Modulul 2 · 2.4
Passkeys și chei de securitate
Modulul 2: Parole și autentificare · Timp de citire: 10 minute
Obiectiv: După această lecție veți putea explica de ce passkeys și cheile de securitate rezistă la phishing, veți putea denumi diferența dintre passkeys sincronizate și passkeys legate de dispozitiv și veți putea stabili când să le folosiți.
Noțiuni cheie: passkey, FIDO2, WebAuthn, cheie publică și privată, legat de domeniu, cheie de securitate, passkey sincronizat, passkey legat de dispozitiv
Problema cu tot ce transcrieți
În lecția 2.3 ați văzut că un cod dintr-o aplicație sau sms nu vă protejează împotriva unui site fals bine făcut. Dumneavoastră introduceți codul pe rnijnbank.example, escrocul îl retransmite în câteva secunde către mijnbank.example și intră în cont. Punctul slab este mereu același: dumneavoastră trebuie să evaluați dacă sunteți pe site-ul real. Un om grăbit sau care vede o pagină convingătoare face mai devreme sau mai târziu această greșeală.
Passkeys și cheile de securitate elimină această decizie din mâinile dumneavoastră. Nu dumneavoastră verificați adresa, ci browserul și dispozitivul dumneavoastră. Și nu există nimic de transcris sau de retransmis.
Ce este un passkey
Un passkey este un mijloc de autentificare care înlocuiește o parolă. FIDO Alliance, organizația din spatele standardului, îl descrie ca pe un înlocuitor al parolei pe care îl deblocați în același mod ca dispozitivul dumneavoastră: cu amprenta, fața sau codul PIN.
Din punct de vedere tehnic, un passkey este o pereche de chei:
- o cheie privată care rămâne pe dispozitivul dumneavoastră (sau în managerul de parole, vedeți mai jos) și nu ajunge niciodată la site;
- o cheie publică pe care o păstrează site-ul.
Ce este semnat cu cheia privată poate fi verificat de site cu cheia publică. Dar cu cheia publică nu puteți semna nimic. Dacă baza de date a site-ului este compromisă, atacatorul deține doar chei publice, cu care nu se poate autentifica. Așadar nu există nimic de spart precum în cazul parolelor scurse din lecția 2.1.
Tehnologia se numește FIDO2. Partea care se află în browser se numește WebAuthn, un standard al W3C (consorțiul care creează standarde web). Partea dintre calculatorul dumneavoastră și o cheie de securitate separată se numește CTAP.
Așa se desfășoară autentificarea
- Pe
mijnbank.examplealegeți "Autentificare cu passkey". - Site-ul trimite o provocare aleatorie: un număr folosit o singură dată.
- Browserul dumneavoastră transmite această provocare dispozitivului, împreună cu domeniul pe care vă aflați.
- Dispozitivul dumneavoastră vă cere să îl deblocați: amprentă, față sau cod PIN. Această verificare are loc pe dispozitivul dumneavoastră. Amprenta nu ajunge niciodată la site; site-ul află doar că verificarea a reușit.
- Dispozitivul dumneavoastră semnează provocarea cu cheia privată asociată cu
mijnbank.example. - Site-ul verifică semnătura cu cheia dumneavoastră publică. Dacă este corectă, ați intrat în cont.
De ce un passkey nu funcționează pe un site fals
La creare, un passkey este legat de domeniul site-ului. În WebAuthn, acest lucru se numește Relying Party ID: passkey-ul aparține de mijnbank.example (și eventual de subdomeniile sale) și de nimic altceva. Browserul stabilește ce domeniu apare în cerere, nu site-ul. Un site fals nu poate falsifica acest lucru.
Dacă ajungeți printr-un e-mail de phishing pe https://rnijnbank.example sau https://mijnbank.example.inlog-check.example, se întâmplă următoarele:
- Site-ul fals solicită un passkey.
- Browserul dumneavoastră caută un passkey pentru acel domeniu. Nu există.
- Primiți un mesaj precum "niciun passkey pentru acest site" sau o listă de selecție goală.
