Passkeyek és biztonsági kulcsok

Modul 2: Jelszavak és bejelentkezés · Olvasási idő: 10 perc

Cél: E lecke elvégzése után el tudja magyarázni, miért phishingbiztosak a passkeyek és a biztonsági kulcsok, meg tudja nevezni a szinkronizált és az eszközhöz kötött passkeyek közötti különbséget, és el tudja dönteni, mikor érdemes ezeket használnia.

Kulcsfogalmak: passkey, FIDO2, WebAuthn, nyilvános és privát kulcs, domainhez kötött, biztonsági kulcs, szinkronizált passkey, eszközhöz kötött passkey

A gond azzal, amit begépel

A 2.3. leckében láthatta, hogy egy alkalmazásból vagy sms-ből származó kód nem véd egy jól megcsinált hamis oldal ellen. Ön begépeli a kódot a rnijnbank.example oldalon, a csaló pedig néhány másodpercen belül továbbküldi azt a mijnbank.example oldalra, és bejut. A gyenge pont mindig ugyanaz: Önnek kell eldöntenie, hogy a valódi oldalon jár-e. Egy siető vagy egy meggyőző oldalt látó ember előbb-utóbb elköveti ezt a hibát.

A passkeyek és a biztonsági kulcsok elveszik ezt a döntést Öntől. Nem Ön ellenőrzi a címet, hanem a böngészője és az eszköze. És nincs semmi, amit be kellene gépelni vagy továbbítani.

Mi az a passkey

A passkey egy olyan bejelentkezési eszköz, amely a jelszót váltja ki. A FIDO Alliance, a szabvány mögött álló szervezet úgy írja le, mint a jelszó helyettesítőjét, amelyet ugyanúgy old fel, mint az eszközét: ujjlenyomattal, arcfelismeréssel vagy PIN-kóddal.

Technikailag a passkey egy kulcspár:

• egy privát kulcs, amely az eszközén marad (vagy a jelszókezelőjében, lásd lentebb), és soha nem kerül el a weboldalra;
• egy nyilvános kulcs, amelyet a weboldal tárol.

Amit a privát kulccsal aláírtak, azt a weboldal a nyilvános kulccsal ellenőrizheti. A nyilvános kulccsal viszont Ön maga semmit nem tud aláírni. Ha a weboldal adatbázisa kiszivárog, a támadónak csak nyilvános kulcsok kerülnek a kezébe, amelyekkel nem tud bejelentkezni. Nincs tehát mit feltörni, mint a 2.1. leckében bemutatott kiszivárgott jelszavaknál.

A technika neve FIDO2. A böngészőben futó rész a WebAuthn, amely a W3C (a webes szabványokat készítő konzorcium) egyik szabványa. A számítógép és egy különálló biztonsági kulcs közötti rész neve CTAP.

Így zajlik a bejelentkezés

1. A mijnbank.example oldalon kiválasztja a "Bejelentkezés passkeyjel" lehetőséget.
2. A weboldal küld egy véletlenszerű kihívást: egy számot, amelyet csak egyszer használnak fel.
3. A böngészője továbbítja ezt a kihívást az eszközének, együtt azzal a domainnel, amelyen éppen jár.
4. Az eszköze kéri, hogy oldja fel a zárolást: ujjal, arccal vagy PIN-kóddal. Ez az ellenőrzés az eszközén történik. Az ujjlenyomata soha nem kerül el a weboldalra, a weboldal csak azt az információt kapja, hogy az ellenőrzés sikeres volt.
5. Az eszköze aláírja a kihívást azzal a privát kulccsal, amely a mijnbank.example oldalhoz tartozik.
6. A weboldal ellenőrzi az aláírást az Ön nyilvános kulcsával. Ha egyezik, bejelentkezett.

Miért nem működik a passkey egy hamis oldalon

Létrehozáskor egy passkey a weboldal domainjéhez kapcsolódik. A WebAuthnban ezt Relying Party ID-nek nevezik: a passkey a mijnbank.example oldalhoz tartozik (és esetleg annak aldomainjeihez), máshoz nem. A böngésző határozza meg, hogy melyik domain szerepel a kérésben, nem a weboldal. Egy hamis oldal ezt nem tudja meghamisítani.

Ha egy adathalász e-mailen keresztül a https://rnijnbank.example vagy a https://mijnbank.example.inlog-check.example oldalra kerül, a következő történik:

• A hamis oldal passkeyt kér.
• A böngészője keres egy passkeyt ehhez a domainhez. Nincs ilyen.
• Olyan üzenetet kap, mint "nincs passkey ehhez az oldalhoz", vagy üres választólistát.

Nincs semmi, amit véletlenül jóváhagyhatna vagy begépelhetne. Még ha Ön nem is veszi észre a hamis oldalt, a passkey ott nem fog működni. Ezt értjük phishingbiztosság alatt. A NIST is ezt mondja: a phishingbiztosság kriptográfiai hitelesítést igényel; a jelszavak, a begépelt kódok és a jóváhagyási értesítések nem ilyenek.

Ha egy olyan oldalon, ahol mindig passkeyjel jelentkezik be, hirtelen csak egy jelszómezőt lát, vagy azt kérik, "adjon meg egy kódot az alkalmazásából", az figyelmeztető jel. Nézze meg a címet.

Szinkronizált vagy eszközhöz kötött

Kétféle passkey létezik. A különbség abban van, hol él a privát kulcs.

A WebAuthn szabványban a szinkronizált passkeyt "multi-device credential"-nek nevezik. A FIDO Alliance a biztonsági kulcson lévő eszközhöz kötött passkeyeket tartja a legmagasabb biztonsági szintű formának, és egy biztonsági kulcsot helyreállítási eszközként is ajánl arra az esetre, ha elveszítené a hozzáférést a szinkronizált eszközeihez.

