Jūsų. Adresą tikrina ne Jūs, o Jūsų naršyklė ir įrenginys. Ir nebelieka nieko, ką reikėtų perrašyti ar persiųsti.
Kas yra passkey
Passkey yra prisijungimo priemonė, kuri pakeičia slaptažodį. FIDO Alliance, organizacija, stovinti už šio standarto, apibūdina jį kaip slaptažodžio pakaitalą, kurį atrakinate taip pat, kaip ir savo įrenginį: pirštų atspaudu, veidu arba PIN kodu.
Techniškai passkey yra raktų pora:
- privatusis raktas, kuris lieka Jūsų įrenginyje (arba slaptažodžių tvarkyklėje, žr. toliau) ir niekada nekeliauja į svetainę;
- viešasis raktas, kurį saugo svetainė.
Tai, kas pasirašyta privačiuoju raktu, svetainė gali patikrinti viešuoju raktu. Tačiau viešuoju raktu patys nieko negalite pasirašyti. Jei nutekėtų svetainės duomenų bazė, užpuolikas turėtų tik viešuosius raktus, su kuriais prisijungti negalima. Taigi nėra ką nulaužti, kaip buvo nutekėjusių slaptažodžių atveju 2.1 pamokoje.
Ši technologija vadinama FIDO2. Dalis, esanti Jūsų naršyklėje, vadinasi WebAuthn, tai W3C (konsorciumo, kuriantis žiniatinklio standartus) standartas. Dalis tarp Jūsų kompiuterio ir atskiro apsaugos rakto vadinasi CTAP.
Kaip vyksta prisijungimas
- Svetainėje
mijnbank.examplepasirenkate „Prisijungti su passkey“. - Svetainė siunčia atsitiktinį iššūkį: skaičių, kuris naudojamas tik vieną kartą.
- Jūsų naršyklė perduoda šį iššūkį Jūsų įrenginiui kartu su domenu, kuriame esate.
- Jūsų įrenginys paprašo atrakinti: pirštu, veidu arba PIN kodu. Ši patikra vyksta Jūsų įrenginyje. Jūsų pirštų atspaudas niekada nekeliauja į svetainę; svetainė sužino tik tiek, kad patikra pavyko.
- Jūsų įrenginys pasirašo iššūkį privačiuoju raktu, priklausančiu
mijnbank.example. - Svetainė patikrina parašą Jūsų viešuoju raktu. Jei jis atitinka, esate prisijungę.
Kodėl passkey neveikia netikroje svetainėje
Kuriant passkey, jis susiejamas su svetainės domenu. WebAuthn standarte tai vadinama Relying Party ID: passkey priklauso mijnbank.example (ir galbūt jo subdomenams) ir niekam kitam. Naršyklė nustato, koks domenas nurodytas užklausoje, o ne svetainė. Netikra svetainė to suklastoti negali.
Jei per sukčiavimo laišką patenkate į https://rnijnbank.example arba https://mijnbank.example.inlog-check.example, nutinka taip:
- Netikra svetainė prašo passkey.
- Jūsų naršyklė ieško passkey tam konkrečiam domenui. Jo nėra.
- Gaunate pranešimą, pavyzdžiui, „šiai svetainei passkey nerastas“, arba tuščią pasirinkimo sąrašą.
Nėra nieko, ką galėtumėte atsitiktinai patvirtinti ar perrašyti. Net jei nepastebite, kad svetainė netikra, passkey joje tiesiog neveiks. Tai ir turime omenyje sakydami atsparus sukčiavimui. NIST tai patvirtina: atsparumas sukčiavimui reikalauja kriptografinio autentifikavimo; slaptažodžiai, perrašomi kodai ir patvirtinimo pranešimai tokiais nelaikomi.
Jei svetainėje, kurioje visada jungiatės su passkey, staiga matote tik slaptažodžio laukelį arba prašymą „įveskite kodą iš programėlės“, tai įspėjamasis signalas. Patikrinkite adresą.
