Sikkerhetstokens

Sikkerhetstokens er en betegnelse for fysiske enheter eller programvare som genererer eller lagrer kryptografiske bevis som brukes til å bekrefte identitet og autorisere handlinger i datasystemer. De inngår ofte i flerfaktorautentisering (MFA) og bidrar til å redusere risikoen for uautorisert tilgang ved at brukeren må fremvise noe annet enn bare et passord.

Typer sikkerhetstokens varierer. Fysiske tokens inkluderer OTP-generatorer, smartkort og USB-nøkler som følger standarder som FIDO2 og WebAuthn. Disse leverer ofte en sterk, phishing-resistent autentisering ved hjelp av offentlig nøkkel-kryptografi. Programvarebaserte tokens omfatter tidsbaserte OTP-apper (for eksempel TOTP) som Google Authenticator eller Authy, samt push-baserte løsninger og tokens sendt via e-post eller SMS. I mange systemer brukes også kryptografiske tokens som JSON Web Tokens (JWT) for tilgangs- og oppgaveautorisasjon i API-er og webapplikasjoner, ofte i kombinasjon med OAuth 2.0 og OpenID Connect.

Standarder og protokoller som ofte omtales i forbindelse med sikkerhetstokens inkluderer HOTP og TOTP for en- eller mangedose OTP, FIDO2/WebAuthn og U2F for passordløse eller sterke PKI-baserte løsninger, samt OAuth 2.0 og OpenID Connect som rammeverk for tilgangstokens og identitetsbekreftelse i nettjenester.

Sikkerhetstokens gir fordeler som redusert risiko for phishing og passordtyveri, evne til offline bruk i noen tilfeller, og sentralisert administrasjon. Utfordringer inkluderer tap eller tap av tokens, kompleksitet i administrasjon og nøkkelhåndtering, samt behov for tilbakekobling og gjenopprettingsrutiner ved tapt utstyr eller kompromittering.