Ενότητα 2 · 2.4
Passkeys και κλειδιά ασφαλείας
Ενότητα 2: Κωδικοί πρόσβασης και σύνδεση · Χρόνος ανάγνωσης: 10 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε γιατί τα passkeys και τα κλειδιά ασφαλείας είναι ανθεκτικά σε phishing, να αναφέρετε τη διαφορά ανάμεσα σε συγχρονισμένα και προσαρτημένα σε συσκευή passkeys και να αποφασίσετε πότε να τα χρησιμοποιήσετε.
Βασικές έννοιες: passkey, FIDO2, WebAuthn, δημόσιο και ιδιωτικό κλειδί, δέσμευση στο domain, κλειδί ασφαλείας, συγχρονισμένο passkey, προσαρτημένο σε συσκευή passkey
Το πρόβλημα με οτιδήποτε πληκτρολογείτε
Στο μάθημα 2.3 είδατε ότι ένας κωδικός από μια εφαρμογή ή sms δεν σας προστατεύει από έναν καλοφτιαγμένο ψεύτικο ιστότοπο. Εσείς πληκτρολογείτε τον κωδικό στο rnijnbank.example, ο απατεώνας τον προωθεί μέσα σε λίγα δευτερόλεπτα στο mijnbank.example και αποκτά πρόσβαση. Το αδύναμο σημείο είναι πάντα το ίδιο: εσείς πρέπει να κρίνετε αν βρίσκεστε στον πραγματικό ιστότοπο. Ένας άνθρωπος που βιάζεται ή βλέπει μια πειστική σελίδα, αργά ή γρήγορα θα κάνει αυτό το λάθος.
Τα passkeys και τα κλειδιά ασφαλείας αφαιρούν αυτή την απόφαση από εσάς. Δεν ελέγχετε εσείς τη διεύθυνση, αλλά το πρόγραμμα περιήγησής σας και η συσκευή σας. Και δεν υπάρχει τίποτα για να το πληκτρολογήσετε ή να το προωθήσετε.
Τι είναι ένα passkey
Ένα passkey είναι ένα μέσο σύνδεσης που αντικαθιστά έναν κωδικό πρόσβασης. Η FIDO Alliance, ο οργανισμός πίσω από το πρότυπο, το περιγράφει ως αντικατάσταση του κωδικού πρόσβασης που ξεκλειδώνετε με τον ίδιο τρόπο που ξεκλειδώνετε τη συσκευή σας: με το δαχτυλικό σας αποτύπωμα, το πρόσωπό σας ή το pin σας.
Τεχνικά, ένα passkey είναι ένα ζεύγος κλειδιών:
- ένα ιδιωτικό κλειδί που παραμένει στη συσκευή σας (ή στον διαχειριστή κωδικών πρόσβασης, δείτε παρακάτω) και δεν φτάνει ποτέ στον ιστότοπο·
- ένα δημόσιο κλειδί που φυλάσσει ο ιστότοπος.
Ό,τι έχει υπογραφεί με το ιδιωτικό κλειδί, μπορεί ο ιστότοπος να το ελέγξει με το δημόσιο κλειδί. Όμως με το δημόσιο κλειδί δεν μπορείτε εσείς οι ίδιοι να υπογράψετε τίποτα. Αν διαρρεύσει η βάση δεδομένων του ιστότοπου, ο επιτιθέμενος έχει στα χέρια του μόνο δημόσια κλειδιά, με τα οποία δεν μπορεί να συνδεθεί. Άρα δεν υπάρχει τίποτα να σπάσει, όπως συνέβαινε με τους διαρρευσμένους κωδικούς πρόσβασης στο μάθημα 2.1.
Η τεχνολογία ονομάζεται FIDO2. Το τμήμα που βρίσκεται στο πρόγραμμα περιήγησής σας λέγεται WebAuthn, ένα πρότυπο του W3C (της κοινοπραξίας που δημιουργεί πρότυπα για τον ιστό). Το τμήμα ανάμεσα στον υπολογιστή σας και σε ένα ξεχωριστό κλειδί ασφαλείας ονομάζεται CTAP.
Έτσι γίνεται η σύνδεση
- Στο
mijnbank.exampleεπιλέγετε «Σύνδεση με passkey». - Ο ιστότοπος στέλνει μια τυχαία πρόκληση: έναν αριθμό που χρησιμοποιείται μόνο μία φορά.
- Το πρόγραμμα περιήγησής σας δίνει αυτή την πρόκληση στη συσκευή σας, μαζί με το domain στο οποίο βρίσκεστε.
