GitHubin passkey ohittaa salasanan ja 2FA-koodin – lisää se turvallisesti

GitHubin 2FA-ohjeen mukaan passkey täyttää selainkirjautumisessa sekä salasanan että toisen tekijän vaatimukset, kun kaksivaiheinen tunnistautuminen on käytössä. Lisää avainkoodi henkilökohtaisen tilisi Password and authentication -asetuksista kohdasta Passkeys. Sen jälkeen voit kirjautua ilman salasanan ja erillisen 2FA-koodin syöttämistä.

Pelkäksi toiseksi tekijäksi rekisteröity turva-avain ei anna samaa kirjautumistapaa. Jos käytät jo FIDO-tunnistinta, voit yrittää päivittää sen passkeyksi vain, jos tunnistin ja käyttämäsi laiteympäristö tukevat sitä. Säilytä toimiva kirjautumistapa ja palautuskoodit, kunnes uusi passkey näkyy asetuksissa ja olet kirjautunut sillä onnistuneesti.

Valitse avainkoodille sopiva tunnistin

Passkey voi olla puhelimessa, tietokoneen omassa tunnistimessa, salasananhallinnassa tai FIDO2-laiteturva-avaimessa. Käyttö vahvistetaan tunnistimen tukemalla tavalla, esimerkiksi laitteen PIN-koodilla tai biometrisellä tunnistuksella. Valitse menetelmä, johon pääset käsiksi myös silloin, kun vaihdat tietokonetta tai käytät GitHubia toisella laitteella.

Synkronoitava avainkoodi voi olla käytettävissä saman avainkoodipalvelun muilla laitteilla. Laitteeseen sidottu avainkoodi pysyy sitä säilyttävässä tunnistimessa; esimerkiksi FIDO2-laiteturva-avaimelle tallennettu passkey kulkee avaimen mukana, mutta sitä ei synkronoida toiseen avaimeen. GitHubin asetuksissa Synced-merkintä auttaa erottamaan synkronoidun avaimen laitteeseen sidotusta.

Passkey koskee GitHubin selainkirjautumista. Se ei korvaa Gitin komentorivikäytössä tarvittavaa SSH-avainta tai HTTPS-yhteyden tunnistautumistapaa. Tämä ero kannattaa pitää mielessä, jos käytät samaa fyysistä turva-avainta sekä selaimessa että muissa kehitystyön tunnistautumisissa.

Lisää passkey GitHubin asetuksissa

GitHubin avainkoodien hallintaohje kuvaa seuraavan selainpolun henkilökohtaiselle tilille. Pidä valitsemasi puhelin, laitetunnistin tai turva-avain saatavilla ennen aloittamista.

1. Avaa GitHubissa profiilikuvasi valikko oikeasta yläkulmasta ja valitse Settings.
2. Valitse sivupalkin Access-osiosta Password and authentication.
3. Etsi Passkeys ja valitse Add a passkey.
4. Vahvista henkilöllisyytesi salasanalla tai toisella tilillä jo käytössä olevalla menetelmällä, jos GitHub pyytää sitä.
5. Tarkista Configure passwordless authentication -näkymä ja valitse Add passkey. Noudata sitten selaimen, käyttöjärjestelmän tai avainkoodipalvelun ohjeita.
6. Tarkista rekisteröinnin onnistumisilmoitus ja päätä toiminto valitsemalla Done.

Varmista vielä, että uusi merkintä näkyy Passkeys-luettelossa. Jos tunnistimen vahvistusikkuna sulkeutui kesken toiminnon, luettelon tarkistaminen kertoo enemmän kuin pelkkä laitteen ilmoitus. Pidä nykyinen selainistunto auki, kun kokeilet uutta kirjautumistapaa toisessa istunnossa.

Kokeile kirjautumista ja sudo-vahvistusta

Avaa GitHubin kirjautumissivu toisessa selainistunnossa ja valitse Sign in with a passkey. Valitse rekisteröimäsi avainkoodi ja tee tunnistimen pyytämä paikallinen vahvistus. Onnistuneessa kirjautumisessa salasanaa ja erillistä 2FA-koodia ei kysytä.

