Du har byttet telefon, og innloggingen ber om en passnøkkel som ser ut til å ligge på den gamle. Er kontoen tapt? Ikke nødvendigvis. Svaret avhenger av hvor passnøkkelen ble lagret, om du fortsatt kommer inn i kontoen hos passnøkkelleverandøren, og hvilke andre innloggingsmetoder den aktuelle tjenesten tilbyr.
Først: Hvilken nøkkel er det du har mistet?
En passnøkkel er ikke et passord du kan lese av og skrive inn på nytt. Tjenesten du logger inn hos, har en offentlig nøkkel; den private delen håndteres av enheten eller passnøkkelleverandøren. FIDO Alliance beskriver både synkroniserte passnøkler og nøkler knyttet til én enhet.
En synkronisert passnøkkel kan bli tilgjengelig på en ny enhet når du får tilgang til den samme passnøkkelleverandøren. En enhetsbundet passnøkkel, for eksempel en nøkkel lagret bare på en fysisk sikkerhetsnøkkel eller en bestemt PC, flyttes ikke automatisk. Det er derfor upresist å si enten at «passnøkler ligger i skyen» eller at «mistet telefon betyr mistet konto» uten å vite hvordan nøkkelen ble opprettet. Microsoft dokumenterer forskjellen for sine jobb- og skolekontoer.
Tre tilganger må vurderes hver for seg
- Enheten: Finnes passnøkkelen også på en annen telefon eller datamaskin, eller bare på den tapte enheten? En fysisk sikkerhetsnøkkel er en egen enhet, ikke en kopi av telefonen.
- Passnøkkelleverandøren: Hvis nøkkelen synkroniseres, kan du faktisk logge inn hos leverandøren på nytt? Apple beskriver gjenoppretting av iCloud-nøkkelring med flere kontrolltrinn. Å ha en synkronisert nøkkel hjelper lite dersom også leverandørkontoen er utilgjengelig.
- Tjenesten du skal inn i: Godtar den en annen registrert passnøkkel, en annen innloggingsmetode eller en dokumentert kontogjenoppretting? Dette avgjøres av tjenesten, ikke av passnøkkelteknologien alene. Google viser for eksempel «Prøv en annen måte» for Google-kontoer; det er ikke en garanti for at alle tjenester gjør det samme.
Disse tre lagene er en praktisk måte å finne bruddpunktet på. En gjenopprettet leverandørkonto kan gi tilbake synkroniserte nøkler, men ikke nødvendigvis en enhetsbundet nøkkel. En alternativ innlogging til tjenesten kan gi tilgang til kontoen selv om den gamle passnøkkelen er borte.
Når enheten er borte: rekkefølgen betyr noe
Bruk først en enhet og innloggingsmetode du fortsatt har kontroll over. Kontroller hvilke passnøkler og aktive enheter tjenesten viser. Opprett en fungerende ny innloggingsmetode før du fjerner en gammel, når situasjonen tillater det. Microsoft anbefaler å legge til ny sikkerhetsinformasjon før en passnøkkel fjernes, fordi fjerning ellers kan stenge deg ute. Ved mistanke om at en stjålet enhet kan brukes av andre, må sikring og tilbakekalling vurderes straks etter tjenestens egen prosedyre.
For en Google-konto beskriver Google hvordan passnøkler på en tapt enhet fjernes; automatisk opprettede Android-passnøkler håndteres via enhetsoversikten. For en jobb- eller skolekonto kan organisasjonens innloggingspolicy begrense både synkronisering og gjenoppretting. Følg virksomhetens administratorløp i stedet for å anta at den private kontoen din fungerer likt.
Gjør gjenoppretting mulig før du trenger den
Den nyttigste testen er enkel: Kan du forklare hvordan du ville logget inn hvis hovedenheten var utilgjengelig i morgen? Kontroller om passnøkkelen er synkronisert eller enhetsbundet, om du har tilgang til leverandørkontoen, og om den aktuelle tjenesten har en alternativ metode. Der tjenesten tillater det, kan en ekstra registrert passnøkkel eller en fysisk sikkerhetsnøkkel redusere avhengigheten av én enhet. Oppbevar eventuelle gjenopprettingskoder slik tjenesten anbefaler, adskilt fra enheten du kan miste.
Dette er ikke et argument mot passnøkler. Det er et skille mellom sterk innlogging og planlagt gjenoppretting. En løsning er først robust når begge deler er forstått. For virksomheter hører spørsmålet også hjemme i den bredere oversikten over hvem som faktisk kontrollerer IT-tilgangene.
