Vælg virksomhedskontoen på den bærbare, godkend login på enheden og arbejd videre: en passkey kan gøre hverdagen lettere. For virksomheder kræver det også en plan for tilladte enheder, erstatning og gendannelse.
Hvad der faktisk sker ved login
En passkey er en loginoplysning baseret på FIDO-standarder og et kryptografisk nøglepar. Tjenesten kender den offentlige nøgle. Authenticatoren bruger den tilhørende private nøgle, for eksempel på en smartphone, computer eller sikkerhedsnøgle. Ved login besvarer den en udfordring fra tjenesten med en digital signatur. Det kræver ingen loginadgangskode, som deles med webstedet.
WebAuthn er den standardiserede grænseflade til dette login på nettet; FIDO2 omfatter de underliggende mekanismer. For medarbejdere er det synlige forløb vigtigst: kontrollér konto og destination, og godkend derefter med enhedens PIN eller en egnet biometrisk kontrol. Valgmulighederne afhænger af tjeneste, operativsystem, browser og passkeyudbyder.
Hvorfor det er anderledes end adgangskode og engangskode
En adgangskode og en indtastet SMS- eller appkode kan efterspørges på en falsk loginside og videresendes. WebAuthn knytter loginoplysningen til den tiltænkte tjeneste. Det gør login med passkeys modstandsdygtigt over for phishing. Det sikrer dog ikke automatisk en inficeret enhed, en stjålet session eller en svag gendannelsesvej.
Lokal enhedsgodkendelse er ikke en anden adgangskode til webstedet. Om login opfylder den krævede multifaktor- eller godkendelsesstyrke, vurderes efter den konkrete metode og politik. Et vilkårligt tryk på en hvilken som helst nøgle er ikke en tilstrækkelig beskrivelse. Kilder: FIDO Alliance: passkeys forklaret (eksternt link).
Enhedsbundet eller synkroniseret: den afgørende forskel
Enhedsbundne passkeys bliver på den konkrete authenticator. Det kan være en passende understøttet telefon eller en FIDO2-sikkerhedsnøgle. En ny nøgle eller erstatningstelefon har ikke denne loginmulighed, blot fordi den tilhører samme person. En yderligere tilladt authenticator skal registreres, eller en forberedt gendannelsesproces bruges.
Synkroniserede passkeys kan via en passkeyudbyder blive tilgængelige på andre godkendte enheder tilhørende samme person. Derfor er udbyderens konto, beskyttelse og gendannelse vigtig. Understøttede enheder og overførselsveje afhænger af udbyderen. Det indebærer ikke vilkårlig eksport mellem alle platforme eller automatisk optagelse i virksomhedsadministrationen.
| Variant | Hvad sker der ved enhedsskift? | Afklar før drift |
|---|---|---|
| Enhedsbundet passkey | Registrér en ny authenticator, eller brug den planlagte gendannelsesvej. | Forbered erstatning og ansvar uafhængigt. |
| Synkroniseret passkey | Tilgængelig på en understøttet enhed via den rette udbyder; udbyderens gendannelsesvej er relevant. | Fastlæg tilladt udbyderkonto, enheder og kontobeskyttelse. |
| Login på tværs af enheder | Brug af en eksisterende authenticator på en anden enhed er ikke det samme som kopiering. | Test den understøttede kombination og en sikker session på målenheden. |
En telefon kan logge ind uden at kopiere passkeyen
Et hypotetisk arbejdsforløb: en medarbejder åbner en godkendt virksomhedsportal på mødelokalets bærbare. Hendes tilladte smartphone bekræfter login. En understøttet metode på tværs af enheder bruger authenticatoren på telefonen. Det er forskelligt fra synkronisering eller permanent registrering på den bærbare.
Disse forløb kan kræve nærhedskontrol og yderligere tekniske forudsætninger. De testes med de faktisk anvendte enheder og browsere. På en fælles computer er korrekt konto, passende sessionsvarighed og efterfølgende logout også vigtige. En telefon i nærheden erstatter ikke disse organisatoriske skridt.
Skeln bevidst mellem private og administrerede enheder
Hvis virksomhedsadgang kun synkroniseres i en privat platformskonto, kan virksomhedens gendannelse afhænge af en persons private konto. Fastlæg derfor på forhånd, hvilke udbydere, enheder og passkeytyper der er tilladt for hver brugergruppe. En administreret enhed gør visse krav lettere; administration betyder dog ikke automatisk, at administratorer kan læse enhver privat nøgle.
Ifølge den kontrollerede dokumentation understøtter Microsoft Entra ID både synkroniserede og enhedsbundne passkeys og kan anvende krav på grupper gennem passkeyprofiler. Det godkender ikke alle kombinationer: registrering, eksisterende rettigheder, enhedsunderstøttelse og politikker skal passe sammen. Kilder: Microsoft: passkeys og profiler i Entra ID (eksternt link).
Planlæg erstatning og fratrædelse før bred indførelse
En pilot omfatter ud over vellykket login også en mistet telefon, defekt sikkerhedsnøgle og spærret udbyderkonto. Afhængigt af beskyttelsesbehovet forberedes en uafhængigt registreret erstatningsauthenticator eller en kontrolleret gendannelsesvej. Enhedsskift er et dårligt tidspunkt først at lede efter den ansvarlige og de nødvendige beviser.
Ved fratrædelse spærres virksomhedsadgangen i identitetstjenesten eller målsystemet, og registrerede metoder tilbagekaldes passende. En kopi i en privat synkroniseringskonto behøver ikke forsvinde fra den private enhed; det afgørende er, at den ikke længere accepteres til virksomhedsadgang. Eksisterende sessioner og andre loginveje behandles særskilt. Det indebærer ikke generel fjernsletning af private enheder.
Hvad der sker med fingeraftryk og ansigtsdata
Ved WebAuthn-login modtager tjenesten ingen biometriske kendetegn som fingeraftryk eller ansigtsskabelon. Kontrollen sker lokalt i authenticatoren; tjenesten modtager kryptografisk bevis og de tilsigtede kontroloplysninger. Enhedens PIN sendes heller ikke som webstedets adgangskode. Den præcise behandling på enheden og hos passkeyudbyderen indgår fortsat i valget af enheder og udbyder.
Kilder: W3C: lokal biometrisk kontrol med WebAuthn (eksternt link). Det betyder ikke generelt, at en involveret cloududbyder slet ikke behandler kontodata eller metadata.
Begynd med en overskuelig pilot
DAXS hjælper med valg af egnede tjenester og enheder, aftalte roller og gendannelse samt en pilot med dokumenterede resultater. Der kontrolleres almindeligt login, erstatning, fælles arbejdspladser og fratrædelse. Først derefter vælges de metoder, der skal udbredes i virksomheden.
Tal om indførelse af passkeys · Planlæg arbejdspladser og identiteter · Administrér fælles virksomhedsadgang ordentligt
Ofte stillede spørgsmål
Kan jeg bare kopiere en enhedsbundet passkey til en ny telefon?
Netop det er ikke hensigten med enhedsbundne passkeys. Synkroniserede passkeys kan blive tilgængelige på understøttede enheder via den rette udbyderkonto. Den konkrete skiftevej testes på forhånd.
Skal alle bruge deres private smartphone?
Det fastlægges i virksomhedens driftskoncept. Afhængigt af tjeneste og krav kan administrerede enheder, egnede sikkerhedsnøgler eller andre understøttede authenticatorer bruges.
Erstatter en passkey alle rettigheder i virksomheden?
Den dokumenterer login på en konto. Hvilke applikationer og data kontoen må bruge, er fortsat en særskilt opgave for bruger- og rettighedsstyring.
