phishingresistenttejä

Phishingresistenttejä ovat todennus- tai kirjautumismenetelmät, jotka on suunniteltu kestämään phishing-hyökkäyksiä. Näiden menetelmien päätarkoitus on varmistaa, että käyttäjän todistus ei siirry hyökkääjälle eikä salasanaa lähetetä väärennetylle sivustolle. Usein ratkaisu perustuu kryptografisiin avaimiin sekä laitteistokohtaiseen hallintaan ja alkuperään sidottuun todentamiseen.

Keskeisiä esimerkkejä ovat FIDO2/WebAuthn -standardin mukaiset turvasäilöt, kuten fyysiset turvallisuusavaimet sekä passkeys-ratkaisut, jotka tallentavat avaimet laitteeseen. Näissä todentaminen on sidottu alkuperään (origin), eikä hyökkääjä voi käyttää todistusta väärennetylle sivustolle. Riippuen toteutuksesta ne voivat olla roaming- tai platform-toteutuksia.

Hyödyt koostuvat korkeammasta phishing-kestosta, sillä salasanoja ei siirretä palvelimille eikä käyttäjä voi varmistaa epäilyttävää sivustoa samalla tavalla kuin perinteisessä kirjautumisessa. Ne parantavat käyttökokemusta ja sovellettavuutta useisiin palveluihin, ja standardien kautta on mahdollista saavuttaa laaja yhteensopivuus sekä yritysten että yksittäisten käyttäjien tilien suojaus.

Haasteisiin kuuluu laitteiston ja ohjelmiston yhteensopivuuden varmistaminen, käyttöönoton vaatima koulutus sekä palautus- ja vara-avaintenhallinnan ratkaisut. Laitteen menettäminen, rikkinäiset avaimet sekä hallinnolliset kustannukset voivat asettaa pullonkauloja erityisesti suurissa organisaatioissa.

Käyttöönotossa suositellaan riskinarviointia, vaiheittaista implementointia ja ohjeistusten sekä politiikkojen päivittämistä. Tärkeää on noudattaa alan standardeja (esimerkiksi FIDO Alliance, WebAuthn) sekä huolehtia koulutuksesta ja tukipalveluista.