- Η συσκευή σας σάς ζητά να ξεκλειδώσετε: δάχτυλο, πρόσωπο ή pin. Αυτός ο έλεγχος γίνεται στη συσκευή σας. Το δαχτυλικό σας αποτύπωμα δεν φτάνει ποτέ στον ιστότοπο· ο ιστότοπος μαθαίνει μόνο ότι ο έλεγχος πέτυχε.
- Η συσκευή σας υπογράφει την πρόκληση με το ιδιωτικό κλειδί που αντιστοιχεί στο
mijnbank.example. - Ο ιστότοπος ελέγχει την υπογραφή με το δικό σας δημόσιο κλειδί. Αν ταιριάζει, συνδέεστε.
Γιατί ένα passkey δεν λειτουργεί σε έναν ψεύτικο ιστότοπο
Κατά τη δημιουργία του, ένα passkey συνδέεται με το domain του ιστότοπου. Στο WebAuthn αυτό ονομάζεται Relying Party ID: το passkey ανήκει στο mijnbank.example (και ενδεχομένως στα subdomains του) και σε τίποτα άλλο. Το πρόγραμμα περιήγησης καθορίζει ποιο domain αναγράφεται στο αίτημα, όχι ο ιστότοπος. Ένας ψεύτικος ιστότοπος δεν μπορεί να το παραποιήσει.
Αν φτάσετε μέσω ενός phishing email στο https://rnijnbank.example ή στο https://mijnbank.example.inlog-check.example, τότε συμβαίνει το εξής:
- Ο ψεύτικος ιστότοπος ζητά ένα passkey.
- Το πρόγραμμα περιήγησής σας αναζητά ένα passkey για αυτό το συγκεκριμένο domain. Δεν υπάρχει.
- Λαμβάνετε ένα μήνυμα όπως «δεν υπάρχει passkey για αυτόν τον ιστότοπο» ή μια κενή λίστα επιλογών.
Δεν υπάρχει τίποτα που να μπορείτε να εγκρίνετε ή να πληκτρολογήσετε κατά λάθος. Ακόμα κι αν εσείς δεν αντιληφθείτε τον ψεύτικο ιστότοπο, το passkey δεν λειτουργεί εκεί. Αυτό εννοούμε με τον όρο ανθεκτικό σε phishing. Το NIST το επιβεβαιώνει επίσης: η ανθεκτικότητα σε phishing απαιτεί κρυπτογραφική ταυτοποίηση· οι κωδικοί πρόσβασης, οι κωδικοί που πληκτρολογείτε και τα μηνύματα έγκρισης δεν την παρέχουν.
Σε έναν ιστότοπο όπου πάντα συνδέεστε με passkey, λαμβάνετε ξαφνικά μόνο ένα πεδίο κωδικού πρόσβασης ή σας ζητείται «απλώς ένας κωδικός από την εφαρμογή σας»; Αυτό είναι προειδοποιητικό σημάδι. Ελέγξτε τη διεύθυνση.
Συγχρονισμένο ή προσαρτημένο σε συσκευή
Υπάρχουν δύο είδη passkeys. Η διαφορά βρίσκεται στο πού «ζει» το ιδιωτικό κλειδί.
| Συγχρονισμένο passkey | Προσαρτημένο σε συσκευή passkey | |
|---|---|---|
| Πού βρίσκεται το ιδιωτικό κλειδί; | Σε έναν πάροχο passkey: το κλειδοθήκη του λειτουργικού σας συστήματος ή τον διαχειριστή κωδικών πρόσβασής σας, που το αντιγράφει κρυπτογραφημένο στις άλλες συσκευές σας | Σε μία συσκευή, για παράδειγμα ένα κλειδί ασφαλείας, και δεν μπορεί να φύγει από εκεί |
| Νέο τηλέφωνο; | Το passkey έρχεται μαζί όταν συνδέεστε στον πάροχό σας | Πρέπει να δημιουργήσετε νέο passkey στη νέα συσκευή |
| Χάσατε τη συσκευή; | Κανένα πρόβλημα όσο ο λογαριασμός σας στον πάροχο είναι ασφαλής | Χωρίς εφεδρικό κλειδί, μένετε εκτός |
| Αδύναμο σημείο | Ο λογαριασμός στον πάροχό σας: όποιος αποκτήσει πρόσβαση εκεί, έχει όλα τα passkeys σας | Απώλεια· χρειάζεστε εφεδρικό κλειδί |
| Κατάλληλο για | Σχεδόν όλους τους συνηθισμένους λογαριασμούς | Λογαριασμούς διαχειριστή, hosting, καταχώριση domain, τράπεζα, τον ίδιο τον λογαριασμό του παρόχου |
Στο πρότυπο WebAuthn, ένα συγχρονισμένο passkey ονομάζεται «multi-device credential». Η FIDO Alliance χαρακτηρίζει τα προσαρτημένα σε συσκευή passkeys πάνω σε ένα κλειδί ασφαλείας ως τη μορφή με την υψηλότερη βεβαιότητα, και συνιστά επίσης ένα κλειδί ασφαλείας ως μέσο ανάκτησης αν χάσετε την πρόσβαση στις συγχρονισμένες συσκευές σας.
Αν χρησιμοποιείτε συγχρονισμένα passkeys, προστατέψτε επιπλέον καλά τον λογαριασμό του παρόχου σας: ισχυρός κωδικός πρόσβασης, έλεγχος ταυτότητας δύο παραγόντων (2FA) και κατά προτίμηση ένα δικό σας κλειδί ασφαλείας.
Κλειδιά ασφαλείας
Ένα κλειδί ασφαλείας είναι μια μικρή συσκευή που συνδέετε σε μια θύρα usb ή πλησιάζετε στο τηλέφωνό σας (NFC). Σε αυτό βρίσκονται προσαρτημένα σε συσκευή passkeys. Η σύνδεση γίνεται αγγίζοντας το κλειδί, συχνά με έναν pin κωδικό του ίδιου του κλειδιού ή με δαχτυλικό αποτύπωμα πάνω στο κλειδί.
Υπάρχουν διάφοροι κατασκευαστές· κατά την επιλογή προσέξτε την υποστήριξη FIDO2, τη σύνδεση που χρειάζεστε (USB-A, USB-C, NFC) και αν υποστηρίζει pin κωδικό ή δαχτυλικό αποτύπωμα.
Ο πιο σημαντικός κανόνας: καταχωρίστε πάντα τουλάχιστον δύο κλειδιά. Το δεύτερο είναι το εφεδρικό σας κλειδί. Το συνδέετε σε κάθε υπηρεσία, όπως και το πρώτο, και το φυλάσσετε σε διαφορετικό μέρος, για παράδειγμα στο σπίτι σε ένα συρτάρι ή σε ένα χρηματοκιβώτιο. Αν χάσετε το καθημερινό σας κλειδί, συνδέεστε με το εφεδρικό, αφαιρείτε το χαμένο κλειδί από τους λογαριασμούς σας και αγοράζετε ένα νέο δεύτερο. Ένα κλειδί δεν μπορεί να αντιγραφεί· αυτός είναι ακριβώς ο σκοπός του.
Σύνδεση σε άλλον υπολογιστή
Θέλετε να συνδεθείτε σε ένα laptop, αλλά το passkey σας βρίσκεται στο τηλέφωνό σας. Τότε το πρόγραμμα περιήγησης συχνά προσφέρεται να εμφανίσει έναν κωδικό QR. Τον σαρώνετε με το τηλέφωνό σας και ξεκλειδώνετε εκεί. Η FIDO Alliance ονομάζει αυτό cross-device authentication. Το τηλέφωνο ελέγχει μέσω Bluetooth αν βρίσκεται πράγματι κοντά στο laptop. Κάποιος που έχει μόνο μια φωτογραφία του κωδικού QR, δεν μπορεί επομένως να συνδεθεί εξ αποστάσεως με αυτόν.
Παγίδες και πότε να τα χρησιμοποιήσετε
Τα passkeys είναι ένα μεγάλο βήμα μπροστά, αλλά δεν είναι μαγικά:
- Ο κωδικός πρόσβασης συχνά εξακολουθεί να υπάρχει. Πολλές υπηρεσίες σάς επιτρέπουν να συνδέεστε, εκτός από το passkey, και με κωδικό πρόσβασης συν κωδικό. Ένας απατεώνας θα δοκιμάσει τότε αυτόν τον δρόμο. Αν είναι δυνατόν, απενεργοποιήστε τους παλιούς τρόπους σύνδεσης ή κάντε τον κωδικό πρόσβασης μακρύ και μοναδικό.
- Η ανάκτηση είναι ο πιο αδύναμος κρίκος. Αν κάποιος μπορεί να παρακάμψει το passkey σας με ένα email «ξέχασα τον κωδικό πρόσβασης» ή ένα τηλεφώνημα στο help desk, τότε ο λογαριασμός σας είναι τόσο ισχυρός όσο αυτή η διαδρομή ανάκτησης. Ελέγξτε ποια στοιχεία ανάκτησης υπάρχουν (μάθημα 2.5).
- Δεν υποστηρίζει κάθε υπηρεσία αυτή τη δυνατότητα. Χρησιμοποιήστε τότε μια εφαρμογή ελέγχου ταυτότητας.
- Οι κοινόχρηστοι λογαριασμοί ταιριάζουν δύσκολα με passkeys σε μία προσωπική συσκευή. Δώστε μάλλον σε όλους έναν δικό τους λογαριασμό με δικό του passkey (ενότητα 7).
