Aðgangslykill eða lykilorð: samstilling færir áhættuna til veitandans

Aðgangslykill er yfirleitt betri vörn gegn hefðbundnum vefveiðum en lykilorð: FIDO-forskriftirnar lýsa lyklum sem eru einstakir fyrir hverja þjónustu, bundnir við lén hennar og byggja á dulritun með opinberum lyklum. Þegar þjónusta býður upp á slíkan lykil er því skynsamlegt að velja hann. Næsta ákvörðun er hvort einkalykillinn eigi að vera bundinn við tæki eða samstilltur milli tækja.

Samstilling auðveldar aðgang eftir tækjaskipti, en gerir öryggi lyklaveitunnar og endurheimt safnreikningsins að hluta af vörninni. Tækisbundinn lykill minnkar þá háðni, en kallar á varaleið ef tækið glatast. Eigindleg samanburðargreining Büttner og Gruschka fann fleiri öryggiskosti hjá öllum gerðum aðgangslykla en hefðbundnum lykilorðum og taldi öryggi samstilltra lykla að verulegu leyti safnast hjá lyklaveitunni. Matið lýsir eiginleikum innskráningaraðferða, ekki mældri tíðni innbrota hjá einstökum veitendum.

Af hverju ver aðgangslykill gegn falsaðri innskráningarsíðu?

Þjónustan geymir opinberan lykil en tækið notar samsvarandi einkalykil til að undirrita beiðni við innskráningu. Vafrinn tengir beiðnina við uppruna vefsins og auðkennarinn við þá þjónustu sem lykillinn var skráður hjá. Síða á öðru léni getur því ekki fengið undirritað svar sem dugir til innskráningar á rétta vefnum, þótt hún líti eins út. Þessi eiginleiki helst þegar aðgangslykill er samstilltur.

Lykilorð virkar öðruvísi: sá sem slær það inn á falska síðu getur afhent árásaraðila leyndarmál sem má reyna að nota hjá raunverulegu þjónustunni. Einstakt og langt lykilorð dregur úr ágiskun og endurnotkun milli þjónusta, en leysir ekki þann vanda. Aðgangslykill útilokar þó ekki áhættu vegna sýkts tækis, óöruggs vafra eða veikrar varaleiðar inn á reikninginn.

Hvað flyst til lyklaveitunnar við samstillingu?

Samstilltur aðgangslykill er afritaður í gegnum kerfi lyklaveitu svo hægt sé að nota hann á öðrum heimiluðum tækjum. Leiðbeiningar NIST um samstillta auðkenna krefjast dulkóðaðrar geymslu útfluttra lykla, aðgangsstýringar og fjölþátta verndar þegar notandi nálgast lykla í samstillingarkerfinu. Þær lýsa einnig endurheimt reiknings hjá veitunni sem mögulegum veikleika. Þetta eru öryggisviðmið fyrir útfærslu, ekki trygging fyrir því að sérhver lyklaveita uppfylli þau.

Afleiðingin sést við týndan síma. Ef annar sími eða tölva er þegar tengd sama lyklasafni getur eigandinn haldið áfram að nota lykilinn þar. Ef öll heimiluð tæki eru óaðgengileg þarf fyrst að endurheimta aðgang að safnreikningnum og síðan, eftir útfærslu veitunnar, að lyklunum sjálfum. Endurheimt safnreiknings merkir því ekki sjálfkrafa að dulkóðað lyklasafn sé tiltækt; notandi getur þurft sérstakt endurheimtarleyndarmál eða áður tengt tæki.

Hjá samstilltum lyklum skiptir máli hvernig ný tæki eru heimiluð, hvaða auðkenningu þarf við endurheimt og hvort lyklarnir geti verið deildir eða fluttir út. Auðveld leið til að bæta við tæki getur hjálpað réttum eiganda, en einnig aukið áhættu ef reikningur lyklaveitunnar er tekinn yfir. Fyrir vinnureikninga þarf öryggisábyrgðarfólk jafnframt að vita hvort hægt sé að takmarka samstillingu við stýrð tæki og afturkalla aðgang þegar tæki fer úr notkun.

Hvenær er tækisbundinn lykill betri kostur?

Tækisbundinn lykill hentar þegar mikilvægt er að einkalykillinn yfirgefi ekki tiltekinn síma, tölvu eða sérstakan öryggislykil. Þá bætist ekki við sú leið að endurheimta sama lykil úr samstillingarkerfi á nýju tæki. Á móti kemur að bilað eða glatað tæki getur gert lykilinn ónothæfan, svo annar skráður auðkennari eða örugg endurheimtarleið þarf að vera til staðar áður en vandinn kemur upp.

