Hva er passordløs pålogging? Fordeler, ulemper og risikoer

De fleste av oss har opplevd det: en kombinasjon av bokstaver, tall og spesialtegn som må huskes – og helst aldri gjenbrukes. Likevel ender mange med «123456» eller navnet til kjæledyret. Passkeys håndterer nå 54,5 % av alle autentiseringer globalt, ifølge FIDO Alliance.

Vanlige autentiseringsmetoder: Biometri, FIDO2-nøkler, SMS ·
Største datainnbrudd: Topp 10 listet av Termly ·
Mest hackede passord: 123456 og varianter (Huntress) ·
Passordrelaterte angrep: Primær årsak til de fleste brudd (Kaspersky)

Tabellen under oppsummerer sentrale fakta om passordløs autentisering med tilhørende kilder fra anerkjente fagmiljøer.

Hvordan fungerer passordløs pålogging?

Passordløs pålogging erstatter tradisjonelle passord med autentiseringsmetoder som biometri, sikkerhetsnøkler eller autentiseringsapper. I stedet for å huske et passord, bruker du noe du er (fingeravtrykk, ansikt), noe du har (telefon, sikkerhetsnøkkel), eller en kombinasjon av begge.

Metoder som biometri og sikkerhetsnøkler

FIDO2 er den ledende standarden for passordløs autentisering. Den bruker offentlig-nøkkel-kryptografi der private nøkler forblir sikre på brukerens enhet – motstandsdyktig mot phishing. FIDO2 består av to deler: WebAuthn (W3C-standard for nettsider og apper) og CTAP (Client-to-Authenticator Protocol som kobler enheten til en autentifikator).

• Biometri: Fingeravtrykk, ansiktsgjenkjenning eller iris-skanning via Windows Hello, Face ID eller lignende.
• FIDO2-sikkerhetsnøkler: Fysiske nøkler som YubiKey som plugges inn eller kommuniserer via NFC.
• Passkeys: Synkroniserbare FIDO2-legitimasjoner som lagres i skyen (Apple iCloud Keychain, Google Password Manager).
• Authenticator-apper: Apper som Microsoft Authenticator som genererer push-varsler.

CyberArk (leverandør av autentiseringsløsninger) beskriver hvordan verifiseringsprosessen ikke lenger krever kunnskapsfaktor: systemet bekrefter identitet ved å verifisere besittelse av den private nøkkelen uten at noe hemmelig sendes over nettverket.

Trinn for implementering

Følg disse trinnene for å ta i bruk passordløs pålogging:

1. Velg autentiseringsmetode: Bestem om du vil bruke biometri, sikkerhetsnøkler eller passkeys.
2. Generer nøkkelpar: Ved registrering opprettes et offentlig-privat nøkkelpar. Den private nøkkelen lagres på enheten din.
3. Konfigurer i kontoinnstillinger: Aktiver passordløs pålogging under sikkerhetsinnstillingene i kontoen din.
4. Test pålogging: Logg av og logg på igjen med den nye metoden før du deaktiverer passordet.

Thales Group (sikkerhetsekspert) påpeker at FIDO2 adresserer kjerneutfordringen ved passord ved å eliminere delte hemmeligheter fullstendig. Den private nøkkelen forlater aldri enheten, noe som gjør det umulig for angripere å avlytte eller stjele påloggingsinformasjon.

Hva er passordløs autentisering?

Passordløs autentisering er en påloggingsmetode der brukere verifiserer sin identitet uten å oppgi et passord eller annen kunnskapsbasert hemmelighet. I stedet brukes biometri, sikkerhetsnøkler eller autentiseringsapper. FIDO Alliance (standardorganisasjonen bak FIDO2) beskriver passkeys som kredensialer med offentlig-privat nøkkelpar som kan synkroniseres på tvers av enheter.

Definisjon og eksempler

Passordløs autentisering bruker noe du har eller noe du er – ikke noe du husker. Konkrete eksempler inkluderer Windows Hello, Face ID og Touch ID, Microsoft Authenticator, og FIDO2-sikkerhetsnøkler som YubiKey.

Forskjell fra tradisjonell login

Ved tradisjonell pålogging sendes passordet til serveren og lagres der. Selv om det hasjes, er det fortsatt et delt hemmelig element som kan kompromitteres ved datainnbrudd eller phishing. Med passordløs autentisering genereres et nøkkelpar der den private nøkkelen aldri forlater brukerens enhet. Serveren lagrer kun den offentlige nøkkelen.

Anonybit (sikkerhetsspesialist) forklarer at biometridata ikke forlater enheten ved FIDO2-bruk. Alt foregår lokalt, noe som betyr at selv om en server blir brutt ned, fins det ingen biometrisk data å stjele.

Er det en god idé å gå passordløs?

For de fleste er svaret ja. FIDO2 eliminerer muligheten for at angripere kan stjele passord fordi passord ikke lenger eksisterer i systemet. Phishing blir umulig når det ikke er noe passord å avsløre, og passord-tomme kontoer kan heller ikke knekkes med brute force.

Fordeler over passord

• Phishing-resistent autentisering
• Ingen felles hemmeligheter som kan kompromitteres
• Biometrisk data lagres lokalt, ikke i skyen
• Bedre personvern med sider-spesifikke nøkler
• Reduserte hjelpedesksamtaler
• Raskere og enklere pålogging

Ping Identity (IAM-leverandør) fremhever at FIDO2 reduserer risiko for phishing, credential stuffing og brute force-angrep betydelig. Passkeys reduserer også hjelpedesksamtaler fordi brukere slipper å huske og tilbakestille passord.

Når det passer best

• Banktjenester og finansielle applikasjoner der sikkerhet er avgjørende
• Arbeidsverktøy der ansatte håndterer sensitive data
• Tjenester som allerede tilbyr biometrisk pålogging

Microsoft (programvareselskap med global rekkevidde) anbefaler bedrifter å fase ut passord gradvis, startende med høyverdikontoer. FIDO2 er bakoverkompatibelt med eldre U2F-standard via CTAP1, noe som gir fleksibilitet under overgangen.

Hva er risikoene ved passordløs autentisering?

Passordløs pålogging er sikrere enn passord, men ikke risikofri. Systemet er avhengig av enhetens sikkerhet, så hvis en telefon eller laptop kompromitteres med skadevare, kan angripere potensielt utnytte biometrisk data eller sikkerhetsnøkler.

Potensielle svakheter

• Enhetstyveri – tap av tilgang hvis enheten mistes eller stjeles
• Skadevare som infiltrerer enheten og installerer falske biometrilegere
• Backup og recovery-utfordringer hvis sikkerhetsnøkkelen går tapt
• Komplekse gjenopprettingsprosesser uten alternativ metode

CrowdStrike (cybersikkerhetsfirma) advarer om at biometridata-beskyttelse krever sterke sikkerhetstiltak på enheten. Hvis en angriper får fysisk eller logisk tilgang til enheten, kan biometrisystemet omgås.

Sammenlignet med passord

Passord har én fordel: de kan tilbakestilles fra hvor som helst med kun en e-postadresse eller et telefonnummer. Passordløs autentisering krever mer planlegging av backup-løsninger. Men fordelen oppveier ulempene: passord er sårbare for tyveri, phishing og sosial manipulering.

Bitwarden (passordbehandler) påpeker at initial oppsett krever tid og kostnader, spesielt på tvers av systemer. Legacy-systemintegrasjon er den største utfordringen, ifølge SentinelOne (cybersikkerhetsfirma). Gateway-løsninger kan hjelpe, men kompatibilitetsproblemer oppstår ofte.

Hva er fordelene og ulempene ved passordløs autentisering?

Metoder og deres styrker

Fire hovedmetoder tilbyr ulike avveininger mellom sikkerhet og brukervennlighet.

Tabellen under sammenligner de fire mest brukte metodene for passordløs autentisering på tvers av sikkerhet, brukervennlighet og begrensninger.

Ingen metode er perfekt, men FIDO2-sikkerhetsnøkler og biometri gir best beskyttelse mot moderne angrep. SentinelOne (cybersikkerhetsfirma) anbefaler å kombinere flere metoder for ulike kontoer basert på sensitivitetsnivå.

“FIDO2 addresses the core weaknesses of passwords by eliminating shared secrets altogether.”

— Thales Group, Sikkerhetsekspert

“The real challenge is not choosing between stronger security and user adoption.”

— Thales Group, Sikkerhetsekspert

Relatert lesning: Finn min iPhone · How to change default apps on iPhone

Passordløs pålogging minner om casino uten registrering, der BankID gir rask tilgang uten tradisjonelle brukernavn og passordopprettelse.

Ofte stilte spørsmål