Sinchronizuojamas arba su įrenginiu susietas
Yra dviejų rūšių passkeys. Skirtumas tas, kur gyvena privatusis raktas.
| Sinchronizuojamas passkey | Su įrenginiu susietas passkey | |
|---|---|---|
| Kur saugomas privatusis raktas? | Pas passkey teikėją: Jūsų operacinės sistemos raktinėje arba slaptažodžių tvarkyklėje, kuri jį užšifruotą nukopijuoja į kitus Jūsų įrenginius | Viename įrenginyje, pavyzdžiui, apsaugos rakte, ir iš ten negali būti perkeltas |
| Naujas telefonas? | Passkey atkeliauja kartu, kai prisijungiate prie savo teikėjo | Naujame įrenginyje turite sukurti naują passkey |
| Pamestas įrenginys? | Nėra problemos, jei Jūsų teikėjo paskyra saugi | Be atsarginio rakto liksite be prieigos |
| Silpnoji vieta | Paskyra pas teikėją: kas į ją patenka, turi visus Jūsų passkeys | Praradimas; reikalingas atsarginis raktas |
| Tinka | Beveik visoms įprastoms paskyroms | Administratorių paskyroms, talpinimui, domeno registracijai, bankui, pačiai teikėjo paskyrai |
WebAuthn standarte sinchronizuojamas passkey vadinamas „multi-device credential“. FIDO Alliance su įrenginiu susietus passkeys apsaugos rakte vadina patikimiausia forma ir rekomenduoja apsaugos raktą naudoti kaip atkūrimo priemonę, jei prarandate prieigą prie sinchronizuotų įrenginių.
Jei naudojate sinchronizuojamus passkeys, ypač gerai apsaugokite savo teikėjo paskyrą: stiprus slaptažodis, dviejų veiksnių autentifikavimas (2FA), ir, jei įmanoma, atskiras apsaugos raktas.
Apsaugos raktai
Apsaugos raktas yra mažas įrenginys, kurį įkišate į USB jungtį arba pridedate prie telefono (NFC). Jame saugomi su įrenginiu susieti passkeys. Prisijungiama paliečiant raktą, dažnai papildomai įvedant rakto PIN kodą arba naudojant piršto atspaudą ant rakto.
Gamintojų yra keletas; rinkdamiesi atkreipkite dėmesį į FIDO2 palaikymą, reikiamą jungtį (USB-A, USB-C, NFC) ir ar palaikomas PIN kodas arba piršto atspaudas.
Svarbiausia taisyklė: visada registruokite bent du raktus. Antrasis yra Jūsų atsarginis raktas. Jį susiejate su kiekviena paslauga taip pat, kaip ir pirmąjį, ir laikote kitoje vietoje, pavyzdžiui, namuose stalčiuje arba seife. Jei pametate kasdien naudojamą raktą, prisijungiate su atsarginiu, pašalinate pamestą raktą iš savo paskyrų ir įsigyjate naują antrąjį. Rakto nukopijuoti negalima, būtent tai ir yra jo paskirtis.
Prisijungimas kitu kompiuteriu
Norite prisijungti nešiojamu kompiuteriu, bet Jūsų passkey yra telefone. Tokiu atveju naršyklė dažnai pasiūlo parodyti QR kodą. Nuskaitote jį telefonu ir atrakinate ten. FIDO Alliance tai vadina cross-device authentication. Telefonas per Bluetooth patikrina, ar jis iš tiesų yra netoli nešiojamo kompiuterio. Taigi žmogus, turintis tik QR kodo nuotrauką, negali juo prisijungti iš atstumo.
Spąstai ir kada juos naudoti
Passkeys yra didelis žingsnis į priekį, bet ne stebuklingas:
- Slaptažodis dažnai lieka galioti. Daugelis paslaugų leidžia prisijungti ir slaptažodžiu bei kodu, be passkey. Sukčius tada bandys tą kelią. Jei įmanoma, išjunkite senuosius prisijungimo būdus arba padarykite slaptažodį ilgą ir unikalų.
- Atkūrimas yra silpniausia grandis. Jei kažkas per „pamiršau slaptažodį“ laišką ar skambutį pagalbos tarnybai gali apeiti Jūsų passkey, Jūsų paskyra tiek pat saugi, kiek ir tas atkūrimo kelias. Patikrinkite, kokie atkūrimo duomenys nurodyti (pamoka 2.5).
