- Passord bruker kryptografi med offentlige nøkler og erstatter memorering av passord.
- De er motstandsdyktige mot phishing og blir ikke utsatt for sikkerhetsbrudd: den private nøkkelen forlater aldri enheten.
- Bred kompatibilitet på tvers av iOS, Android, Windows og moderne nettlesere; adopsjon av store tjenester.
- Det finnes synkroniserte og enhetstilknyttede passord for å balansere bekvemmelighet og kontroll.
Hvis du har slitt med passordkombinasjoner som er umulige å huske i årevis, er du ikke alene: passord har vært prisen vi betaler for å få tilgang til nettjenester. Den gode nyheten er at passord er klare til å endre dette ritualet , og gjøre pålogginger sikrere og mer praktiske uten behov for å memorere noe.
Bak denne revolusjonen ligger en sterk enighet i bransjen: Apple, Google og Microsoft har blant annet tatt i bruk en felles standard for å eliminere avhengigheten av passord. Målet er å redusere svindel, datalekkasjer og friksjon med et system basert på moderne kryptografi og brukerverifisering på egen enhet.
Hva er en passnøkkel, og hvordan fungerer den?
En tilgangsnøkkel er ikke et skjult passord, men en autentiseringsmetode som er avhengig av kryptografiske nøkkelpar. I stedet for å skrive inn en streng med tegn, validerer du identiteten din med enheten din ved hjelp av biometri (fingeravtrykk eller ansikt) eller en lokal PIN-kode.
Når du oppretter en passordnøkkel for en tjeneste, genererer mobiltelefonen eller datamaskinen din to deler: en offentlig nøkkel og en privat nøkkel. Den offentlige nøkkelen lagres på tjenestens server , mens den private nøkkelen forblir sikker på enheten din og aldri deles.
Asymmetrisk kryptografi: to nøkler som jobber sammen
Systemet er kjent som offentlig-nøkkelkryptografi. Den private nøkkelen signerer utfordringer sendt av serveren , og den offentlige nøkkelen bekrefter signaturen. Dette lar tjenesten bekrefte identiteten din uten å måtte vite eller motta sensitiv informasjon.
Det er viktig å understreke følgende: den private nøkkelen reiser ikke til serveren eller blir eksponert. Den brukes kun lokalt til å signere den flyktige utfordringen , noe som markerer en avgjørende forskjell sammenlignet med tradisjonelle passord.
Steg-for-steg autentiseringsflyt
Når du logger deg på, genererer tjenesten en utfordring, og enheten din ber om bekreftelse (biometri eller PIN). Hvis du identifiserer deg riktig, signerer enheten utfordringen med din private nøkkel og sender det signerte svaret. Serveren, som bruker den lagrede offentlige nøkkelen, validerer signaturen og gir deg tilgang.
For å forhindre gjenbruk har disse utfordringene dessuten en begrenset gyldighetsperiode og er knyttet til riktig domene. Denne domenebindingen forhindrer phishing-angrep , selv om en bedrager prøver å lure deg til å kjøpe en falsk nettside som ser identisk ut.
Hvor lagres den private nøkkelen?
Moderne enheter lagrer den private nøkkelen i sikre områder med herdet maskinvare eller programvare. iPhones, iPads og Mac-er bruker Secure Enclave; Android og Windows bruker TPM eller tilsvarende løsninger ; og Samsung-enheter bruker Knox. Disse «hvelvene» er isolert for å minimere risikoen for skadelig programvare eller uautorisert tilgang.
I mange tilfeller synkroniseres også passord sikkert på tvers av enhetene dine gjennom tjenester innenfor hvert økosystem (som iCloud eller Google Password Manager). Denne synkroniseringen gjør det enkelt å logge inn fra flere klarerte enheter uten at det går på bekostning av sikkerhet eller brukervennlighet.
Tilgangsnøkkel vs. passord: viktige forskjeller
Forskjellen fra konvensjonelle passord er tydelig. Med passord trenger du ikke å opprette eller memorere svake hemmeligheter , så typiske feil (gjenbruk, svake kombinasjoner, skriving på falske nettsteder osv.) forsvinner.
En annen viktig forskjell er hvor verdien ligger. Passord lagres (eller utledes) vanligvis på servere og kan lekkes ved datainnbrudd. Med passord har serveren bare den offentlige nøkkelen, som er ubrukelig uten brukerens private nøkkel.
Opprettelse og ledelse
Det er komplisert å lage et sterkt passord: det må være langt, unikt og tilfeldig for hver konto. Med passord trenger du ikke å designe noe: enheten genererer nøkkelparet , og den er klar til bruk med din vanlige opplåsingsmetoden.
Motstand mot phishing
Forfalskningsangrep prøver å lure deg til å oppgi legitimasjonen din på falske nettsteder. Med passord trenger du ikke å skrive inn noen hemmeligheter, og signaturen er knyttet til det legitime domenet , slik at et svindelnettsted ikke kan stjele det som ikke er oppgitt.
Eksponering i hull
Hvis en tjeneste opplever et sikkerhetsbrudd og databasen lekker, kan katastrofen med passord spre seg til andre kontoer der du har brukt dem på nytt. Med passord er det eneste som er på serveren den offentlige nøkkelen, som er verdiløs uten den private motparten , som du beholder.
Nåværende kompatibilitet
Passord fungerer overalt. Tilgangsnøkler er allerede utbredt, men de har ikke nådd alle plattformer . Det er derfor de sameksisterer med passord og 2FA, selv om bruken av dem øker hver måned.
Fordeler med passord
Listen over fordeler er overbevisende. Den viktigste: «standard»-sikkerhet uten å være avhengig av minnet ditt . Du trenger ikke å huske strenger, ingen gjenbruk og ingen skrivefeil.
- Antiphishing og antikeylogger: Du skriver ikke inn passord, så en falsk nettside eller en keylogger får ikke tak i noe.
- Større personvern: De biometriske dataene forlater ikke enheten, og den private nøkkelen deles aldri.
- Ekte komfort: Biometri eller lokale PIN-koder erstatter kjedeligheten med passord, med mindre friksjon og færre avbrytelser av pålogging.
- Kostnadspåvirkning: færre tilbakestillinger og mindre 2FA-"patch" Det reduserer arbeidsmengden for tekniske team og supportteam.
I tillegg til alt dette tilbyr passord en type integrert flerfaktorautentisering: noe du har (enheten din) og noe du er eller vet (biometri eller PIN). Denne kombinasjonen er standard og krever i de fleste tilfeller ingen ekstra trinn for brukeren.
Ulemper og nåværende begrensninger
Ikke alt er perfekt. Implementeringen er fortsatt ufullstendig, og noen tjenester støtter dem ikke , så du må fortsette å bruke passord i visse tilfeller.
Et annet viktig punkt er gjenoppretting. Hvis du mister alle enhetene dine og ikke har sikkerhetskopiering/synkronisering , kan det kreve alternative metoder eller støtte fra leverandøren å få tilbake tilgangen.
Det er også økosystemavhengighet. Mange passord synkroniseres via iCloud, Google Password Manager eller tilsvarende løsninger , som kanskje ikke passer til alle miljøer eller retningslinjer.
Til slutt kan det være komplisert å administrere forskjellige systemer hvis du ikke bruker en kompatibel administrator. Noen ganger trenger du den originale enheten eller en synkroniseringsbro for å logge på en annen plattform.
Det tekniske grunnlaget er modent og kompatibiliteten er bred. På Apple-systemer støttes allerede passord , integrert med Face ID og Touch ID, i iOS 16 og nyere og macOS Ventura 13+.
På Android-fronten er enheter med Android 9 (Pie) eller høyere kompatible , med Google Password Manager som håndterer synkronisering mellom enheter til samme bruker.
I Windows integrerer Windows 10 og 11 passord i Windows 11 gjennom Windows Hello , som forener verifisering med lokal PIN-kode, fingeravtrykk eller ansiktsgjenkjenning på kompatible enheter.