Nu există nimic ce ați putea aproba din greșeală sau transcrie. Chiar dacă nu observați că site-ul este fals, passkey-ul nu funcționează acolo. Aceasta este ce înțelegem prin rezistență la phishing. NIST afirmă același lucru: rezistența la phishing necesită autentificare criptografică; parolele, codurile pe care le transcrieți și notificările de aprobare nu îndeplinesc această condiție.
Primiți brusc doar un câmp pentru parolă pe un site unde de obicei vă autentificați cu un passkey, sau vi se cere "doar un cod din aplicație"? Acesta este un semnal de alarmă. Verificați adresa.
Sincronizat sau legat de dispozitiv
Există două tipuri de passkeys. Diferența constă în locul unde se află cheia privată.
| Passkey sincronizat | Passkey legat de dispozitiv | |
|---|---|---|
| Unde se află cheia privată? | Într-un furnizor de passkeys: brelocul de chei al sistemului dumneavoastră de operare sau managerul dumneavoastră de parole, care o copiază criptat pe celelalte dispozitive ale dumneavoastră | Pe un singur dispozitiv, de exemplu o cheie de securitate, și nu poate fi extrasă de acolo |
| Telefon nou? | Passkey-ul vă urmează când vă autentificați la furnizorul dumneavoastră | Trebuie să creați un passkey nou pe noul dispozitiv |
| Dispozitiv pierdut? | Nicio problemă atât timp cât contul dumneavoastră la furnizor este în siguranță | Fără rezervă, rămâneți blocat în afara contului |
| Punct slab | Contul de la furnizorul dumneavoastră: cine intră acolo, are toate passkeys-urile dumneavoastră | Pierderea; aveți nevoie de o cheie de rezervă |
| Potrivit pentru | Aproape toate conturile obișnuite | Conturi de administrator, găzduire, înregistrare de domenii, bancă, chiar contul de la furnizor |
În standardul WebAuthn, un passkey sincronizat se numește "multi-device credential". FIDO Alliance numește passkeys legate de dispozitiv pe o cheie de securitate forma cu cel mai înalt grad de siguranță și recomandă o cheie de securitate și ca mijloc de recuperare dacă pierdeți accesul la dispozitivele dumneavoastră sincronizate.
Dacă folosiți passkeys sincronizate, protejați în mod special contul de la furnizorul dumneavoastră: parolă puternică, autentificare în doi pași și, de preferat, chiar o cheie de securitate.
Chei de securitate
O cheie de securitate este un dispozitiv mic pe care îl introduceți într-un port usb sau îl apropiați de telefon (NFC). Pe el se află passkeys legate de dispozitiv. Autentificarea se face atingând cheia, adesea cu un cod PIN al cheii în sine sau cu o amprentă pe cheie.
Există mai mulți producători; la alegere fiți atenți la suportul pentru FIDO2, la tipul de conexiune de care aveți nevoie (USB-A, USB-C, NFC) și dacă suportă cod PIN sau amprentă.
Cea mai importantă regulă: înregistrați întotdeauna cel puțin două chei. A doua este cheia dumneavoastră de rezervă. O asociați la fiecare serviciu, la fel ca prima, și o păstrați într-un alt loc, de exemplu acasă într-un sertar sau într-un seif. Dacă pierdeți cheia pe care o folosiți zilnic, vă autentificați cu rezerva, eliminați cheia pierdută din conturile dumneavoastră și cumpărați o nouă a doua cheie. O cheie nu poate fi copiată; acesta este chiar scopul.
Autentificarea pe un alt calculator
Doriți să vă autentificați pe un laptop, dar passkey-ul dumneavoastră se află pe telefon. În acest caz, browserul oferă adesea afișarea unui cod QR. Îl scanați cu telefonul și deblocați acolo. FIDO Alliance numește aceasta cross-device authentication. Telefonul verifică prin Bluetooth dacă se află efectiv în apropierea laptopului. Cineva care are doar o fotografie a codului QR nu se poate autentifica astfel de la distanță.
Capcane și când să le folosiți
Passkeys reprezintă un pas important înainte, dar nu sunt magice:
- Parola rămâne adesea valabilă. Multe servicii vă permit să vă autentificați în continuare cu parolă plus cod, pe lângă passkey. Un escroc va încerca atunci acea cale. Dacă este posibil, dezactivați metodele vechi de autentificare sau faceți parola lungă și unică.
- Recuperarea este veriga cea mai slabă. Dacă cineva poate ocoli passkey-ul dumneavoastră printr-un e-mail de "parolă uitată" sau un apel telefonic către serviciul de asistență, contul dumneavoastră este la fel de puternic ca acea cale de recuperare. Verificați ce date de recuperare sunt înregistrate (lecția 2.5).
- Nu toate serviciile îl suportă. Folosiți atunci o aplicație de autentificare.
- Conturile partajate se potrivesc greu cu passkeys pe un singur dispozitiv personal. Oferiți mai degrabă fiecărei persoane un cont propriu cu un passkey propriu (modulul 7).
- Un dispozitiv deblocat este o ușă deschisă. Protejați-vă telefonul și laptopul cu o blocare bună a ecranului (modulul 5).
De unde începeți? De la conturile cu cea mai mare pagubă dacă sunt preluate: e-mailul dumneavoastră, managerul de parole sau furnizorul de passkeys, găzduirea și înregistrarea domeniului, banca și contabilitatea. Dacă unul dintre aceste servicii oferă passkeys sau chei de securitate, activați-l acolo primul.
Rezumat
- Un passkey este o pereche de chei: cheia privată rămâne la dumneavoastră, site-ul are doar cheia publică. O scurgere la site nu oferă nimic de spart.
- Browserul leagă passkey-ul de domeniul real. Pe un site fals nu există passkey, deci nu există nimic de furat sau de aprobat.
- Passkeys sincronizate vă urmează pe celelalte dispozitive; passkeys legate de dispozitiv (cheie de securitate) rămân pe un singur dispozitiv.
- Înregistrați întotdeauna o cheie de rezervă și păstrați-o într-un alt loc.
- Un passkey este la fel de puternic ca ruta de recuperare și metodele vechi de autentificare care mai sunt încă active.
Test
Exercițiu
Exercițiul D2.4: Primul dumneavoastră passkey sau cheie de securitate. Aflați care dintre conturile dumneavoastră cele mai importante suportă passkeys sau chei de securitate, configurați cel puțin unul și organizați o rezervă. Bifați lista de verificare și răspundeți la întrebările de reflecție.
Exercițiul D2.4: Primul dumneavoastră passkey sau cheie de securitate
Iată cum procedați: (1) Verificați la conturile dumneavoastră cele mai importante (e-mail, manager de parole sau furnizor de passkey, găzduire, înregistrare domeniu, bancă, contabilitate) în setările de securitate dacă acceptă passkeys sau chei de securitate. (2) Alegeți pentru fiecare cont: passkey sincronizat (în sistemul de operare sau în managerul de parole) sau legat de dispozitiv (cheie de securitate). Pentru administrarea găzduirii, a domeniilor și a furnizorului de passkey, de preferință o cheie de securitate. (3) Configurați un passkey sau o cheie pentru cel puțin un cont. (4) Asigurați o soluție de rezervă: o a doua cheie înregistrată și păstrată într-un alt loc, sau, în cazul unui passkey sincronizat, un al doilea dispozitiv și o bună protecție a contului la furnizorul de passkey. (5) Verificați dacă vechea metodă de conectare (parolă cu SMS sau cod) este încă activă. Dezactivați-o dacă este posibil, sau folosiți o parolă lungă și unică. (6) Testați o dată conectarea pe un al doilea dispozitiv (de exemplu, cu codul QR și telefonul dumneavoastră).
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lectură suplimentară
- FIDO Alliance, Passkeys (engleză): https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (engleză, standardul): https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (engleză, glosar de termeni al membrilor FIDO Alliance și W3C): https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, secțiunea despre rezistența la phishing și syncable authenticators (engleză): https://pages.nist.gov/800-63-4/sp800-63b.html
- Autoritatea națională de securitate cibernetică (sursă din Țările de Jos), Cum alegeți o metodă MFA?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode