Kryptotilin passkey: miten tunnusavain ja palautus eroavat salasanasta?

Tunnusavain eli passkey voi korvata kryptopalvelun salasanalla tehtävän kirjautumisen, jos palvelu ja laitteesi tukevat sitä. Ennen käyttöönottoa selvitä kaksi eri asiaa: miten tunnusavain siirtyy uudelle laitteelle ja miten itse kryptotili palautetaan, jos et pääse käyttämään tunnusavainta lainkaan. Vastaukset riippuvat palvelusta ja valitusta tallennustavasta.

Passkey ei ole sama asia kuin itsehallittavan kryptolompakon palautuslause. Palveluun kirjautuminen, laitteen lukituksen avaaminen ja kryptovarojen hallintaan tarvittavat avaimet voivat olla eri asioita. Tarkista, mitä juuri oma sovelluksesi suojaa.

Mikä muuttuu salasanaan verrattuna?

Salasana on kirjautumista varten annettava salainen merkkijono. Tunnusavain perustuu sen sijaan avainpariin: palvelulla on julkinen avain, ja kirjautumista varten tarvittava yksityinen avain on käyttäjän tunnusavaimen hallintaympäristössä. Apple kuvaa, että palvelin ei saa yksityistä avainta ja että laite voi käyttää paikallista kasvojen tai sormenjäljen tunnistusta tunnusavaimen käytön hyväksymiseen 1.

Käyttäjän näkökulmasta kirjautuminen voi näyttää laitteen lukituksen avaamiselta. Laitteessa käytettävä PIN-koodi tai biometrinen tunnistus ei kuitenkaan ole sama asia kuin palvelulle kirjoitettava salasana. Passkeyt on suunniteltu vastustamaan tietojenkalastelua, mutta se ei tarkoita, että kaikki tilin kaappausyritykset tai huijaukset katoaisivat 1.

Crypto.comin Exchange-ohjeen mukaan sen tunnusavainta voidaan käyttää kirjautumiseen ja tiettyjen tapahtumien vahvistamiseen. Nämä ovat kyseisen palvelun kuvaamia käyttötapoja, eivät kaikkien kryptopalvelujen yhteisiä ominaisuuksia 2.

Tallennus ja synkronointi

Tunnusavain voidaan tallentaa eri tavoin. Esimerkiksi Apple kertoo iCloud-avainnipun synkronoivan tunnusavaimia käyttäjän laitteiden välillä 1. Tämä ei tarkoita, että kaikki tunnusavaimet synkronoituisivat automaattisesti kaikille laitteille tai että toisen valmistajan palvelu toimisi samalla tavalla. Tarkista tallennuspaikka jo luomisvaiheessa.

Jos tunnusavain on vain yhdellä laitteella, sen katoaminen voi poistaa suoran kirjautumistavan. Synkronoitu avain taas tuo riippuvuuden synkronointipalvelun tilistä ja sen palautuksesta. Erillisen turva-avaimen saatavuus, kopioitavuus ja yhteensopivuus riippuvat käytetystä laitteesta ja palvelusta. Älä oleta, että laitteiston käyttö poistaisi kaikki muut riskit.

Laitteen palautus ja kryptotilin palautus ovat eri polkuja

Laitteen tai tunnusavainten hallintapalvelun palautus pyrkii saamaan tallennetun tunnusavaimen takaisin käytettäväksi. Kryptopalvelun tilipalautus voi puolestaan olla erillinen menettely, jolla palvelu antaa tilille uuden kirjautumistavan. Yhden onnistuminen ei automaattisesti todista toisen onnistuvan.

Tarkista kryptopalvelun omista ohjeista, voiko tilille lisätä useamman kirjautumistavan, miten kadonnut tunnusavain poistetaan ja mitä tehdään, jos kaikki käytettävissä olevat kirjautumistavat katoavat. Tarkista myös, tarvitaanko palautukseen pääsy sähköpostiin tai muihin aiemmin määriteltyihin menetelmiin. Älä poista vanhaa menetelmää ennen kuin tiedät uuden toimivan ja ymmärrät varareitin.

Kuvitteellinen esimerkki: puhelin katoaa

Oletetaan, että käyttäjä on luonut kryptotilin tunnusavaimen ja tallentanut sen synkronoituun avaintenhallintaan. Puhelimen kadotessa hänellä voi olla mahdollisuus käyttää tunnusavainta toisella valmiiksi hyväksytyllä laitteella tai palauttaa avaintenhallintansa sen omien ehtojen mukaan. Jos hän ei pääse myöskään synkronointitilille, on selvitettävä kryptopalvelun erillinen tilipalautus.

Esimerkki ei lupaa, että palautus onnistuu kaikissa tuotteissa. Se ei myöskään tarkoita, että kadonneella laitteella oleva kryptolompakon palautuslause olisi palautunut. Kunkin palvelun ja lompakon palautusmenettely on tarkistettava erikseen.

Tunnusavain ei arvioi koko tapahtumaa

Kirjautumisen onnistuminen kertoo palvelulle, että käytössä on hyväksytty tunnusavain. Se ei yksin kerro, että käyttäjän hyväksymä nosto on järkevä tai vastaanottajan osoite oikea. Tarkista tapahtuman yksityiskohdat palvelun omassa näkymässä ennen vahvistamista, varsinkin jos joku ulkopuolinen painostaa toimimaan nopeasti.

Pidä myös tunnusavaimen hallintaan liittyvät palautus- ja yhteystiedot ajan tasalla. Jos toinen henkilö pääsee laitteellesi tai avaintenhallintatilillesi, vaikutus riippuu niiden asetuksista ja palvelun vaatimista lisätarkistuksista. Älä siksi pidä pelkkää passkeyn käyttöönottoa takeena tilin täydellisestä suojasta.

Jos käytät useita palveluita

Eri kryptopalveluilla voi olla toisistaan riippumattomat tunnusavaimet. Yhden tilin palautus tai tunnusavaimen poistaminen ei välttämättä muuta muiden palveluiden asetuksia. Kirjaa itsellesi, mitä tallennustapaa ja varakirjautumista käytät kussakin palvelussa, mutta älä kirjaa luetteloon salaisia tunnuksia tai palautuslauseita.

Mitä tarkistaa ennen vaihtoa?

• Tukeeko juuri käyttämäsi palvelun versio tunnusavainta kirjautumiseen, nostojen vahvistamiseen vai molempiin?
• Missä tunnusavain säilytetään, synkronoidaanko se ja millä ehdoilla sen saa uudelle laitteelle?
• Mikä varakirjautumistapa on käytössä ja miten sen voi testata vaarantamatta tiliä?
• Miten kadonnut laite tai tunnusavain poistetaan tililtä ja kenelle epäillystä väärinkäytöstä ilmoitetaan?
• Mitä tapahtuu, jos et pääse sähköpostiin, synkronointitilille tai aiemmalle laitteelle?

Tarkista palvelun ajantasainen ohje virallisesta sovelluksesta tai itse avatulta sivulta. Älä anna salasanaa, kertakäyttökoodia, palautuslausetta tai yksityistä avainta henkilölle, joka väittää tarvitsevansa ne tunnusavaimen käyttöönottoon. Tunnusavain voi parantaa kirjautumisen suojaa, mutta palautuspolun suunnittelu on yhtä tärkeää kuin sen luominen.