Ha szinkronizált passkeyeket használ, védje különösen jól a szolgáltatójánál lévő fiókot: erős jelszó, kétlépcsős azonosítás, és lehetőleg maga is egy biztonsági kulcs.

Biztonsági kulcsok

A biztonsági kulcs egy kis eszköz, amelyet egy USB-portba csatlakoztat, vagy a telefonjához érint (NFC). Eszközhöz kötött passkeyeket tárol. A bejelentkezés a kulcs megérintésével történik, gyakran a kulcs saját PIN-kódjával vagy a kulcson lévő ujjlenyomat-olvasóval.

Több gyártó is kínál ilyen eszközöket; választáskor ügyeljen a FIDO2 támogatására, a szükséges csatlakozóra (USB-A, USB-C, NFC), és arra, hogy támogat-e PIN-kódot vagy ujjlenyomatot.

A legfontosabb szabály: mindig regisztráljon legalább két kulcsot. A második a tartalék kulcsa. Ezt is összekapcsolja minden szolgáltatással, akárcsak az elsőt, és máshol tárolja, például otthon egy fiókban vagy egy páncélszekrényben. Ha elveszíti a napi használatú kulcsát, a tartalékkal jelentkezik be, eltávolítja az elveszett kulcsot a fiókjaiból, és vásárol egy új másodikat. Egy kulcsot nem lehet lemásolni, pontosan ez a lényeg.

Bejelentkezés másik számítógépen

Szeretne bejelentkezni egy laptopon, de a passkeyje a telefonján van. Ilyenkor a böngésző gyakran felajánlja egy QR-kód megjelenítését. Ezt beolvassa a telefonjával, és ott oldja fel a zárolást. A FIDO Alliance ezt cross-device authenticationnek nevezi. A telefon Bluetooth-on keresztül ellenőrzi, hogy valóban a laptop közelében van-e. Aki csak egy fényképet szerzett a QR-kódról, az tehát nem tud távolról bejelentkezni vele.

Buktatók és mikor érdemes használni

A passkeyek nagy előrelépést jelentenek, de nem varázslat:

• A jelszó gyakran megmarad. Sok szolgáltatás a passkey mellett továbbra is lehetővé teszi a jelszó plusz kód típusú bejelentkezést. Egy csaló ilyenkor azt az utat próbálja meg. Ha lehetséges, kapcsolja ki a régi bejelentkezési módokat, vagy tegye a jelszót hosszúvá és egyedivé.
• A helyreállítás a leggyengébb láncszem. Ha valaki egy "elfelejtett jelszó" e-maillel vagy egy ügyfélszolgálatnak szóló telefonhívással megkerülheti a passkeyjét, akkor a fiókja csak annyira erős, mint ez a helyreállítási út. Ellenőrizze, milyen helyreállítási adatok vannak beállítva (2.5. lecke).
• Nem minden szolgáltatás támogatja. Ilyenkor használjon authenticator alkalmazást.
• A megosztott fiókok rosszul illeszkednek az egyetlen személyes eszközhöz kötött passkeyekhez. Inkább adjon mindenkinek saját fiókot saját passkeyjel (7. modul).
• Egy feloldott eszköz nyitott ajtó. Védje a telefonját és a laptopját megfelelő képernyőzárral (5. modul).

Hol kezdje? Azoknál a fiókoknál, ahol a legnagyobb a kár, ha átveszik felettük az irányítást: az e-mail fiókja, a jelszókezelője vagy passkey-szolgáltatója, a tárhely és a domain regisztráció, a bank és a könyvelés. Ha ezek közül valamelyik szolgáltatás kínál passkeyeket vagy biztonsági kulcsokat, ott kapcsolja be elsőként.

Összefoglalás

• A passkey egy kulcspár: a privát kulcs Önnél marad, a weboldalnak csak a nyilvános kulcs jut. Egy adatszivárgás a weboldalnál nem ad semmi feltörhetőt.
• A böngésző a passkeyt a valódi domainhez kapcsolja. Egy hamis oldalon nincs passkey, tehát nincs mit ellopni vagy jóváhagyni.
• A szinkronizált passkeyek átkerülnek a többi eszközére; az eszközhöz kötött passkeyek (biztonsági kulcs) egyetlen eszközön maradnak.
• Mindig regisztráljon egy tartalék kulcsot, és tárolja máshol.
• Egy passkey csak annyira erős, mint a helyreállítási út és a még nyitva álló régi bejelentkezési módok.

Kvíz

Feladat

D2.4 feladat: Az első passkeye vagy biztonsági kulcsa. Derítse ki, mely legfontosabb fiókjai támogatják a passkeyeket vagy a biztonsági kulcsokat, állítsa be legalább egynél, és gondoskodjon tartalékról. Pipálja ki az ellenőrzőlistát, és válaszolja meg a reflexiós kérdéseket.

További olvasnivaló

• FIDO Alliance, Passkeys (angol): https://fidoalliance.org/passkeys/
• W3C, Web Authentication Level 3 (angol, a szabvány): https://www.w3.org/TR/webauthn-3/
• passkeys.dev, Terms (angol, a FIDO Alliance és a W3C tagjainak fogalomtára): https://passkeys.dev/docs/reference/terms/
• NIST SP 800-63B-4, a phishingbiztosságról és a szinkronizálható hitelesítőkről szóló rész (angol): https://pages.nist.gov/800-63-4/sp800-63b.html
• Hollandia Nemzeti Kibervédelmi Központja (NCSC), Hogyan válasszon MFA módszert? (holland): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode