Passkey, nebo autentizační aplikace: odolnost proti phishingu není obnova účtu

Pro ochranu přihlášení před phishingem zvolte passkey, pokud ho služba nabízí. Kód z autentizační aplikace lze opsat na podvrženou stránku; passkey váže kryptografické přihlášení ke skutečné službě. FIDO Alliance rozlišuje passkeys synchronizované mezi zařízeními a ty, které zůstávají vázané na jedno zařízení.

Při výměně nebo ztrátě telefonu rozhoduje jiná otázka: zda máte další přihlašovací prostředek a bezpečnou cestu k obnově účtu. Pro běžný účet bývá praktický synchronizovaný passkey s dobře chráněným účtem u jeho poskytovatele. Pro administrátorský nebo mimořádně citlivý účet stojí za zvážení passkey vázaný na zařízení, například hardwarový bezpečnostní klíč, a samostatná záloha.

Proč passkey odolává podvržené stránce

Autentizační aplikací se v tomto srovnání rozumí aplikace vytvářející časově omezené jednorázové kódy. Kód zpravidla doplňuje heslo: uživatel oba údaje zadá do formuláře a služba je ověří. Útočník může připravit věrohodnou kopii formuláře a právě získané údaje okamžitě předat skutečné službě. Krátká platnost kódu tento postup ztěžuje, ale sama mu nebrání.

U passkey uchovává služba veřejný klíč a soukromý klíč používá zařízení uživatele k potvrzení přihlášení. PIN nebo biometrie mohou klíč v zařízení odemknout; služba od uživatele nedostává kód k opsání. Pro podvrženou doménu zařízení nevytvoří platnou odpověď určenou skutečné doméně. Tato vlastnost chrání samotné přihlášení, nikoli každou další cestu, kterou služba dovoluje získat přístup k účtu.

Srovnávat je proto třeba celé dostupné přihlášení. Heslo doplněné kódem z aplikace je užitečné tam, kde passkey chybí. Jestliže však služba vedle passkey stále přijímá heslo a opisovaný kód, může útočník zkusit právě tuto alternativu. Záleží také na pravidlech pro přidání nového přihlašovacího prostředku.

Matice hrozeb: phishing, napadení a ztráta zařízení

Výhoda se mění podle situace. Pro podvržený formulář je rozhodující vazba přihlášení na doménu; při ztrátě telefonu dostupnost zálohy. Napadení samotného zařízení a převzetí obnovy představují další, odlišná rizika:

• Phishing: Opisovaný kód lze předat útočníkovi současně s heslem. Passkey odolává běžné podvržené stránce, protože odpověď pro její doménu nelze použít jako přihlášení ke skutečné službě. Pokud účet nabízí slabší alternativu, je nutné počítat i s ní.
• Napadené zařízení: Ochrana proti běžnému phishingu nezaručuje bezpečí zařízení, které přihlášení provádí. Autoři experimentální studie útoků na FIDO2 předvedli útok s napadeným autentizátorem a scénář se změnou důvěry certifikátů v prohlížeči. Oba vyžadují zásah podstatně hlubší než vytvoření falešné přihlašovací stránky.
• Ztráta zařízení: Passkey uložený výhradně ve ztraceném telefonu není k dispozici, dokud se uživatel nepřihlásí jiným prostředkem. Synchronizovaný passkey může být dostupný na dalším zařízení nebo po obnovení přístupu u poskytovatele. Také aplikace s jednorázovými kódy může umožňovat přenos či zálohu; rozhoduje konkrétní nastavení.
• Kompromitace obnovy: Útočník se může pokusit získat přístup přes obnovovací e-mail, vydaný kód nebo podporu služby. V takovém případě nemusí překonat passkey ani získat kód z aplikace: zneužívá pravidla pro nahrazení ztraceného prostředku.

Co synchronizace usnadní a komu svěříte přístup

Synchronizovaný passkey snižuje závislost na jediném telefonu. Při jeho výměně může být přihlašovací údaj dostupný na jiném zařízení nebo prostřednictvím správce passkeys, pokud uživatel splní podmínky poskytovatele. Tento postup je pohodlný zejména u běžných osobních účtů, kde by ztráta jediného prostředku snadno vedla k obnově přes podporu služby.

Synchronizace zároveň soustřeďuje důležitou část ochrany u správce passkeys. Srovnávací výzkum obou typů passkey upozorňuje, že bezpečnost synchronizované varianty závisí ve značné míře na poskytovateli. Záleží tedy na ochraně účtu u něj, na pravidlech pro připojení dalšího zařízení a na jeho vlastní obnově. Kdo ztratí telefon i přístup k tomuto účtu, nemusí mít ze synchronizace okamžitý užitek.

Passkey vázaný na zařízení tuto závislost na synchronizaci omezuje. Při ztrátě nebo poškození zařízení však nepřejde sám na náhradní telefon. Samostatný bezpečnostní klíč lze používat s dalšími zařízeními, ale i pro něj je vhodné zaregistrovat nezávislou zálohu. U citlivého účtu má smysl předem zjistit, zda služba dovoluje rozlišit synchronizovaný passkey od prostředku vázaného na zařízení.

Obnova účtu má vlastní pravidla

Když uživatel ztratí všechny dostupné přihlašovací prostředky, služba musí jinak ověřit, komu účet patří. Pravidla NIST pro obnovu účtu popisují uložené a nově vydané obnovovací kódy, předem určené kontakty i opakované ověření totožnosti. Konkrétní služba může nabízet jen některé z těchto možností a mít vlastní podmínky pro přidání náhradního autentizátoru.

Dokud přihlášení funguje, zjistěte, zda můžete zaregistrovat další passkey nebo bezpečnostní klíč a kde získáte obnovovací kódy. Kód určený pro případ ztráty telefonu uložte odděleně od něj. Pokud synchronizované passkeys spravuje účet, k němuž se přihlašujete týmž telefonem, potřebuje vlastní nezávislou cestu k obnově.

Stejně důležité je ověřit, zda zůstalo povolené přihlášení heslem a kódem nebo reset přes e-mail. Každá taková cesta může ovlivnit celkovou ochranu, i když při každodenním přihlášení používáte passkey. U účtů, které si mají uchovat vysokou míru ochrany, proto záleží také na tom, kdo smí schválit nový prostředek a jak se ověřuje žádost o obnovu. Riziko slabé obnovy účtu trvá bez ohledu na sílu běžného přihlášení.

Volba pro běžný, administrátorský a citlivý účet

• Běžný osobní účet: Pokud služba nabízí passkey, dejte mu přednost před heslem s opisovaným kódem. Synchronizace obvykle usnadní výměnu telefonu. Součástí volby je ochrana účtu u poskytovatele passkeys a dostupná záloha pro případ, že ztratíte všechna přihlášená zařízení.
• Administrátorský účet: Zvažte passkey vázaný na hardwarový bezpečnostní klíč a předem zaregistrujte další nezávislý klíč. V malé firmě určete, kdo záložní prostředek spravuje a jak se schvaluje obnovení přístupu. Prověřte také povolené náhradní přihlášení, protože může obejít ochranu používanou při běžné práci.
• Účet s mimořádně citlivými daty: Pokud to služba podporuje, upřednostněte prostředek vázaný na zařízení a odděleně uloženou zálohu. Zjistěte, za jakých podmínek lze přidat nový autentizátor a co se stane po ztrátě všech dosavadních. Volba bezpečnostního klíče má smysl jen spolu s obnovou odpovídající citlivosti účtu.

Přečtěte si také:

• Passkey, nebo heslo: ochranu může zrušit slabá obnova účtu
• Dropbox, nebo Google Drive: levnější prostor může prohrát při synchronizaci
• Tři AI tarify proti sobě: rozhodují limity, ne jen nejlepší model