Jos avainkoodi on puhelimessa mutta kirjaudut tietokoneella, selain voi tarjota läheisen laitteen käyttöä. Tällöin voit tunnistimen mukaan skannata QR-koodin tai hyväksyä pyynnön puhelimessa. Synkronoitu avainkoodi voi puolestaan löytyä suoraan toisesta laitteesta, jos siinä on käytössä sama avainkoodipalvelu. Valitse kirjautumisikkunassa se tunnistin, johon juuri rekisteröit avaimen.

GitHub pyytää arkaluonteisten tilitoimintojen yhteydessä joskus uutta vahvistusta, vaikka olisit jo kirjautunut sisään. Tätä kutsutaan sudo-tilaksi, ja rekisteröity passkey kelpaa myös sen vahvistamiseen. Pyyntö voi tulla esimerkiksi silloin, kun muutat tilin turvallisuusasetuksia; se on erillinen vahvistus jo alkaneessa istunnossa.

Päivitä vanha turva-avain vain, jos se kelpaa

Jos tilillesi on jo rekisteröity turva-avain 2FA-menetelmäksi, kelvollisen tunnistimen voi päivittää passkeyksi. Käytä laitetta, johon nykyinen turva-avain on liitetty, ja avaa asetusten Passkeys-kohdasta Add a passkey. Jos GitHub tunnistaa päivitettävän rekisteröinnin, tarkista ehdotetun avaimen nimi, valitse Upgrade to passkey ja suorita tunnistimen vahvistus.

Äskettäin käytetyn, päivitykseen kelpaavan turva-avaimen vieressä voi näkyä oma päivityspainike. Sen puuttuminen ei yksin tarkoita, ettei avain kelpaisi: päivitystä voi yrittää myös Add a passkey -polusta. Selaimen ja käyttöjärjestelmän tuki vaihtelee. Jos vanhan rekisteröinnin päivitys epäonnistuu, GitHub ehdottaa avaimen poistamista ja rekisteröimistä uudelleen; varmista ensin, että pääset tilillesi toisella menetelmällä.

Kaikki FIDO-tunnistimet eivät sovellu passkeyksi. Jos tunnistin voidaan lisätä vain Security keys -kohtaan, se toimii salasanan jälkeisenä toisena tekijänä: käyttäjän läsnäolon vahvistaminen ei yksin tee siitä salasanatonta kirjautumistapaa. Jätä toimiva 2FA-avain paikalleen ja kokeile passkeyn lisäämiseen toista tunnistinta, jos nykyinen ei kelpaa.

Säilytä pääsy tilille laitteen katoamisen varalta

GitHubin palautumisohje neuvoo säilyttämään palautuskoodit turvallisesti ja määrittämään useamman tunnistautumismenetelmän. Tarkista varakeinot ennen kuin poistat vanhan avaimen tai vaihdat ensisijaisen laitteen.

• Avaa Password and authentication -sivun Recovery codes -kohdasta View ja varmista, että saat koodit tarvittaessa käyttöösi. Tallenna ne turvalliseen paikkaan äläkä jaa niitä muille.
• Säilytä toinen toimiva tunnistautumismenetelmä, kuten TOTP-sovellus tai erillinen passkey. Jos käytät vain laitteeseen sidottuja avainkoodeja, rekisteröi avaimet eri laitteille.
• Tarkista Passkeys-luettelosta, onko avain merkitty Synced-merkinnällä. Kadonneessa tai tyhjennetyssä laitteessa ollutta laitteeseen sidottua avainkoodia ei voi palauttaa itse avaimena.
• Jos luot uudet palautuskoodit, korvaa tallettamasi vanhat koodit. Uuden sarjan luominen mitätöi aiemman sarjan.

Jos puhelin tai laiteturva-avain katoaa, käytä ensin tililläsi jo olevaa toista kirjautumistapaa tai tallettamiasi palautuskoodeja. Poista kadonneen tunnistimen passkey tilin asetuksista, kun olet saanut pääsyn takaisin, ja rekisteröi uusi avain vasta sen jälkeen.

Lue myös:

• GitHub Actions ilman AWS-avaimia – OIDC vaatii tarkan trust policyn
• Google-tilin salasana voi jäädä pois – näin avainkoodi otetaan turvallisesti käyttöön
• GitHub Actions vai GitLab CI? Minuutit peittävät todellisen laskun