Turvallisuusopas

Passkeys vs salasanat

Vertaa passkeyitä ja salasanoja, mukaan lukien tietojenkalastelunkestävyys, palautus, laiteluottamus ja milloin vahvoja salasanoja tarvitaan edelleen.

Yhteenveto

Passkeyt käyttävät julkisen avaimen salakirjoitusta ja voivat vähentää tietojenkalastelun riskiä, koska yksityistä avainta ei kirjoiteta verkkosivustolle. Salasanat ovat jaettuja salaisuuksia: jos kirjoitat sen väärälle sivulle, se voidaan siepata. Kun palvelu tukee passkeyitä hyvin, ne voivat olla vahvempi ensisijainen kirjautumistapa.

Miksi salasanat ovat edelleen tärkeitä

Monilla tileillä on edelleen salasanavarmistus, palautussalasanoja, sovellussalasanoja tai vanhempia laitteita. Jos salasana on edelleen liitetty tiliin, sen tulisi olla pitkä, satunnainen, ainutlaatuinen ja suojattu MFA:lla mahdollisuuksien mukaan.

Palautus on osa turvallisuutta

Passkeyt ovat riippuvaisia laiteturvallisuudesta, synkronointipalveluista ja tilin palautuksesta. Pääsyn menettäminen laitteisiin tai heikkojen palautuskanavien käyttö voi luoda riskiä. Rekisteröi useampi kuin yksi palautusvaihtoehto tarvittaessa ja suojaa palautuksessa käytetty sähköpostitili.

Käytännön suositukset

• Käytä passkeyitä, kun ne ovat tuettuja ja ymmärrettyjä.
• Pidä mahdollinen salasanavarmistus ainutlaatuisena ja vahvana.
• Suojaa laitteen avausmenetelmät.
• Tarkista palautussähköpostin ja puhelimen asetukset.
• Säilytä palautuskoodit turvallisesti.

Yksityiskohtainen opas

Tämä opas keskittyy passkeyiden ja salasanojen vertailuun tilin kirjautumisessa. Se on kirjoitettu ihmisille, jotka päättävät, pitäisikö salasanoja käyttää edelleen, kun passkeyt ovat tarjolla, joten käytännön tavoite ei ole luoda dramaattista turvallisuusväitettä. Tavoite on valita salasanatapa, joka kestää jokapäiväistä käyttöä: kirjautumislomakkeet, salasananhallintaohjelmat, mobiilinäppäimistöt, tilin palautus, jaetut laitteet ja satunnaiset palvelut, joilla on outoja validointisääntöjä. Turvallinen suositus on hyödyllinen vain, jos oikea henkilö voi noudattaa sitä johdonmukaisesti.

Turvallisin lähtökohta on satunnaisuus plus ainutlaatuisuus. Satunnaisuus tarkoittaa, että arvo valitaan suuresta avaruudesta kryptografisesti sopivalla satunnaislähteellä, ei keksittynä syntymäpäivästä, lemmikin nimestä, näppäimistökuviosta tai suosikkilainauksesta. Ainutlaatuisuus tarkoittaa, että samaa salasanaa ei käytetä missään muualla. Pitkä mutta uudelleenkäytetty salasana voi pettää nopeasti yhden toisiinsa liittymättömän tietomurron jälkeen, kun taas ainutlaatuinen satunnainen salasana rajoittaa vahingon yhteen tiliin, jossa sitä käytettiin.

Tässä aiheessa käytännöllinen esiasetus on passkeyt tuetuissa palveluissa, vahvat ainutlaatuiset salasanat siellä, missä salasanoja edelleen vaaditaan. Voit soveltaa tätä esiasetusta MFA vs vahva salasana -oppaan avulla ja tallentaa lopullisen arvon luotettuun salasananhallintaan. PwdGen luo arvot paikallisesti selaimessa Web Cryptolla; luotua salasanaa ei lähetetä PwdGen-palvelimelle. Tämä paikallinen suunnittelu vähentää palvelinpuolen altistumista, mutta se ei suojaa kaikilta uhilta. Haitallinen selainlaajennus, vaarantunut laite, tietojenkalastelusivu tai turvaton leikepöydän käsittely voi silti paljastaa salaisuuden sen luomisen jälkeen.

Yleisimmät vältettävät ongelmat ovat heikot palautusmenetelmät, laitteen menetys, tilin lukkiutuminen, tuetut palvelut ja oletus, että passkeyt poistavat kaikki turvallisuushuolet. Nämä ongelmat ovat tärkeitä, koska hyökkääjät harvoin tarvitsevat raa’alla voimalla murtaa jokaista mahdollista salasanaa, kun ihmisten tavat antavat heille oikotien. Tunnusten täyttö, tietojenkalastelu, vuotaneet salasanalistat ja tilin palautuksen väärinkäyttö ovat usein realistisempia kuin puhdas matemaattinen haku. Siksi paras neuvo yhdistää salasanan laadun tilikohtaisiin hallintakeinoihin, kuten MFA, passkeyt, palautuskoodien tallennus ja palautussähköpostin tai puhelimen asetusten säännöllinen tarkistus.

Käytä tätä tarkistuslistaa suosituksen soveltamisessa:

• Käytä passkeyitä tärkeimmillä tileillä, kun se tuntuu mukavalta.
• Pidä palautusvaihtoehdot turvallisina.
• Käytä vahvoja salasanoja palveluissa ilman passkeyitä.
• Älä käytä uudelleen varasalasanoja.

Jos verkkosivusto hylkää ihanteellisen asetuksen, älä pakota salasanaa heikompaan malliin käsin. Säädä yhtä muuttujaa kerrallaan. Jos symbolit hylätään, pidä isot kirjaimet, pienet kirjaimet ja numerot käytössä ja lisää pituutta. Jos enimmäispituus on pieni, käytä suurinta hyväksyttyä pituutta ja varmista, että arvo on ainutlaatuinen. Jos salasana on luettava ääneen, tulostettava tai kirjoitettava televisioon tai reitittimen näyttöön, harkitse hämmentävien merkkien poissulkemista ja pituuden lisäämistä kompensoimaan pienempää aakkostoa.

Lopuksi muista salasanaohjeiden rajat. Vahva salasana on yksi puolustuskerros, ei takuu. Se ei voi tehdä tietojenkalastelusivusta turvallista, korjata haittaohjelmaa tai korvata palvelua, joka tallentaa tunnukset huonosti. Hyödyllinen tapa on tylsä mutta kestävä: luo ainutlaatuinen arvo, tallenna se turvallisesti, suojaa palautuspolku ja vaihda se nopeasti, jos epäilet altistumista.

Turvallinen seuraava askel

Tämän oppaan lukemisen jälkeen tee yksi pieni tilin tarkistus sen sijaan, että yrität korjata kaikkea kerralla. Valitse tili, joka aiheuttaisi eniten ongelmia, jos se kaapattaisiin, varmista, että sen salasana on ainutlaatuinen, ja tarkista palautussähköposti, palautuspuhelin, MFA-menetelmä ja varmuuskoodien tallennus. Jos jokin osa ketjusta on heikko, paranna sitä ennen kuin siirryt pienemmän riskin tileihin. Tämä järjestys pitää työn hallittavana ja suojaa tilejä, joita hyökkääjät todennäköisimmin käyttävät ponnahduslautana. Passkeyiden ja salasanojen osalta paras lopputulos on toistettava tapa: luo paikallisesti, tallenna huolellisesti ja vältä uudelleenkäyttöä.

Usein kysytyt kysymykset

Ovatko passkeyt parempia kuin salasanat?

Passkeyt voivat tarjota vahvemman tietojenkalastelunkestävyyden, mutta tilin palautus, laitteen käyttö ja alustatuki ovat edelleen tärkeitä.

Poistavatko passkeyt salasanat kokonaan?

Ei kaikkialla. Monet palvelut käyttävät edelleen salasanoja varalla, palautuksessa tai yhteensopivuuden vuoksi.

Pitäisikö minun käyttää vahvaa salasanaa, kun passkeyt ovat saatavilla?

Jos tilillä on edelleen salasanavarmistus, pidä se salasana ainutlaatuisena ja vahvana.