Passkey или апликација за кодови: phishing-от го решава изборот

Ако избирате меѓу passkey и апликација за кодови, passkey е посилниот главен метод кога најмногу ве загрижува фишинг и сервисот го поддржува. Насоките на NIST за автентикатори објаснуваат дека рачно внесен еднократен код може да се препрати од лажна страница до вистинскиот сервис, додека WebAuthn ја врзува најавата за проверениот домен.

Апликацијата што создава временски ограничени кодови, познати како TOTP, сепак е корисна кога сервисот бара лозинка и не нуди passkey. Украдена или повторно употребена лозинка тогаш сама по себе не е доволна за најава. Изборот има и практична страна: важно е дали ќе можете да пристапите до сметката по губење телефон и кои резервни начини за влез ги дозволува сервисот.

Масовен фишинг: зошто кодот може да помине низ лажна страница

TOTP-апликацијата и сервисот користат заедничка тајна за да пресметаат код што важи кратко. Корисникот го препишува кодот во формуларот за најава. Ако формуларот е на посредничка фишинг-страница, напаѓачот може во истиот момент да ги препрати лозинката и свежиот код до вистинскиот сервис. Кратката важност го отежнува подоцнежното користење на кодот, но не го спречува препраќањето во живо.

Кај passkey, автентикаторот користи приватен клуч за да одговори на барањето за најава, а сервисот го проверува одговорот со соодветниот јавен клуч. Поврзувањето со доменот значи дека копија на страницата на друг домен не може да добие одговор што важи за оригиналниот сервис. Класификацијата на FIDO Alliance ги сместува и синхронизираните и passkeys врзани за уред меѓу методите отпорни на фишинг, а TOTP меѓу методите што може да се измамат.

Таа разлика објаснува зошто TOTP добро служи како дополнителна пречка за некој што ја знае само лозинката, но не е ист одговор на убедлива копија од страницата за најава. Со кодот, човекот мора да процени каде го внесува; со passkey, проверката на доменот е дел од самата најава. Затоа фишингот е решавачкиот критериум кога двата метода се достапни за истата сметка.

Компромитиран уред: границата на заштитата

Отпорноста на фишинг се однесува на измамна најава, а не на целосна контрола врз уредот. Во анализата на напади врз FIDO2 авторите испитале компромитиран автентикатор што создава клучеви познати на напаѓачот, како и напад со изменета доверба на прелистувачот во сертификати. Нивниот заклучок е дека успешните напади врз passkeys бараат значителен труд и ресурси; тоа не е гаранција за безбедност ако самиот автентикатор е компромитиран.

Кај TOTP, пристапот до тајната во апликацијата исто така го менува ризикот: оној што ја има може да создава важечки кодови. Во ваква ситуација прашањето за лажен домен веќе не е доволно за избор. Важно е кој има пристап до уредот, до неговото отклучување и до зачуваните автентикатори.

Ако се сомневате дека уредот е преземен, нов телефон сам по себе не ги отстранува методите што останале поврзани со сметката. Потребен е пристап преку доверлив резервен метод за да се прегледаат и отстранат сомнителните автентикатори. Практичната предност на passkey против фишинг останува, но одлуката при компромитиран уред зависи и од тоа дали можете да ја вратите контролата врз сметката.

Нов уред: каде се достапни клучевите и кодовите

Замена на телефон не значи ист исход за сите passkeys. Објаснувањето на FIDO за passkeys наведува дека синхронизиран клуч може да стане достапен на нов уред преку истиот давател, додека клуч врзан за уред останува на уредот на кој е создаден. Физички FIDO безбедносен клуч со однапред додаден passkey може да послужи и при најава од нов уред.

Синхронизацијата ја намалува зависноста од еден телефон, но тогаш пристапот до сметката кај давателот на passkeys станува важен. Ако клучот е врзан за изгубениот уред, потребен е друг веќе регистриран клуч, друг дозволен метод за најава или постапката за враќање што ја нуди сервисот. Ако стариот телефон сè уште е достапен, може да се искористи за најава на нов уред и за додавање нов passkey, зависно од поддршката на сервисот.

И кај TOTP исходот зависи од поставувањето на апликацијата. Ако нејзините тајни се достапни преку синхронизација или претходно зачувана копија, кодовите може повторно да се користат; ако останале само на изгубениот телефон, празна нова инсталација нема сама да ги создаде. Тогаш секоја сметка мора да се поврзе повторно преку преостанат метод за пристап или преку сопствената постапка за враќање.

Враќање сметка: резервниот пат го менува исходот

Сметка што при редовна најава користи passkey може да дозволува и влез со лозинка и код. Ако тој резервен пат остане отворен, напаѓачот може да се обиде да го искористи наместо passkey-најавата. Затоа безбедноста на сметката зависи и од тоа кој може да додаде нов метод, како се докажува идентитетот при губење пристап и дали сопственикот добива известување за промената.

Правилата на NIST за враќање сметка опишуваат зачувани или испратени кодови за враќање, доверливи контакти и повторна проверка на идентитетот, според околностите. Зачуваните кодови се наменети за безбедно чување надвор од уредот што вообичаено се користи за најава; по враќање на сметката се бара известување. Конкретната услуга може да понуди различни опции, па методот за секојдневна најава не кажува сам по себе како ќе се врати пристапот.

TOTP може да биде разумна резерва ако ризикот од губење пристап е голем и сервисот го дозволува како алтернатива. Цената на таа погодност е што лозинка и TOTP остануваат пат за најава подложен на посреднички фишинг. За сметка со повисок ризик, дополнителен независен passkey или физички безбедносен клуч го зачувува отпорот на фишинг и кога главниот уред не е достапен, доколку и постапката за враќање на сервисот е соодветно заштитена.

Избор по ситуација

• Чести лажни страници: користете passkey како главен метод кога сервисот го поддржува. TOTP значително помага против употреба на украдена лозинка без код, но кодот може да биде препратен во жива фишинг-најава.
• Сомнеж за компромитиран уред: приоритет е повторно да воспоставите доверлив пристап и да ги отстраните сомнителните методи. Предноста на passkey против лажен домен не ја решава сама по себе компромитацијата на автентикаторот.
• Нов или изгубен телефон: синхронизиран passkey го олеснува преминот ако имате пристап до неговиот давател. Клуч врзан за изгубениот уред и TOTP без достапна копија бараат друг однапред обезбеден пат.
• Враќање сметка: погледнете кои резервни начини навистина ги дозволува сервисот. Ако лозинка и рачно внесен код можат да го заменат passkey, сметката и понатаму има влез подложен на фишинг.

За сервис што ги нуди двата метода, разумниот избор е passkey за редовна најава и независен, однапред подготвен начин за пристап при губење уред. Кога passkey не е достапен, TOTP е вреден втор фактор покрај лозинката, со јасната граница дека не ја запира посредничката фишинг-страница.

Прочитајте и:

• Passkey или лозинка со 2FA: фишингот не е единствената разлика
• Teal или Jobscan: следењето апликации може да вреди повеќе од ATS-резултат
• Plausible или Umami: 1,8 GB наспроти 400 MB го менува self-hosting изборот