passwordlesstodennuksen

Passwordlesstodennuksen tarkoittaa salasanatonta todennusta, jossa käyttäjä tunnistetaan ilman perinteistä salasanaa. Termi vastaa englanninkielistä ilmausta "passwordless authentication" ja kattaa useita tekniikoita, kuten julkisen avaimen järjestelmiin perustuvat oheislaitteet ja selaimen WebAuthn/FIDO2-standardit, biometriset tavut (sormenjälki, kasvot), kertakäyttöiset koodit sähköpostilla tai sovelluksella, sekä "magic link" -kirjautumiset.

Salasanattoman todennuksen edut ovat parempi käytettävyys ja vähentynyt tarve salasanojen muistamiseen sekä mahdollisesti parantunut turvallisuus, kun salasanoihin liittyvät hyökkäysvektorit (phishing, credential stuffing) eivät toimi samalla tavalla. Erityisesti FIDO2/WebAuthn-mallit tarjoavat suojausta keskitettyjä salasanoja vastaan käyttämällä laitekohtaisia avaimia ja todentamisen kriptografiaa.

Haasteita ovat tilanne, ettei laitetta tai biometrisiä tunnisteita ole saatavilla, monipuolisten tilin palautusmekanismien tarve, huoli yksityisyydestä sekä joidenkin kanavien (esim. SMS) haavoittuvuus sieppaukselle. Yhteentoimivuus ja käyttöoikeuden hallinta yritysympäristöissä vaativat suunnittelua.

Parhaat käytännöt suosittelevat standardoitujen ratkaisujen (FIDO/WebAuthn) käyttöä, vahvaa tilin palautuspolitiikkaa ja tarvittaessa monivaiheista todennusta riskiperusteisesti. Salasanaton todennus on yleistyvä osa digitaalista tunnistusta erityisesti mobiili- ja pilvipalveluissa.