FIDO2WebAuthnavaimet

FIDO2WebAuthnavaimet ovat kirjautumisen tunnisteita, jotka perustuvat FIDO2- ja WebAuthn-standardeihin. Niiden tavoitteena on mahdollistaa salasanoilta vapaa tai vahvistettu kirjautuminen siten, että yksityinen avain pysyy laitteessa eikä sitä jaeta palvelimelle.

FIDO2 koostuu FIDO Alliance -standardista, WebAuthn-standardeista (W3C) ja CTAP-protokollasta (Client To Authenticator Protocol). Yhdessä ne mahdollistavat julkisen avaimen kryptografiaan perustuvan kirjautumisen verkkopalveluille.

Käyttöprosessi: käyttäjä rekisteröi autentikoinnin, autentikaattori luo avainparin ja säilyttää yksityisen avaimen laitteessa sekä tallentaa julkisen avaimen palvelimelle. Kirjautuessa palvelin haastaa; autentikaattori allekirjoittaa haasteen yksityisellä avaimella. Vahvistukseen voidaan tarvita biometria tai PIN.

Laitteet: fyysiset turvatunnisteet (USB-/USB-C, NFC, BLE) sekä alustakohtaiset autentikaattorit kuten Windows Hello tai macOS/iOS -ratkaisut. WebAuthn tukee passkeys-käytäntöjä, jotka mahdollistavat kirjautumisen useilla laitteilla.

Turvallisuus ja yksityisyys: yksityinen avain pysyy laitteessa eikä liiku verkkoon; phishing- ja MITM-hyökkäykset ovat vaikeampia. Haasteena on laitteen menetys ja varmuuskopiointi; useampi avain ja varmuuskopiointi helpottavat hallintaa.

Käyttöönotto ja hallinta: organisaatioiden on tarjottava palautusmenettelyt sekä tuki useille laitteille ja varmistettava käytäntöjen sekä tietoturvan toteutus. FIDO2/WebAuthn-avaimet ovat laajalti yhteensopivia nykyaikaisten verkkopalveluiden kanssa.