Passord har lenge vært den primære sikkerhetsbarrieren for våre digitale kontoer. Men hvor sikre er egentlig passord når vi ser tilbake?
Mange passord er konstruert av kombinasjoner av kjæledyrnavn, viktige datoer, minneverdige hendelser eller navn – informasjon som ofte er lett tilgjengelig fra våre profiler i sosiale medier.
I tillegg har behovet for å ha unike passord for hver konto, for å minimere skaden ved eventuelle datalekkasjer, gjort passordhåndtering enda mer komplisert.
Bildekilde: blog.google
«Begynnelsen på slutten for passordet» – slik lød tittelen på et blogginnlegg fra Google. Det har i lengre tid vært en diskusjon og pågående innsats for å avvikle passord. Ledende teknologiselskaper som Google, Apple og Microsoft går i front for å erstatte denne foreldede teknologien med passnøkler.
Denne artikkelen vil forklare hva passnøkler er, hvorfor de er et bedre alternativ, og gi en trinnvis veiledning for hvordan du setter opp en passnøkkel på din Google-konto.
Hva er passnøkler?
Passnøkler representerer en ny metode for brukerautentisering som er både sikrere og mer praktisk enn tradisjonelle passord. Ved å eliminere behovet for passord og brukernavn, fjerner passnøkler den gamle autentiseringsmetoden som er sårbar for hacking, phishing, datainnbrudd og andre sikkerhetstrusler.
I motsetning til passord, som krever at man husker en hemmelig kode, bruker passnøkler en passordfri metode. Passnøkler knyttes til bruken av PIN-kode, mønster eller biometriske data som fingeravtrykk eller ansiktsgjenkjenning for å bekrefte identiteten din før du får tilgang til en konto. For å bruke passnøkler, må brukerne ha enheter som støtter denne teknologien.
Til tross for gjentatte råd fra sikkerhetseksperter om å bruke sterke og unike passord for hver konto, bruker mange fortsatt svake passord eller gjenbruker passord på tvers av flere plattformer, noe som øker sårbarheten i passordsystemet.
Utviklingen av passnøkler er et resultat av samarbeid mellom World Wide Web Consortium (W3C) og FIDO Alliance, en organisasjon som har spilt en sentral rolle i arbeidet med å redusere avhengigheten av passord.
Bruken av passnøkler har sitt opphav i de sikkerhetsproblemene som er knyttet til dagens passordteknologi. Disse svakhetene har ført til innføringen av tofaktorautentisering, som skal fungere som et ekstra sikkerhetslag, og den utbredte bruken av passordadministratorer for å hjelpe brukerne med å holde oversikt over alle passordene sine.
Hvordan fungerer passnøkler?
Passnøkler benytter seg av et nettbasert autentiserings-API kalt WebAuthn. WebAuthn bruker en offentlig og privat nøkkel, også kjent som offentlig nøkkelkryptografi, for å bekrefte at brukeren er den rettmessige eieren av en konto.
Tradisjonelle passord kan brukes til å logge inn på kontoen din fra hvor som helst av alle som har tilgang til passordet. Passnøkler sikrer at det kun er du som har tilgang til din konto.
En passnøkkel består av to nøkler: en offentlig og en privat nøkkel. Disse nøklene fungerer sammen som brikker i et puslespill for å låse opp og verifisere brukerens identitet. Den offentlige nøkkelen lagres på den nettsiden eller appen der passnøkkelen opprettes, mens den private nøkkelen lagres sikkert på enheten som ble brukt til å opprette passnøkkelen.
Den private nøkkelen er ikke tilgjengelig eller lagret i skyen, noe som gjør det vanskeligere å hacke den, og dermed øker sikkerheten. La oss si at du vil logge inn på din Google-konto med en passnøkkel.
Google, som nå har din offentlige nøkkel, sender en kryptert utfordring til enheten din.
Når enheten din mottar den krypterte utfordringen, blir du bedt om å låse opp telefonen med PIN-kode, mønster eller ansiktsgjenkjenning. Deretter signeres utfordringen med din private nøkkel og returneres til Google.
Google bekrefter dette med en kopi av den offentlige nøkkelen. Hvis begge nøklene stemmer overens, dekrypteres den krypterte utfordringen, og Google vet at det er deg. I praksis fungerer en passnøkkel på samme måte som 2FA, men enda bedre.
Hvorfor er passnøkler bedre?
Bedre og sterkere enn passord
Passnøkler bruker offentlig nøkkelkryptografi, en sikrere måte å autentisere en bruker på. De er mer motstandsdyktige mot phishing og andre typer angrep sammenlignet med passordbasert autentisering. Den private nøkkelen din deles aldri med skyen, noe som sikrer at bare du har tilgang til kontoen din.
Enkelt og praktisk
I motsetning til passord, som krever at du husker dem nøyaktig med store og små bokstaver, kan du med passnøkler stole på en biometrisk sensor for å verifisere identiteten din. Dette håndterer sending og autentisering av identiteten din, og frigjør deg fra å måtte huske passordene dine.
Null risiko for brudd
Selv om både den offentlige og den private nøkkelen kreves for å bekrefte identiteten din, og den offentlige nøkkelen er offentlig tilgjengelig, kan den offentlige nøkkelen ikke brukes til å få tilgang til den private nøkkelen i tilfelle et brudd, noe som gjør kontoen din sikker.
Forbedret brukeropplevelse
Passnøkler eliminerer behovet for å huske alle passordene dine, og fjerner risikoen for å glemme et passord og miste tilgang til kontoen din. Dette gjør autentisering mer brukervennlig og sømløs.
Sette opp en passnøkkel på Google-kontoen din
Google annonserte implementeringen av passnøkler under Verdens passorddag i 2022. Brukere har nå muligheten til å aktivere en passnøkkel for å erstatte den tradisjonelle passordbaserte autentiseringen. I denne delen skal vi se på en trinn-for-trinn-guide for å aktivere passnøkkel på din eksisterende Google-konto.
Nå er passnøkkel aktivert og du er passordfri.
Aktiver passnøkkel på mobil (Android)
Er passordet dødt?
Det vil ta tid før denne nye teknologien blir allment tatt i bruk. Inntil videre vil vi nok se at passord fortsatt brukes av de fleste. Men etter hvert som flere selskaper hopper på den passordfrie trenden, kan passord gradvis bli faset ut.
Konklusjon
Passnøkler er en velkommen teknologi, der den offentlige nøkkelen fungerer som en lås som er offentlig tilgjengelig, men som bare kan låses opp av personen med den riktige nøkkelen (den private nøkkelen), som holdes hemmelig. På sikt vil fordelene med passnøkler oppveie ulempene.
Etter hvert som flere selskaper tar i bruk passnøkler som et middel for autentisering, vil flere brukere følge etter når fordelene blir tydeligere.
Du kan også lese om hvordan du implementerer passnøkler/FIDO-autentisering i dine egne applikasjoner.