Hva med nettlesere? Google Chrome 109+, Apple Safari 16+ og Microsoft Edge 109+ har støtte, mens Firefox tilbyr det på en mer begrenset og utviklende måte.
Listen over tjenester som allerede har hoppet på vognen vokser stadig. Blant de fremtredende navnene er Apple, Google, Microsoft, Amazon, PayPal, Best Buy og Adobe , i tillegg til en rekke plattformer og forhandlere.
- Elektronisk handel: Amazon, Walmart, Best Buy, Target, Shopify, Kayak.
- Sosiale nettverk: X (Twitter), LinkedIn, TikTok.
- Finansiering og betalinger: Coinbase, Robinhood, Stripe, PayPal, Affirm.
- Utvikling og arkiver: GitHub, Bitbucket; samt støtte for tjenester som Dropbox.
Mange andre plattformer er i ferd med å bli rullet ut eller testet. Hvis du finner alternativet «Opprett tilgangsnøkkel» når du oppdaterer kontoen din, betyr det at tjenesten allerede støtter det, i hvert fall som et alternativ til et passord.
Typer passord: synkronisert og koblet til enhet
Ikke alle tilgangsnøkler er skapt like. Synkroniserte tilgangsnøkler for flere enheter prioriterer sluttbrukerens bekvemmelighet og replikeres sikkert på tvers av dine pålitelige enheter innenfor samme økosystem.
I motsetning til dette finnes det passord knyttet til én enkelt enhet som ikke kan kopieres. Denne tilnærmingen er attraktiv for selskaper med strenge retningslinjer , der portabilitet ofres til fordel for kontroll og sikkerhet.
Avansert sikkerhet: utløp av utfordringer, domenebinding og MFA
I tillegg til offentlig nøkkelkryptering legger protokollen til ytterligere beskyttelse. Signerte utfordringer utløper umiddelbart for å forhindre gjenbruk og er knyttet til riktig domene, noe som forhindrer at et falskt nettsted "validerer" signaturer.
Biometrisk verifisering, eller PIN, er den andre brikken i puslespillet: uten dette lokale trinnet kan ikke den private nøkkelen brukes . Dette betyr at selv om noen har enheten i hånden, kan de ikke autentisere seg uten din verifisering.
Samlet sett snakker vi om en slags ett-trinns flerfaktorautentisering. Resultatet er sterk autentisering med mindre friksjon enn tradisjonelle brukernavn+passord+2FA-kombinasjoner.
Beste praksis, passordgjenoppretting og sameksistens
Hvis du mister telefonen eller datamaskinen din, ikke få panikk. De fleste plattformer tilbyr gjenopprettingsmekanismer : en annen tidligere tilkoblet enhet, sikkerhetskoder eller alternative metoder.
Det er lurt å aktivere kopiering og synkronisering av passord når det er tilgjengelig. Hvis du bruker flere systemer, bør du vurdere en passordbehandler som støtter passord for å holde dem tilgjengelige og sikre på tvers av plattformer.
Siden ikke alle tjenester har gjort overgangen, må du fortsette å bruke passord en stund til. Der passord ikke er tilgjengelige, bruk sterke passord og 2FA eller MFA (helst med autentiseringsapper i stedet for SMS) for å redusere risikoen.
Husk også at biometri behandles på enheten din. Leverandøren mottar ikke fingeravtrykket eller ansiktet ditt , kun bekreftelse på at du har bestått lokal verifisering, og dermed ivaretar de personvernet ditt.
Standarder og institusjonell støtte
Dette er ikke bare magien til én enkelt produsent. Tilgangsnøkler er basert på W3Cs FIDO2- og WebAuthn-standarder , som promoteres av FIDO Alliance i samarbeid med ledende leverandører.
Dette åpne rammeverket lar nettlesere, operativsystemer og tjenester snakke samme språk. Takket være dette er opplevelsen konsistent og sikkerheten kan verifiseres av tredjeparter.
En viktig milepæl var NISTs anerkjennelse av synkroniserte passord i tillegget til SP 800-63B. Denne institusjonelle godkjenningen driver frem bruken av disse i regulerte sektorer som bank og helsevesen, der phishing og svindel er kritiske bekymringer.
For utviklere: problemfri integrasjon
Hvis du bygger digitale produkter, er det ikke nødvendig å gjenoppfinne kryptering. Moderne identitetsleverandører tilbyr allerede bruksklare passord i innloggingsprosessene sine.
Hvis du trenger detaljert kontroll på backend-systemet, finnes WebAuthn-biblioteker tilgjengelig for diverse språk for å håndtere utfordringsverifisering og lagring av offentlige nøkler. På mobil gjør Apple Authentication Services og Google Identity Services det enkelt å integrere den innebygde opplevelsen.
Det finnes også dedikerte plattformer som tilbyr SDK-er, tilpasning og analyser for å akselerere passordprosjekter. Løsninger som OwnID forenkler distribusjon med bare noen få linjer med kode , samtidig som de opprettholder samsvar og en sømløs brukeropplevelse.
Brukstilfeller og praktiske scenarier
Innen e-handel reduserer raske og sikre pålogginger antall forlatte handlekurver. Innen finans er anti-phishing og integrert MFA spesielt verdifulle på grunn av risikoen for svindel.
I bedrifter gir enhetskoblede passord kontroll over intern tilgang. For SaaS- og forbrukerplattformer gir synkroniserte passord en bedre balanse mellom sikkerhet og bekvemmelighet , noe som reduserer antall «Jeg har glemt passordet mitt»-sager.
Vanlige spørsmål
Er passordnøkler sikrere enn passord?
Ja. De er phishing-resistente, kan ikke gjettes og blir ikke eksponert for sikkerhetsbrudd fordi den private nøkkelen aldri forlater enheten.
Kan de bli hacket?
Ingen sikkerhet er idiotsikker, men designet minimerer angrepsflater. Selv om en server blir angrepet, innhentes bare den offentlige nøkkelen , som er ubrukelig uten det private nøkkelparet og lokal verifisering.
Fungerer de overalt?
Ikke ennå. Dekningen vokser raskt, men du må fortsatt bruke passord for noen tjenester . Aktiver 2FA der passord ikke er tilgjengelige.
Hva skjer hvis jeg mister telefonen min?
Aktiver gjenoppretting ved hjelp av sikkerhetskopieringsenheter eller -koder. Hvis du synkroniserer passord med den pålitelige skyen din, kan du gjenopprette dem på en ny enhet med kontoen din.
Trenger jeg passordbehandlere?
Det er ikke obligatorisk, men det hjelper hvis du bruker flere systemer eller ønsker en mer portabel kopi. Noen passordbehandlere lagrer allerede både passord og tilgangsnøkler for å sentralisere alt.
Kan jeg fortsatt bruke passordet mitt hvis jeg aktiverer passord?
I mange tjenester, ja, av kompatibilitetsgrunner. Hvis du har muligheten, prioriter tilgangsnøkkelen og behold passordet som en eldre metode mens de fortsetter å eksistere side om side.
Hvilke biometriske data brukes og sendes til serveren?
Biometrien du allerede bruker for å låse opp enheten din (fingeravtrykk eller ansikt) brukes. Denne informasjonen deles ikke; den brukes kun til å bekrefte lokalt at verifiseringen var vellykket.
Passord ble laget for å løse de grunnleggende problemene med passord: de eliminerer behovet for å huske dem, beskytter mot phishing og reduserer virkningen av datainnbrudd, samtidig som de gir en sømløs opplevelse på din egen enhet. Med støtte fra Apple, Google, Microsoft og åpne standarder som FIDO2/WebAuthn , øker bruken av dem på tvers av systemer, nettlesere og store tjenester (e-handel, nettverk, finans og utvikling). Selv om de sameksisterer med passord, er det for tiden den mest fornuftige måten å forbedre sikkerheten din uten å komplisere ting å aktivere passord der det er tilgjengelig og opprettholde tofaktorautentisering (2FA) andre steder.