- Μια ξεκλειδωμένη συσκευή είναι μια ανοιχτή πόρτα. Προστατέψτε το τηλέφωνο και το laptop σας με ένα καλό κλείδωμα οθόνης (ενότητα 5).
Από πού ξεκινάτε; Από τους λογαριασμούς με τη μεγαλύτερη ζημιά αν καταληφθούν: το email σας, τον διαχειριστή κωδικών πρόσβασης ή τον πάροχο passkey σας, το hosting και την καταχώριση domain, την τράπεζα και τη λογιστική. Αν μία από αυτές τις υπηρεσίες προσφέρει passkeys ή κλειδιά ασφαλείας, ενεργοποιήστε το εκεί πρώτα.
Σύνοψη
- Ένα passkey είναι ένα ζεύγος κλειδιών: το ιδιωτικό κλειδί παραμένει σε εσάς, ο ιστότοπος έχει μόνο το δημόσιο κλειδί. Μια διαρροή στον ιστότοπο δεν δίνει τίποτα να σπάσει.
- Το πρόγραμμα περιήγησης συνδέει το passkey με το πραγματικό domain. Σε έναν ψεύτικο ιστότοπο δεν υπάρχει passkey, άρα δεν υπάρχει τίποτα να κλαπεί ή να εγκριθεί.
- Τα συγχρονισμένα passkeys ακολουθούν τις άλλες συσκευές σας· τα προσαρτημένα σε συσκευή passkeys (κλειδί ασφαλείας) παραμένουν σε μία συσκευή.
- Καταχωρίστε πάντα ένα εφεδρικό κλειδί και φυλάξτε το σε διαφορετικό μέρος.
- Ένα passkey είναι τόσο ισχυρό όσο η διαδρομή ανάκτησης και οι παλιοί τρόποι σύνδεσης που παραμένουν ενεργοί.
Κουίζ
Άσκηση
Άσκηση D2.4: Το πρώτο σας passkey ή κλειδί ασφαλείας. Βρείτε ποιοι από τους σημαντικότερους λογαριασμούς σας υποστηρίζουν passkeys ή κλειδιά ασφαλείας, ρυθμίστε ένα σε τουλάχιστον έναν από αυτούς και φροντίστε για εφεδρικό. Σημειώστε τη λίστα ελέγχου και απαντήστε στις ερωτήσεις αναστοχασμού.
Άσκηση D2.4: Το πρώτο σας passkey ή κλειδί ασφαλείας
Έτσι το αντιμετωπίζετε: (1) Ελέγξτε στις ρυθμίσεις ασφαλείας των σημαντικότερων λογαριασμών σας (email, διαχειριστής κωδικών πρόσβασης ή πάροχος passkey, φιλοξενία hosting, καταχώριση domain, τράπεζα, λογιστική) αν υποστηρίζουν passkeys ή κλειδιά ασφαλείας. (2) Επιλέξτε για κάθε λογαριασμό: συγχρονισμένο passkey (στο λειτουργικό σύστημά σας ή στον διαχειριστή κωδικών πρόσβασης) ή συνδεδεμένο με συσκευή (κλειδί ασφαλείας). Για τη διαχείριση φιλοξενίας, domain και τον πάροχο passkey σας, προτιμήστε ένα κλειδί ασφαλείας. (3) Ρυθμίστε σε τουλάχιστον έναν λογαριασμό ένα passkey ή κλειδί. (4) Φροντίστε για εφεδρεία: ένα δεύτερο κλειδί καταχωρισμένο και φυλαγμένο σε άλλο σημείο, ή σε περίπτωση συγχρονισμένου passkey, μια δεύτερη συσκευή και καλή προστασία του λογαριασμού σας στον πάροχο. (5) Ελέγξτε αν ο παλιός τρόπος σύνδεσης (κωδικός πρόσβασης με sms ή κωδικό) εξακολουθεί να είναι ενεργός. Απενεργοποιήστε τον αν είναι δυνατόν, ή κάντε τον κωδικό πρόσβασης μακρύ και μοναδικό. (6) Δοκιμάστε μία φορά τη σύνδεση σε δεύτερη συσκευή (για παράδειγμα με τον κωδικό QR και το τηλέφωνό σας).
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Για περαιτέρω μελέτη
- FIDO Alliance, Passkeys (στα αγγλικά): https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (στα αγγλικά, το πρότυπο): https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (στα αγγλικά, γλωσσάρι από μέλη της FIDO Alliance και του W3C): https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, ενότητα για την ανθεκτικότητα σε phishing και τους syncable authenticators (στα αγγλικά): https://pages.nist.gov/800-63-4/sp800-63b.html
- Το ολλανδικό NCSC, Πώς επιλέγετε μια μέθοδο MFA (ολλανδική πηγή): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode