Wybrać konto firmowe na laptopie, zatwierdzić logowanie na urządzeniu i pracować dalej: klucz dostępu może uprościć dzień pracy. W firmie potrzebny jest również plan dozwolonych urządzeń, zastępstwa i odzyskiwania dostępu.
Co naprawdę dzieje się podczas logowania
Klucz dostępu (passkey) to poświadczenie oparte na standardach FIDO i parze kluczy kryptograficznych. Usługa zna klucz publiczny. Odpowiadający mu klucz prywatny wykorzystuje uwierzytelniacz, na przykład w telefonie, komputerze lub kluczu bezpieczeństwa. Podczas logowania odpowiada podpisem cyfrowym na wyzwanie usługi. Nie wymaga to hasła logowania współdzielonego z witryną.
WebAuthn oznacza standardowy interfejs takiego logowania w sieci; FIDO2 obejmuje mechanizmy leżące u jego podstaw. Dla pracowników najważniejszy jest widoczny przebieg: sprawdzić konto i cel, a następnie zatwierdzić kodem PIN urządzenia lub odpowiednim sprawdzeniem biometrycznym. Dostępne opcje zależą od usługi, systemu, przeglądarki i dostawcy kluczy dostępu.
Dlaczego różni się to od hasła z jednorazowym kodem
Hasło i ręcznie wpisany kod SMS lub z aplikacji mogą zostać wyłudzone na fałszywej stronie logowania i przekazane dalej. WebAuthn wiąże poświadczenie z właściwą usługą. Dzięki temu logowanie kluczem dostępu jest odporne na phishing. Nie zabezpiecza jednak automatycznie zainfekowanego urządzenia, skradzionej sesji ani słabego procesu odzyskiwania.
Lokalne zatwierdzenie na urządzeniu nie jest drugim hasłem witryny. Spełnienie wymaganego poziomu uwierzytelniania wieloskładnikowego lub jego siły ocenia się według faktycznej metody i polityki. Dowolne naciśnięcie przycisku na jakimkolwiek kluczu nie jest wystarczającym opisem. Źródła: FIDO Alliance: wyjaśnienie kluczy dostępu (link zewnętrzny).
Związane z urządzeniem czy synchronizowane: kluczowa różnica
Klucze dostępu związane z urządzeniem pozostają na konkretnym uwierzytelniaczu. Może to być odpowiednio obsługiwany telefon lub klucz bezpieczeństwa FIDO2. Nowy klucz albo telefon zastępczy nie ma tego poświadczenia tylko dlatego, że należy do tej samej osoby. Trzeba zarejestrować kolejny dozwolony uwierzytelniacz lub użyć przygotowanej procedury odzyskiwania.
Synchronizowane klucze dostępu mogą przez dostawcę kluczy dostępu trafić na inne uprawnione urządzenia tej samej osoby. Istotne są zatem jego konto, ochrona i odzyskiwanie dostępu. Obsługiwane urządzenia i drogi przenoszenia zależą od dostawcy. Nie wynika z tego dowolny eksport między wszystkimi platformami ani automatyczne włączenie do firmowego zarządzania.
| Wariant | Co następuje przy zmianie urządzenia? | Wyjaśnić przed eksploatacją |
|---|---|---|
| Klucz dostępu związany z urządzeniem | Zarejestrować nowy uwierzytelniacz lub użyć przewidzianej drogi odzyskiwania. | Niezależnie przygotować zastępstwo i odpowiedzialność. |
| Synchronizowany klucz dostępu | Dostępna na obsługiwanym urządzeniu przez odpowiedniego dostawcę; ważna jest jego droga odzyskiwania. | Określić dozwolone konto dostawcy, urządzenia i ochronę konta. |
| Logowanie między urządzeniami | Użycie istniejącego uwierzytelniacza na innym urządzeniu nie oznacza jego kopiowania. | Przetestować obsługiwaną kombinację i bezpieczną sesję na urządzeniu docelowym. |
Telefon może zalogować bez kopiowania klucza dostępu
Pewien hipotetyczny przebieg pracy: pracownica otwiera zatwierdzony portal firmowy na laptopie w sali spotkań. Dozwolony telefon potwierdza logowanie. Obsługiwana metoda między urządzeniami korzysta wtedy z uwierzytelniacza telefonu. Różni się to od synchronizacji lub trwałej rejestracji na laptopie.
Takie procesy mogą wymagać sprawdzenia bliskości i dodatkowych warunków technicznych. Testuje się je z faktycznie używanymi urządzeniami i przeglądarkami. Na wspólnym komputerze trzeba też zadbać o właściwe konto, odpowiedni czas sesji i późniejsze wylogowanie. Telefon w pobliżu nie zastępuje tych działań organizacyjnych.
Świadomie rozdzielić urządzenia prywatne i zarządzane
Jeżeli dostęp firmowy jest synchronizowany wyłącznie w osobistym koncie platformy, firmowe odzyskiwanie może zależeć od prywatnego konta konkretnej osoby. Dlatego wcześniej ustala się dostawców, urządzenia i typy kluczy dostępu dozwolone dla poszczególnych grup. Zarządzane urządzenie ułatwia niektóre wymagania; samo zarządzanie nie umożliwia jednak automatycznie odczytania wszystkich kluczy prywatnych.
Według sprawdzonej dokumentacji Microsoft Entra ID obsługuje klucze dostępu synchronizowane i związane z urządzeniem oraz może stosować wymagania wobec grup za pomocą profili kluczy dostępu. Nie oznacza to zatwierdzenia każdej kombinacji: rejestracja, istniejące uprawnienia, obsługa urządzeń i polityki muszą do siebie pasować. Źródła: Microsoft: klucze dostępu i profile w Entra ID (link zewnętrzny).
Zastępstwo i odejście z firmy zaplanować przed szerokim wdrożeniem
Pilotaż obejmuje obok udanego logowania także zgubiony telefon, uszkodzony klucz bezpieczeństwa i zablokowane konto dostawcy. Zależnie od potrzeb ochrony przygotowuje się niezależnie zarejestrowany uwierzytelniacz zastępczy albo kontrolowane odzyskiwanie. Zmiana urządzenia to zły moment, aby dopiero szukać osoby odpowiedzialnej i wymaganych dowodów.
Przy odejściu dostęp firmowy blokuje się w usłudze tożsamości lub systemie docelowym i odpowiednio wycofuje zarejestrowane metody. Kopia w prywatnym koncie synchronizacji nie musi przez to zniknąć z prywatnego urządzenia; ważne, aby nie była już akceptowana dla dostępu firmowego. Istniejące sesje i inne metody logowania uwzględnia się oddzielnie. Nie wynika z tego ogólne zdalne kasowanie urządzeń prywatnych.
Co dzieje się z odciskiem palca i danymi twarzy
Przy logowaniu WebAuthn usługa nie otrzymuje cech biometrycznych, takich jak odcisk palca czy szablon twarzy. Sprawdzenie odbywa się lokalnie w uwierzytelniaczu; usługa dostaje dowód kryptograficzny i przewidziane informacje weryfikacyjne. PIN urządzenia również nie jest przesyłany jako hasło witryny. Dokładne przetwarzanie w urządzeniu i u dostawcy kluczy dostępu nadal należy do kryteriów wyboru.
Źródła: W3C: lokalna weryfikacja biometryczna w WebAuthn (link zewnętrzny). Nie oznacza to ogólnego twierdzenia, że uczestniczący dostawca chmury nie przetwarza żadnych danych konta ani metadanych.
Zacząć od pilotażu o ograniczonym zakresie
DAXS pomaga wybrać odpowiednie usługi i urządzenia, uzgodnić role i odzyskiwanie oraz przeprowadzić pilotaż z udokumentowanymi wynikami. Sprawdza się zwykłe logowanie, zastępstwo, wspólne stanowiska i odejście z firmy. Dopiero potem zapada decyzja o metodach wdrażanych szerzej.
Omówić wdrożenie kluczy dostępu · Zaplanować stanowiska i tożsamości · Uporządkować wspólne dostępy firmowe
Częste pytania
Czy mogę po prostu skopiować klucz dostępu związany z urządzeniem na nowy telefon?
Właśnie tego nie przewidują klucze dostępu związane z urządzeniem. Synchronizowane klucze dostępu mogą być dostępne na obsługiwanych urządzeniach właściwego konta dostawcy. Konkretną drogę zmiany testuje się wcześniej.
Czy każda osoba musi używać prywatnego telefonu?
Określa to firmowa koncepcja eksploatacji. Zależnie od usługi i wymagań można stosować urządzenia zarządzane, odpowiednie klucze bezpieczeństwa lub inne obsługiwane uwierzytelniacze.
Czy klucz dostępu zastępuje wszystkie uprawnienia w firmie?
Potwierdza logowanie do konta. To, do jakich aplikacji i danych konto ma dostęp, pozostaje osobnym zadaniem zarządzania użytkownikami i uprawnieniami.