- Ne kiekviena paslauga tai palaiko. Tokiu atveju naudokite autentifikavimo programėlę.
- Bendros paskyros prastai dera su passkeys viename asmeniniame įrenginyje. Geriau suteikite kiekvienam atskirą paskyrą su atskiru passkey (modulis 7).
- Atrakintas įrenginys yra atviros durys. Apsaugokite telefoną ir nešiojamą kompiuterį geru ekrano užraktu (modulis 5).
Nuo ko pradėti? Nuo tų paskyrų, kurių perėmimas sukeltų didžiausią žalą: Jūsų el. paštas, slaptažodžių tvarkyklė arba passkey teikėjas, talpinimas ir domeno registracija, bankas ir buhalterija. Jei kuri nors iš šių paslaugų siūlo passkeys arba apsaugos raktus, pirmiausia įjunkite tai ten.
Santrauka
- Passkey yra raktų pora: privatusis raktas lieka pas Jus, svetainė turi tik viešąjį raktą. Nutekėjimas iš svetainės neduoda nieko, ką būtų galima nulaužti.
- Naršyklė susieja passkey su tikru domenu. Netikroje svetainėje passkey nėra, todėl nėra nieko, ką pavogti ar patvirtinti.
- Sinchronizuojami passkeys keliauja kartu į Jūsų kitus įrenginius; su įrenginiu susieti passkeys (apsaugos raktas) lieka viename įrenginyje.
- Visada registruokite atsarginį raktą ir laikykite jį kitoje vietoje.
- Passkey yra tiek pat saugus, kiek ir atkūrimo kelias bei dar veikiantys senieji prisijungimo būdai.
Testas (quiz)
Užduotis
Užduotis D2.4: Jūsų pirmasis passkey arba apsaugos raktas. Išsiaiškinkite, kurios iš Jūsų svarbiausių paskyrų palaiko passkeys arba apsaugos raktus, bent vienoje iš jų nustatykite tokį prisijungimo būdą ir susitvarkykite atsarginį variantą. Pažymėkite kontrolinį sąrašą ir atsakykite į refleksijos klausimus.
Užduotis D2.4: Jūsų pirmasis passkey arba apsaugos raktas
Štai kaip tai padaryti: (1) Savo svarbiausiose paskyrose (paštas, slaptažodžių tvarkyklė arba passkey teikėjas, talpinimas, domeno registracija, bankas, buhalterija) saugumo nustatymuose patikrinkite, ar palaikomi passkey arba apsaugos raktai. (2) Kiekvienai paskyrai pasirinkite: sinchronizuojamą passkey (operacinėje sistemoje arba slaptažodžių tvarkyklėje) arba su įrenginiu susietą (apsaugos raktą). Talpinimo, domenų valdymui ir passkey teikėjo paskyrai geriausia naudoti apsaugos raktą. (3) Bent vienai paskyrai nustatykite passkey arba raktą. (4) Pasirūpinkite atsargine priemone: antras raktas, užregistruotas ir saugomas kitoje vietoje, arba, naudojant sinchronizuojamą passkey, antras įrenginys ir gera teikėjo paskyros apsauga. (5) Patikrinkite, ar senasis prisijungimo būdas (slaptažodis su SMS arba kodu) vis dar įjungtas. Jei įmanoma, išjunkite jį arba padarykite slaptažodį ilgą ir unikalų. (6) Kartą išbandykite prisijungimą kitame įrenginyje (pavyzdžiui, naudodami QR kodą ir telefoną).
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
- FIDO Alliance, Passkeys (anglų k.): https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (anglų k., standartas): https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (anglų k., FIDO Alliance ir W3C narių sąvokų žodynas): https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, skyrius apie atsparumą sukčiavimui ir sinchronizuojamus autentifikatorius (anglų k.): https://pages.nist.gov/800-63-4/sp800-63b.html
- Nyderlandų Nacionalinis kibernetinio saugumo centras (NKSC), kaip pasirinkti MFA metodą (anglų k.): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode