Vad är lösenordsfri autentisering?

Lösenordslös autentisering innebär att man verifierar en persons identitet utan att använda det typiska användarnamnet och lösenordet. Verktyg som injicerar traditionella referenser i en inloggningsprompt är inte lösenordslösa.

De vanligaste metoderna för autentisering utan lösenord är biometri, t.ex. fingeravtryck och ansiktsigenkänning, och appar som är vanliga på smartphones. Dessa smartphone-appar kräver ofta en biometrisk ID-verifiering som kombinerar flera faktorer i en enda autentiseringsprocess.

Löftet om att lösenordsfri autentisering ska ersätta traditionella inloggningsuppgifter har funnits i över tre decennier, men den teknik som finns tillgänglig idag har gjort det till verklighet. År 2022 uppgick den lösenordslösa marknaden till 15,6 miljarder dollar, men den förväntas växa till över 53 miljarder dollar år 2030. En stor del av dagens användning av lösenordslösa lösningar möjliggörs genom smartphones.

Under det senaste årtiondet har efterlevnad av myndighetskrav varit den drivande kraften för organisationer att införa lösenordslös teknik:

• Statliga myndigheter - Statligamyndigheter och myndigheter inom den offentliga sektorn omfattas nu av specifika krav på multifaktorautentisering. Dessa krav började som rekommendationer men förvandlades med åren till policyer. Policyerna infördes som allmänna riktlinjer men utvecklades med tiden till specifika tvåfaktormandat för åtkomst till sekretessbelagda dokument.
• Hälso- och sjukvården Hälso- och sjukvårdsintrångi USA och i resten av världen orsakar mer ekonomisk skada för organisationer på denna marknad än på någon annan, till och med finansmarknaden. Statliga institutioner har svarat med specifika krav på lösenordslösning och tvåfaktorsautentisering.
• Finansiella tjänster - Även omstatliga bestämmelser kräver att kundernas privata ekonomiska och personliga information skyddas, är konsumenternas förtroende en ännu viktigare drivkraft för att säkra data. Medan finansiella tjänster har varit ledande inom multifaktorautentisering, har smartphone-plattformar ytterligare drivit på användningen av lösenordslös identitetsverifiering. 

Identitetsverifiering för arbetskraften

Historiskt sett har användningen av lösenordslös teknik som en del av personalens säkerhet varit förpassad till specialiserade applikationer och användare. Det är först under det senaste årtiondet som de fyra största hindren för detta har försvunnit:

1. Hårda tokens, företagsspecifika fingeravtrycksläsare och andra biometriska enheter har varit för dyra för användning i hela företaget.
2. Kostnaden för registrering var oöverkomlig för massanvändning, särskilt för avlägsna kontor som var för små för att motivera IT-support på plats, samt för anställda på distans. Utan fjärradministration krävde enheterna fysisk beröring för installation.
3. Den löpande fjärradministrationen av autentiseringsenheter var omöjlig. Fjärranvändare var tvungna att skicka in sina apparater för att utföra återställningar och omkonfigurationer.
4. Säkerhetsteam, deras ledning och särskilt deras användare saknade förtroende för lösenordslös teknik. Den senaste tidens spridning av användningsfall där lösenordslösa användare har blivit mainstream har genererat en våg av modernisering och planering av autentisering.

Utöver utvecklingen av enheterna har även användningsområdena för autentisering och kraven kring dem förändrats, utöver myndigheternas krav.

Arbete på distans

Mer än någonsin tidigare är fältarbetare uppkopplade och kommer ofta åt privat information med hjälp av mobila plattformar. Förutom de typiska vägkrigarna har användningen av distansarbete ökat avsevärt under de senaste tre åren. Även om distansarbete redan hade ökat stadigt före pandemin har nya policyer för distansarbete fått stor spridning i alla branscher.

Moln 

Strukturerad och ostrukturerad privat data lagras och nås i allt högre grad från molnet snarare än från datacentret. Eftersom datacentret har förlorat sin kritiska massa när det gäller att vara värd för företagstjänster har routningen av fjärrtrafik genom datacentret minskat dramatiskt. Detta innebär att typiska säkerhetstekniker i form av brandväggar börjar bli irrelevanta.  

Användning av personlig utrustning

BYOD (bring-your-own-device) fortsätter att öka i popularitet, vilket ytterligare försämrar säkerhetskontrollen. Fjärråtkomst till molnbaserade resurser från BYOD-enheter flyttar det rudimentära beroendet från hanterade enheter till identitetsbaserad säkerhet. Denna tillit innebär en ökad exponering för nätfiske och andra identitetsattacker som kringgår identitetsverifiering.

Denna förflyttning bort från hanterade nätverk, interna digitala resurser (tjänster och ostrukturerad data) och enheter innebär att säkerhetsteamen inte längre kan förlita sig på dem som en del av sin strategi. För att bygga vidare på identiteten krävs istället en verifierad strategi som är mycket motståndskraftig mot bedragare. Och även om användningen av multifaktorautentisering kommer att fortsätta att öka, höjer lösenordslösning med en faktor säkerhetsnivån jämfört med användarnamn och lösenord samtidigt som autentiseringsprocessen förenklas. En anställd får en snabb upplevelse av ansiktsigenkänning, verifierat fingeravtryck eller någon annan passiv upplevelse. Och samtidigt har organisationen ökat sitt skydd mot den mest framträdande sårbarheten och den vanligaste intrångstekniken, nämligen nätfiske. 

Konsumenterna går över till lösenordslösa

Den viktigaste lösenordsfria möjliggöraren är smarttelefonen. Även om det är sant att dessa enheter packar en rejäl mängd datorkraft i ett så litet paket, är det faktum att de har blivit en förlängning av så många som gör dem till en lösenordslös spelväxlare. Folk använder dem till allt möjligt, från sms och sociala medier till shopping och bankärenden på nätet. De tar bilder på ett ögonblick, letar efter vägbeskrivningar eller söker efter svar. Att konsumenterna binder sig till en handhållen dator har lett till ett paradigmskifte inom autentisering som vi aldrig tidigare skådat:

• Universell anslutning gör det möjligt att verifiera en persons identitet utanför bandet under autentiseringen.
• Den bärbara processorkraften kan generera seeds och nycklar som kan fungera som engångspins.
• Biometriska och passiva autentiseringsmetoder kommer att utvecklas i takt med att smartphones utvecklas, vilket gör att verifieringen kan utvecklas och bli mer sofistikerad.

Konsumenterna blir alltmer medvetna om de hot som traditionell autentisering utgör för dem. Organisationerna känner igen denna förändring och ser möjligheter att förbättra sina digitala tjänster.

---

Hur säker är lösenordsfri autentisering?

Verizons dataintrångsteam har identifierat spear phishing som det dominerande sättet brottslingar poachar referenser. Spear phishing inleds när angriparen skickar ett e-postmeddelande som verkar vara från en betrodd källa, till exempel en bank, en kollega eller någon annan källa som skickar offren till en falsk webbplats. Denna webbplats kräver autentisering, vilket lurar offren att avslöja sina uppgifter, ange kreditkortsnummer eller tillhandahålla någon annan uppsättning privat information.

En variant av denna attack erbjuder en länk som, när man klickar på den, installerar skadlig kod på offrens datorer.

Lösenordsfri teknik är väl lämpad för att skydda mot den här typen av attacker. För plattformar som är konfigurerade för att eliminera lösenord kan inga lösenord fångas upp via inmatning eller tangenttryckning. För plattformar som erbjuder lösenord som ett alternativ utöver lösenordslös kan det förstärkas med en lösenordslös multifaktorautentisering, till exempel något de har - som en smartphone - eller något de är - biometrisk.

Allt detta beroende av smartphones gör att deras sårbarheter hamnar i centrum för säkerhetsdiskussionen. Anta att hackare och andra illvilliga aktörer får tag på dessa mobila enheter. Det finns en risk för att de kan avlyssna PIN-koder, OTP:er och push-godkännanden utanför bandbredden samt konfigurera om biometrin så att den matchar dem själva. Stöld av SIM-kort innebär också en risk för SMS/OTP. Även om användarna är försiktiga kan deras säkerhet äventyras om angripare kan manipulera tjänsteleverantörer att annullera och överföra viktig information från legitima SIM-kort.

Även om det är uppenbart att det inte finns något sätt för en organisation att avvärja alla hot, är det sant att en enkel övergång till ett lösenordslöst paradigm skyddar mot de vanligaste hoten. Även när det gäller enfaktorsautentisering börjar man på en högre säkerhetsnivå genom att gå bort från inskrivna inloggningsuppgifter, men det går att göra mer. Organisationer kan höja sina säkerhetsnivåer genom att komplettera sin strategi med riskbaserad autentisering (RBA). RBA har sedan länge visat sig kunna kontrollera när ytterligare steg behövs för att verifiera någons identitet. Organisationer kan åberopa en andrafaktorsautentisering under fördefinierade förhållanden, t.ex:

• Har enheten setts tidigare?
  • Fingeravtryck av enheter
  • Cookie för webbläsare
• Är användaren på plats där den förväntas vara?
  • IP-tjänst för geolokalisering
  • Geofencing (GSM)
• Uppför sig användaren som förväntat?
  • Analys av användar- och entitetsbeteenden (UEBA)
• Vilken är informationens risknivå?

Organisationer kan använda den här typen av kriterier för att avgöra hur många nivåer av identitetsverifiering som är nödvändiga. En organisation kan till exempel definiera en policy som kräver ett fingeravtryck för att få tillgång till den mesta informationen. Det finns dock en känsligare delmängd som kräver multifaktorautentisering när den uppmätta risken är förhöjd enligt de kriterier som anges ovan eller resursens känslighet.

---

Hur kan lösenordsfri autentisering differentiera ett företag?

I svaret ovan på föregående fråga listas de fördelar och säkerhetsbegränsningar som lösenordslös autentisering kan erbjuda ett företag. Kort sagt erbjuder lösenordslösa metoder - t.ex. biometri (t.ex. fingeravtryck eller ansiktsigenkänning) eller via något du har, t.ex. en smartphone - mer robust säkerhet än traditionella lösenordsbaserade metoder, särskilt mot spear phishing. I det här avsnittet går vi igenom några av de affärsvärden som ökad säkerhet ger.

När organisationer bättre kan kontrollera den risk som är förknippad med att interagera med sina digitala kunder, kan de interagera mer effektivt, vilket gör att mer meningsfulla interaktioner kan äga rum under mer omfattande omständigheter.

Hälso- och sjukvård

En vårdgivare kan bedriva bättre vård på distans genom att dela ePHI-information och specifika instruktioner från en kliniker. Även om tvåfaktorsautentisering krävs behöver patienten inte komma ihåg komplicerade inloggningsuppgifter om de båda är lösenordslösa. Lösenordslös inloggning är också enklare att använda på mobila enheter utan tangentbord. Förenklad men ändå säker åtkomst kan bli en avgörande faktor för patienter med nedsatt funktionsförmåga som är frustrerade över ett komplext autentiseringssystem.

Ekonomi

En finansiell portföljförvaltare delar mycket känslig information med sina kunder. Investerings- och kontoinformation omfattar regelbundet stora summor pengar. Vanligtvis kräver dessa typer av portaler komplexa lösenord för identitetsverifiering. Med lösenordsfri autentisering kan dessa organisationer ge sina kunder snabb och säker åtkomst, vilket är en viktig del i att uppnå kundnöjdhet.

E-handel

E-handelstjänster är de vanligaste angreppspunkterna för spear phishing. Dessa attacker undergräver konsumenternas förtroende för att göra affärer elektroniskt. Lösenordslös autentisering gör det möjligt för e-handeln att minimera effekterna av riskbaserad autentisering med passiva metoder när de används för att bemöta hot. Mer än i andra branscher leder oacceptabel friktion i detaljhandelstransaktioner till förlorade kunder som söker sig till återförsäljare som är lätta att göra affärer med. Ett av de mest effektiva sätten att undvika hinder för nya digitala kunder är att använda lösenordslös autentisering för att undvika komplexa lösenord eller autentiseringsprocesser i flera steg.

Utbildning

Universitet och andra organisationer som säkrar användare som ständigt är på språng - FIDO (Fast Identity Online) är en standard som gör det möjligt att använda standardbaserade, inte att förväxla med äldre dyra och proprietära alternativ, fysiska nycklar eller tokens för att verifiera sin identitet. Dessa phishing-resistenta metoder utgör en betydande barriär för angripare att kringgå, vilket håller värdefull studentinformation privat. Studenter, personal och lärare kan ansluta sina små bärbara FIDO-enheter till datorer med en Bluetooth-port. Det kan ge snabb åtkomst till säkrade resurser eller vara en del av en multifaktorautentiseringskonfiguration.  

Scenarierna för ökad säkerhet och bekvämlighet genom lösenordslös autentisering, som är framtiden för autentisering, är mycket mer omfattande än dessa få exempel. Lösenordslös autentisering utgör också en utmärkt säkerhetsgrund för ett brett införande av SSO (Single Sign-On). SSO ger sömlös åtkomst till säkrade resurser med en enda autentiseringsinstans. I ännu högre grad än lösenordslös teknik minskar eller eliminerar SSO den friktion som användarna annars skulle uppleva. Eftersom SSO handlar mer om bekvämlighet än om säkerhet är vissa säkerhetsteam skeptiska till ett brett införande, eftersom en enda autentisering potentiellt kan ge åtkomst till användarens alla digitala resurser. Passwordless motståndskraft mot de vanligaste intrångsattackerna minskar den risken avsevärt, vilket gör att IT-avdelningen kan konfigurera en miljö som avsevärt minskar avbrott och förseningar för användarna.