Valitse yritystili kannettavalla, hyväksy kirjautuminen laitteella ja jatka työtä: passkey-avain voi helpottaa työarkea. Yrityksessä tarvitaan myös suunnitelma sallituista laitteista, varalaitteista ja palautuksesta.
Mitä kirjautumisessa oikeasti tapahtuu
Passkey on FIDO-standardeihin ja kryptografiseen avainpariin perustuva kirjautumistunniste. Palvelu tuntee julkisen avaimen. Vastaavaa yksityistä avainta käyttää todentaja esimerkiksi älypuhelimessa, tietokoneessa tai turva-avaimessa. Kirjautuessa se vastaa palvelun haasteeseen digitaalisella allekirjoituksella. Tähän ei tarvita verkkosivuston kanssa jaettua kirjautumissalasanaa.
WebAuthn on tämän verkkokirjautumisen standardoitu rajapinta; FIDO2 kattaa taustalla olevat menetelmät. Työntekijälle tärkeintä on näkyvä kulku: tarkista tili ja kohde, hyväksy sitten laitteen PIN-koodilla tai soveltuvalla biometrisellä tarkistuksella. Tarjotut vaihtoehdot riippuvat palvelusta, käyttöjärjestelmästä, selaimesta ja passkey-palveluntarjoajasta.
Miksi tämä eroaa salasanasta ja kertakäyttökoodista
Salasana ja käsin syötetty tekstiviesti- tai sovelluskoodi voidaan pyytää väärennetyllä kirjautumissivulla ja välittää eteenpäin. WebAuthn sitoo tunnisteen tarkoitettuun palveluun. Siksi passkey-kirjautuminen kestää tietojenkalastelua. Se ei silti automaattisesti suojaa saastunutta päätelaitetta, varastettua istuntoa tai heikkoa palautusmenettelyä.
Paikallinen hyväksyntä laitteella ei ole verkkosivuston toinen salasana. Vaaditun monitekijäisen tunnistautumisen tai todentamisvahvuuden täyttyminen arvioidaan käytetyn menetelmän ja käytännön perusteella. Minkä tahansa avaimen satunnaisen painikkeen painaminen ei kuvaa sitä riittävästi. Lähteet: FIDO Alliance: passkey-avainten selitys (ulkoinen linkki).
Laitesidonnainen vai synkronoitu: ratkaiseva ero
Laitesidonnaiset passkey-avaimet pysyvät tietyssä todentajassa. Se voi olla soveltuvasti tuettu puhelin tai FIDO2-turva-avain. Uudella avaimella tai varapuhelimella ei ole tätä tunnistetta vain siksi, että se kuuluu samalle henkilölle. On rekisteröitävä toinen sallittu todentaja tai käytettävä valmisteltua palautusmenettelyä.
Synkronoidut passkey-avaimet voivat siirtyä passkey-palveluntarjoajan kautta saman henkilön muihin sallittuihin laitteisiin. Siksi tarjoajan tili, suojaus ja palautus ovat tärkeitä. Tuetut laitteet ja siirtotavat riippuvat tarjoajasta. Tästä ei seuraa vapaata vientiä kaikkien alustojen välillä tai automaattista liittämistä yrityksen hallintaan.
| Vaihtoehto | Mitä laitteen vaihtuessa tapahtuu? | Selvitettävä ennen käyttöä |
|---|---|---|
| Laitesidonnainen passkey-avain | Rekisteröi uusi todentaja tai käytä määriteltyä palautusreittiä. | Valmistele korvaava ratkaisu ja vastuut riippumattomasti. |
| Synkronoitu passkey-avain | Saatavilla tuetussa laitteessa oikean tarjoajan kautta; tarjoajan palautusreitti on olennainen. | Määritä sallittu tarjoajan tili, laitteet ja tilin suojaus. |
| Kirjautuminen laitteiden välillä | Olemassa olevan todentajan käyttö toisella laitteella ei tarkoita sen kopiointia. | Testaa tuettu yhdistelmä ja turvallinen istunto kohdelaitteella. |
Puhelin voi kirjata sisään kopioimatta passkey-avainta
Eräs kuvitteellinen työnkulku: työntekijä avaa hyväksytyn yritysportaalin neuvottelutilan kannettavalla. Hänen sallittu älypuhelimensa vahvistaa kirjautumisen. Tuettu laitteiden välinen menetelmä käyttää puhelimen todentajaa. Tämä eroaa synkronoinnista tai pysyvästä rekisteröinnistä kannettavalle.
Tällainen kulku voi edellyttää läheisyyden tarkistusta ja muita teknisiä ehtoja. Se testataan todellisuudessa käytetyillä laitteilla ja selaimilla. Yhteiskäyttöisellä tietokoneella on huomioitava oikea tili, sopiva istunnon kesto ja uloskirjautuminen. Lähellä oleva puhelin ei korvaa näitä organisatorisia toimia.
Pidä henkilökohtaiset ja hallitut laitteet tietoisesti erillään
Jos yrityksen kirjautuminen synkronoidaan vain henkilökohtaiseen alustatiliin, yrityksen palautus voi riippua yhden henkilön yksityisestä tilistä. Määritä siis etukäteen sallitut tarjoajat, laitteet ja passkey-tyypit käyttäjäryhmittäin. Hallittu laite helpottaa tiettyjä vaatimuksia, mutta hallinta ei automaattisesti tarkoita, että ylläpitäjä voisi lukea jokaisen yksityisen avaimen.
Tarkistetun dokumentaation mukaan Microsoft Entra ID tukee synkronoituja ja laitesidonnaisia passkey-avaimia ja voi kohdistaa vaatimuksia ryhmille passkey-profiileilla. Tämä ei hyväksy jokaista yhdistelmää: rekisteröinnin, nykyisten oikeuksien, laitetuen ja käytäntöjen on sovittava yhteen. Lähteet: Microsoft: passkey-avaimet ja profiilit Entra ID:ssä (ulkoinen linkki).
Suunnittele vararatkaisut ja lähtötilanteet ennen laajaa käyttöönottoa
Pilotti kattaa onnistuneen kirjautumisen lisäksi kadonneen puhelimen, rikkoutuneen turva-avaimen ja lukitun tarjoajatilin. Suojaustarpeen mukaan valmistellaan riippumattomasti rekisteröity varatodentaja tai hallittu palautusreitti. Laitteen vaihto on huono hetki alkaa etsiä vastuuhenkilöä ja tarvittavia todisteita.
Työsuhteen päättyessä yrityspääsy estetään identiteettipalvelussa tai kohdejärjestelmässä ja rekisteröidyt menetelmät perutaan tarkoituksenmukaisesti. Kopio henkilökohtaisessa synkronointitilissä ei välttämättä katoa yksityiseltä laitteelta; ratkaisevaa on, ettei sitä enää hyväksytä yrityskirjautumiseen. Nykyiset istunnot ja muut kirjautumisreitit käsitellään erikseen. Tästä ei seuraa henkilökohtaisten laitteiden yleistä etätyhjennystä.
Mitä sormenjäljille ja kasvotiedoille tapahtuu
WebAuthn-kirjautumisessa palvelu ei saa biometrisiä ominaisuuksia, kuten sormenjälkeä tai kasvopohjaa. Tarkistus tehdään paikallisesti todentajassa; palvelu saa kryptografisen todisteen ja määritellyt tarkistustiedot. Laitteen PIN-koodiakaan ei lähetetä verkkosivuston salasanana. Tarkka käsittely laitteessa ja passkey-palveluntarjoajalla kuuluu silti laitteen ja tarjoajan valintaan.
Lähteet: W3C: paikallinen biometrinen tarkistus WebAuthnissa (ulkoinen linkki). Tämä ei tarkoita yleistä väitettä, ettei mukana oleva pilvipalveluntarjoaja käsittelisi lainkaan tili- tai metatietoja.
Aloita rajatulla pilotilla
DAXS auttaa valitsemaan sopivat palvelut ja laitteet, sopimaan rooleista ja palautuksesta sekä toteuttamaan pilotin dokumentoiduin tuloksin. Tarkistetaan tavallinen kirjautuminen, vararatkaisut, yhteiset työasemat ja työsuhteen päättyminen. Vasta tämän jälkeen päätetään laajasti käytettävät menetelmät.
Keskustele passkey-avainten käyttöönotosta · Suunnittele työympäristöt ja identiteetit · Hallitse yhteiset yritystunnukset järjestelmällisesti
Usein kysyttyä
Voinko vain kopioida laitesidonnaisen passkey-avaimen uuteen puhelimeen?
Juuri sitä laitesidonnaisille passkey-avaimille ei ole tarkoitettu. Synkronoidut avaimet voivat tulla saataville oikean tarjoajatilin tuettuihin laitteisiin. Käytännön vaihtoreitti testataan etukäteen.
Onko jokaisen käytettävä omaa henkilökohtaista älypuhelintaan?
Se määritellään yrityksen toimintamallissa. Palvelun ja vaatimusten mukaan voidaan käyttää hallittuja laitteita, sopivia turva-avaimia tai muita tuettuja todentajia.
Korvaako passkey-avain kaikki yrityksen käyttöoikeudet?
Se todistaa kirjautumisen tilille. Tilin käytettävissä olevat sovellukset ja tiedot ovat edelleen käyttäjä- ja oikeushallinnan erillinen tehtävä.
