Passkeys: Sådan siger du farvel til adgangskoder

Adgangskoden er internettets svageste led. Vi genbruger dem, vi glemmer dem, og vi taster dem ind på falske loginsider, der ligner den rigtige til forveksling. Passkeys er branchens bud på en afløser – og de er allerede understøttet af de fleste store tjenester, styresystemer og browsere.

Hvad er en passkey?

En passkey er et par kryptografiske nøgler, som oprettes, når du tilknytter en konto:

• Den private nøgle bliver på din enhed (eller i din adgangskodeadministrator) og forlader den aldrig.
• Den offentlige nøgle gemmes hos tjenesten, fx din webshop eller dit mailsystem.

Når du logger ind, sender tjenesten en lille opgave til din enhed. Enheden løser den med den private nøgle, efter du har låst op med fingeraftryk, ansigtsgenkendelse eller pinkode. Tjenesten kan kontrollere svaret med den offentlige nøgle – uden nogensinde at have set din hemmelighed.

Teknologien hedder FIDO2 og WebAuthn og er udviklet i et samarbejde mellem bl.a. Apple, Google og Microsoft.

Hvorfor er det mere sikkert?

Der er ingen hemmelighed at stjæle hos tjenesten – og intet at taste ind på en falsk side.

Tre ting gør passkeys markant stærkere end adgangskoder:

1. De kan ikke phishes. En passkey er bundet til det domæne, den blev oprettet til. Lander du på en falsk side med en adresse, der ligner den rigtige, vil din enhed simpelthen ikke tilbyde passkeyen.
2. Læk hos tjenesten er ufarlige. Bliver en database hacket, får angriberen kun offentlige nøgler, som ikke kan bruges til at logge ind.
3. Ingen genbrug. Hver tjeneste får sin egen unikke passkey. Et læk ét sted åbner ikke døren alle andre steder.

Hvor gemmes dine passkeys?

Her er der sket meget de seneste år. Oprindeligt lå en passkey låst til én fysisk enhed. I dag synkroniseres de typisk på tværs af dine enheder:

• Apple-brugere: iCloud-nøglering synkroniserer mellem iPhone, iPad og Mac.
• Android og Chrome: Googles adgangskodeadministrator.
• Windows: Windows Hello og Microsoft-kontoen.
• Uafhængige administratorer: Mange tredjeparts-adgangskodeadministratorer kan nu gemme passkeys og bruges på tværs af platforme.

Vil du have maksimal kontrol, kan du også bruge en fysisk sikkerhedsnøgle (USB eller NFC), hvor passkeyen aldrig kan kopieres ud.

Sådan kommer du i gang

1. Start med din vigtigste konto – typisk din e-mail. Har nogen adgang til din mail, kan de nulstille adgangskoden til næsten alt andet.
2. Gå til kontoens sikkerhedsindstillinger og led efter "Passkeys", "Adgangsnøgler" eller "Log ind uden adgangskode".
3. Opret en passkey på din telefon og godkend med fingeraftryk eller ansigt.
4. Opret gerne en ekstra på en anden enhed eller en sikkerhedsnøgle, så du ikke er låst ude, hvis telefonen forsvinder.
5. Gentag for dine andre vigtige konti: cloudlagring, sociale medier og de webshops, hvor dit betalingskort er gemt.

Er der ulemper?

Ja, et par stykker:

• Ikke alle tjenester er med endnu. Du kommer til at leve med både passkeys og adgangskoder i en årrække.
• Gendannelse kræver omtanke. Mister du alle dine enheder og har ikke en gendannelsesmulighed sat op, kan det være besværligt at komme ind igen. Sørg for at have gendannelseskoder eller en backup-enhed.
• Adgangskoden findes ofte stadig. Mange tjenester beholder din gamle adgangskode som reserve. Den bør derfor stadig være stærk og unik – eller slettes, hvis tjenesten tillader det.

Hvad med MitID?

MitID er en separat løsning og fungerer ikke som en passkey i almindelig forstand. Du skal fortsat bruge MitID-appen eller kodeviseren til offentlige tjenester og netbank.

Konklusion

Passkeys er et af de sjældne sikkerhedsskridt, der både gør dig mere sikker og gør hverdagen nemmere. Brug ti minutter på at slå det til på din mail og dine vigtigste konti. Og mens du er i gang med sikkerheden derhjemme, så tag også et kig på din router.