Lösenord är döda: Så fungerar digitala nycklar utan text

Lösenord har länge varit en självklar del av vår digitala vardag, men tekniken håller på att förändras. I stället för att skriva in en kombination av bokstäver, siffror och symboler kan användare allt oftare logga in med digitala nycklar. Dessa bygger på modern kryptografi och kan använda exempelvis mobilen, datorns biometriska funktioner eller en fysisk säkerhetsnyckel för att verifiera identiteten. Resultatet är en inloggning där inget traditionellt lösenord behöver anges eller lagras. Men hur fungerar egentligen digitala nycklar, varför anses de säkrare och vad händer med lösenorden vi använder i dag? Här går vi igenom tekniken bakom utvecklingen och hur framtidens inloggningar kan förändra vår digitala vardag.

Så fungerar digitala nycklar bakom kulisserna

Digitala nycklar bygger på en annan princip än traditionella lösenord. I stället för att användaren bevisar sin identitet genom att skriva in en hemlig text används kryptografiska nyckelpar. Den privata nyckeln finns kvar på användarens enhet, medan den offentliga nyckeln kan delas med tjänsten som hanterar inloggningen. När en inloggning genomförs skapas en kryptografisk signatur som visar att rätt enhet har använts. Den privata nyckeln behöver aldrig lämna enheten. Det gör att själva hemligheten inte behöver skickas över internet eller lagras på samma sätt som ett traditionellt lösenord.

Två nycklar i stället för ett lösenord

Tekniken bygger på asymmetrisk kryptografi, där en privat och en offentlig nyckel hör ihop. Den privata nyckeln skapas och skyddas på användarens enhet, exempelvis i en mobiltelefon eller dator. Den offentliga nyckeln registreras hos tjänsten som användaren vill logga in på. När personen senare försöker logga in skickar tjänsten en utmaning till enheten. Enheten använder den privata nyckeln för att skapa ett svar som kan verifieras med den offentliga nyckeln. På så sätt kan tjänsten kontrollera identiteten utan att någonsin behöva få tillgång till den privata nyckeln.

En viktig del är att den privata nyckeln normalt skyddas av enhetens egna säkerhetsfunktioner. Användaren kan exempelvis behöva låsa upp telefonen med fingeravtryck, ansiktsigenkänning eller en PIN-kod. Den biometriska informationen används då för att godkänna användningen av nyckeln, snarare än att skickas till webbplatsen. Det innebär att webbplatsen inte behöver lagra ett fingeravtryck eller ett ansiktsfoto för att genomföra inloggningen. Den känsliga informationen stannar på enheten, medan tjänsten endast får den kryptografiska information som behövs för att verifiera inloggningen.

Inloggningen sker utan text

För användaren kan processen vara betydligt enklare än en traditionell lösenordsinloggning. När en digital nyckel har skapats för en tjänst behöver personen normalt inte komma ihåg någon särskild teckenkombination. Vid nästa inloggning väljer användaren den aktuella nyckeln och bekräftar sin identitet på enheten. Beroende på system kan detta ske med biometrisk identifiering eller en lokal PIN-kod. Tjänsten kontrollerar därefter den kryptografiska signaturen. Någon lösenordstext behöver alltså inte skrivas in, skickas till tjänsten eller hanteras av användaren.

Digitala nycklar kan dessutom vara kopplade till flera olika enheter. En användare kan exempelvis ha en nyckel på sin telefon och samtidigt använda en kompatibel dator för att logga in. Tekniken är utformad för att göra inloggningen smidigare utan att den privata nyckeln behöver exponeras. Det är också möjligt att använda vissa säkerhetsnycklar som fysisk inloggningsmetod. Därmed kan digitala nycklar fungera både i vardagliga situationer och i miljöer där högre krav ställs på autentisering och skydd mot obehörig åtkomst.

Därför ersätter digitala nycklar traditionella lösenord

Lösenord har länge varit den vanligaste metoden för att skydda digitala konton, men de innebär flera praktiska och säkerhetsmässiga problem. Användare förväntas skapa unika och svårgissade lösenord, samtidigt som de ska komma ihåg dem och hantera många olika konton. När samma lösenord används på flera platser kan ett intrång få konsekvenser för flera tjänster samtidigt. Digitala nycklar försöker förändra denna modell genom att flytta den hemliga informationen från en textbaserad inloggning till kryptografiska nycklar som hanteras av användarens enheter.

Färre lösenord att komma ihåg

Ett av de tydligaste användningsområdena är att minska beroendet av lösenord. Traditionella lösenord kan glömmas, återanvändas eller skrivas ner på osäkra platser. De kan också utsättas för nätfiske där en angripare försöker lura användaren att skriva in uppgifterna på en falsk webbplats. Digitala nycklar är konstruerade på ett annat sätt. Den kryptografiska autentiseringen är kopplad till den aktuella tjänsten, vilket gör att en falsk webbplats inte på samma sätt kan använda en användares nyckel för att logga in på den riktiga tjänsten.

Det innebär inte att all säkerhet automatiskt blir perfekt. En användare behöver fortfarande skydda sina enheter och sina sätt att låsa upp dem. Om någon får fysisk tillgång till en olåst telefon eller dator kan situationen se annorlunda ut. Därför är en stark skärmlåsning fortfarande viktig. Digitala nycklar förändrar framför allt var den känsliga informationen finns och hur den används. I stället för att förlita sig på en hemlig text som ska skickas till en tjänst används en privat kryptografisk nyckel som stannar under användarens kontroll.

Skydd mot nätfiske

En central egenskap hos digitala nycklar är kopplingen mellan autentiseringen och den tjänst som användaren försöker logga in på. Vid ett vanligt lösenord kan användaren råka skriva in samma uppgifter på en falsk webbplats. Angriparen kan då försöka använda uppgifterna på den riktiga tjänsten. Digitala nycklar bygger i stället på kryptografiska kontroller som är utformade för att knyta autentiseringen till rätt webbplats eller tjänst. Det gör vissa typer av nätfiske betydligt svårare, eftersom angriparen inte enkelt kan samla in ett lösenord som sedan kan återanvändas.

För företag kan detta få särskild betydelse eftersom konton ofta används för att komma åt interna system, molntjänster och känslig information. Genom att minska användningen av lösenord kan organisationer också minska behovet av återställningar och lösenordspolicyer. Digitala nycklar kan därför bli en del av ett bredare säkerhetsarbete där fler faktorer kombineras. Tekniken ersätter dock inte behovet av behörighetskontroller, säkra enheter och rutiner för att hantera förlorade eller komprometterade enheter.

En enklare inloggning i vardagen

För många användare är den praktiska skillnaden minst lika viktig som säkerhetsaspekten. I stället för att öppna en lösenordshanterare, leta efter rätt uppgift och skriva in den kan användaren ofta bekräfta inloggningen direkt på sin enhet. Det kan innebära färre steg och mindre friktion när flera digitala tjänster används under samma dag. Samtidigt behöver användaren inte memorera en lång kombination av tecken för varje konto. När fler tjänster stöder tekniken kan samma grundprincip därför användas på många olika plattformar och enheter.

Är lösenordsfria inloggningar verkligen säkrare?

Att ta bort lösenord innebär inte att säkerheten upphör att vara en fråga. Digitala nycklar förändrar framför allt vilken typ av hemlighet som används och var den skyddas. Den privata nyckeln är central för autentiseringen och måste därför hanteras på ett säkert sätt. Moderna telefoner och datorer kan använda särskilda säkerhetskomponenter för att skydda kryptografiska nycklar. Samtidigt behöver användaren ha kontroll över sina enheter och kunna återfå tillgång till konton om en telefon eller dator går förlorad.

Vad händer om enheten försvinner?

En vanlig fråga är vad som händer när en mobiltelefon, dator eller annan enhet med digitala nycklar försvinner. Lösningen beror på hur tjänsten och nyckeln är utformade. Vissa system kan synkronisera nycklar mellan användarens egna enheter genom säkerhetsmekanismer som gör att de kan återställas. I andra situationer kan en ny nyckel behöva registreras på en ny enhet. Därför är återställningsmöjligheter en viktig del av hur lösenordsfria system fungerar i praktiken.

Användaren bör också skydda själva enheten med en stark lokal autentisering. Ett fingeravtryck, ansiktsigenkänning eller en säker PIN-kod kan fungera som ett lokalt skydd för den privata nyckeln. Om telefonen blir stulen är det alltså inte nödvändigtvis samma sak som att angriparen omedelbart får tillgång till kontots autentiseringsuppgifter. Säkerheten beror dock på flera faktorer, bland annat enhetens skydd, kontots återställningsmetoder och hur tjänsten hanterar borttagna eller ersatta nycklar.

Tekniken kräver fortfarande säkerhetsrutiner

Digitala nycklar minskar vissa risker, men de gör inte användaren immun mot alla former av bedrägerier eller attacker. Angripare kan fortfarande försöka lura personer att installera skadlig programvara, lämna ifrån sig en enhet eller godkänna något de inte förstår. Därför behöver lösenordsfria system kombineras med tydliga säkerhetsrutiner. Organisationer behöver exempelvis ha processer för att hantera förlorade enheter, avsluta gamla autentiseringsmetoder och kontrollera vilka personer som har tillgång till olika konton.

För användaren blir det samtidigt viktigt att förstå skillnaden mellan själva nyckeln och den metod som används för att låsa upp den. Ett fingeravtryck eller en PIN-kod är inte nödvändigtvis samma sak som den digitala nyckeln. De används för att ge tillgång till nyckeln på den lokala enheten. Den privata nyckeln kan sedan användas för att genomföra den kryptografiska kontrollen utan att hemligheten behöver lämna enheten. Det är denna arkitektur som gör lösenordsfria inloggningar fundamentalt annorlunda än traditionella lösenord.

Från lösenord till digital identitet

Utvecklingen mot digitala nycklar handlar därför inte enbart om att ersätta ett textfält på en inloggningssida. Det handlar om att förändra hur digital identitet hanteras. I den traditionella modellen är lösenordet ofta den centrala hemligheten som användaren och tjänsten måste skydda. Med kryptografiska nycklar flyttas en större del av ansvaret till säkra enheter och kryptografiska processer. Det kan ge en mer motståndskraftig modell för autentisering samtidigt som inloggningen blir enklare för användaren.

När fler tjänster inför lösenordsfria metoder kan övergången ske gradvis. Användare kan fortfarande möta traditionella lösenord på vissa webbplatser, medan andra tjänster erbjuder digitala nycklar som ett alternativ eller en huvudsaklig inloggningsmetod. Skillnaden kommer därför att märkas stegvis snarare än över en natt. På sikt kan själva lösenordsfältet bli mindre centralt i digitala tjänster, medan enhetens säkerhetsfunktioner och kryptografiska nycklar får en större roll i hur människor bevisar sin identitet online.