Samanburður bresku netöryggismiðstöðvarinnar ráðleggur varaaðgang fyrir lykla sem eru bundnir við eitt tæki og örugga endurheimt ásamt vefveiðaþolinni vörn fyrir samstillingarreikninginn. Greiningin tekur til persónulegrar notkunar; stofnanir þurfa að meta eigin tæki, aðgangsstýringu og endurheimtarferli. Tveir aðskildir öryggislyklar geta verið raunhæf varaleið fyrir mikilvægan reikning, ef þjónustan leyfir skráningu beggja og sá seinni er geymdur annars staðar.

Ekki nægir að eiga varalykil sem hefur aldrei verið skráður hjá þjónustunni. Hann þarf að vera tengdur reikningnum meðan aðgangur er enn til staðar, annars fer notandinn samt í gegnum endurheimtarferli þjónustunnar. Ef lykilorð stendur áfram opið sem varaleið þarf einnig að verja það, því innskráningin er þá enn háð öryggi lykilorðsins.

Hvar á lykilorðabanki við?

Þegar þjónusta tekur ekki við aðgangslykli er lykilorðabanki skynsamleg leið til að búa til og geyma sérstakt lykilorð fyrir hvern reikning. Ráðleggingar NIST um lykilorðabanka leggja jafnframt áherslu á fjölþátta auðkenningu fyrir bankann sjálfan, þar sem aðgangur að honum opnar mörg lykilorð. Fjölþátta auðkenning hjá hverri vefþjónustu bætir einnig við vörn þar sem hún er í boði.

Sumir lykilorðabankar geyma líka samstillta aðgangslykla. Þá er gagnlegt að aðgreina innskráningaraðferðina frá geymslunni: lykillinn heldur lénsbindingu sinni, en öryggi afritsins og aðgengi á nýju tæki ráðast af bankanum og endurheimt hans. Sami safnreikningur getur því orðið mikilvægur fyrir bæði lykilorð og aðgangslykla. Við val á lykilorðabanka fyrir aðgangslykla skiptir máli hvaða tæki hann styður og hvernig eigandinn kemst aftur inn eftir tap á tæki.

Ákvörðunartré fyrir reikninginn

Byrjaðu á því hvort þjónustan styðji aðgangslykla og hvort þú getir skráð sjálfstæða varaleið. Síðan ræður vægi tækjaskipta, stjórnar á einkalyklinum og endurheimtar hvaða kostur hentar:

• Tækisbundinn aðgangslykill: Veldu hann fyrir reikning þar sem þú vilt halda einkalyklinum á tilteknu tæki og getur skráð annan auðkennara fyrirfram. Sérstakur öryggislykill getur hentað ef þú þarft að flytja auðkenninguna milli tölva án þess að afrita einkalykilinn í samstillingarkerfi.
• Samstilltur aðgangslykill: Veldu hann þegar þú skiptir oft milli eigin tækja eða vilt minnka líkur á útilokun við tap á einu þeirra. Tryggðu að safnreikningur lyklaveitunnar hafi sterka fjölþátta vörn og að endurheimt lyklasafnsins sé framkvæmanleg án týnda tækisins.
• Lykilorðabanki: Veldu hann þegar aðgangslykill er ekki í boði. Notaðu sérstakt lykilorð fyrir hverja þjónustu, virkjaðu fjölþátta auðkenningu og hugsaðu um endurheimt bankans þar sem hann getur geymt aðgang að mörgum reikningum.

Fyrir sérstaklega mikilvægan reikning er varaleiðin hluti af valinu, ekki viðbót eftir á. Berðu saman hvað gerist ef tæki glatast, ef safnreikningur veitunnar læsist og ef þjónustan sjálf býður aðeins endurheimt með lykilorði eða tölvupósti. Þannig verður skýrt hvort þú hefur raunverulega stjórn á aðganginum þegar venjulega innskráningarleiðin bregst.

Lestu einnig:

• 1Password eða Dashlane: leynilykill mætir lykilorðslausri innskráningu
• Proton Pass eða Bitwarden: samnýtt Proton-innskráning breytir áhættunni
• Figma eða Penpot: ókeypis afhending færir reksturinn yfir á teymið