Tietoja pääsyavainten suojauksesta
Pääsyavaimet on tarkoitettu korvaamaan salasanat. Niillä kirjautuminen on nopeampaa, minkä lisäksi niitä on helpompi käyttää ja ne ovat paljon turvallisempia.
Pääsyavaimet on tarkoitettu korvaamaan salasanat. Niiden ansiosta verkkosivustoihin ja appeihin kirjautumisessa ei tarvita salasanaa. Kirjautuminen pääsyavaimilla on entistä helpompaa mutta samalla turvallisempaa. Pääsyavaimet ovat standardeihin perustuvaa teknologiaa. Toisin kuin salasanoja, pääsyavaimia ei voi saada haltuun tietojen kalastelun avulla. Ne ovat aina vahvoja ja ne on suunniteltu siten, että niissä ei käytetä jaettuja salaisuuksia. Ne helpottavat käyttäjätilin rekisteröimistä appeihin ja sivustoihin, niiden käyttäminen on helppoa ja ne toimivat kaikissa Apple-laitteissasi – ja jopa muiden valmistajien laitteissa, mikäli laitteet ovat fyysisesti lähekkäin.
Tunnistetietojen suojaaminen
Pääsyavaimet perustuvat WebAuthentication (WebAuthn) -standardiin, joka hyödyntää julkisen avaimen salausta. Tilin rekisteröinnin aikana käyttöjärjestelmä luo yksilöllisen salausavainparin, joka liitetään käyttäjän tiliin apissa tai verkkosivustossa. Laite luo avaimet turvallisesti ja yksilöllisesti jokaiselle käyttäjätilille.
Avainparin toinen osa on julkinen, ja se tallennetaan palvelimeen. Julkinen avain ei ole salainen. Sisäänkirjautumiseen tarvittava avainparin toinen avain sen sijaan on yksityinen. Palvelin ei koskaan saa tietää yksityistä avainta. Pääsyavaimen käyttö voidaan valtuuttaa Touch ID:llä tai Face ID:llä niissä Apple-laitteissa, joissa on Touch ID tai Face ID. Tämän jälkeen pääsyavain puolestaan todentaa käyttäjän apissa tai verkkosivustossa, johon tämä on kirjautumassa. Salaisuutta ei lähetetä palvelimeen, eikä palvelimen tarvitse erikseen suojata julkista avainta. Tämä tekee pääsyavaimista erittäin vahvoja ja helppokäyttöisiä tunnistetietoja, joiden saaminen haltuun tietojen kalastelun kautta on erittäin vaikeaa. Lisäksi järjestelmän toteuttaneet toimittajat ovat tehneet yhteistyötä FIDO Alliancessa varmistaakseen, että pääsyavaintoteutukset ovat yhteensopivia eri alustojen välillä ja että ne toimivat mahdollisimman monessa laitteessa.
Synkronoitu suojaus
Pääsyavaimet on suunniteltu siten, että niitä on helppo käyttää jatkuvassa käytössä kaikissa laitteissa. Pääsyavaimet synkronoidaan käyttäjän eri laitteiden välillä käyttämällä iCloud-avainnippua.
iCloud-avainnippu on salattu päästä päähän vahvoilla salausavaimilla, jotka eivät ole Applen tiedossa, ja niiden toistuvan käytön käyttömäärää on rajoitettu siten, että avainten selvittäminen väsytyshyökkäyksellä on mahdotonta jopa pilvipalvelun palvelinoikeuksilla. Avaimet ovat myös palautettavissa, vaikka käyttäjä menettäisi kaikki laitteensa.
Apple on suunnitellut iCloud-avainnipun ja avainnipun palautuksen siten, että käyttäjän pääsyavaimet ja salasanat ovat suojattuja myös seuraavissa tilanteissa:
Käyttäjän iCloudissa käyttämä Apple-tili on joutunut vieraan tahon haltuun
iCloudin turvallisuus vaarantuu ulkoisen hyökkäyksen tai työntekijän toimesta.
Kolmas osapuoli saa käyttäjätilejä käyttöönsä.
Apple-tilin käytön suojaus
Kaikki iCloud-avainnippua käyttävät Apple-tilit vaativat luvattoman käytön estämiseksi kaksiosaista todennusta. Jos käyttäjä yrittää rekisteröidä uuden pääsyavaimen eikä hänellä ole kaksiosaista todennusta käytössä, häntä pyydetään automaattisesti ottamaan käyttöön kaksiosainen todennus.
Jotta käyttäjä voi kirjautua sisään ensimmäistä kertaa millä tahansa uudella laitteella, tarvitaan kaksi tietoa: Apple-tilin salasana ja kuusinumeroinen vahvistuskoodi, joka näkyy käyttäjän luotetuissa laitteissa tai lähetetään luotettuun puhelinnumeroon.
Lisätietoja kaksiosaisesta todennuksesta
iCloud-avainnipun suojaus
Käytössä on myös ylimääräinen suojaustaso, joka estää hyökkääjälaitteita pääsemästä käsiksi käyttäjän iCloud-avainnippuun. Kun käyttäjä ottaa iCloud-avainnipun käyttöön ensimmäisen kerran, laite muodostaa luottamuskehän ja luo itselleen synkronointi-identiteetin, joka koostuu laitteen avainnippuun tallennetusta yksilöllisestä avainparista.
iCloudiin kirjautuvat uudet laitteet liittyvät iCloud-avainnipun synkronointipiiriin kahdella tavalla:
muodostamalla laiteparin aiemman iCloud-avainnippulaitteen kanssa, jolloin kyseinen iCloud-avainnippulaite takaa uuden laitteen; tai
käyttämällä iCloud-avainnipun palautustoimintoa.
Palautuksen suojaus
Pääsyavainten synkronoinnin tuottaman vikasietoisuuden ansiosta käyttäjä selviää yksittäisen laitteen katoamisesta vaivattomasti. Pääsyavaimet ovat kuitenkin palautettavissa myös, vaikka kaikki niihin liitetyt laitteet menetettäisiin. Pääsyavainten palautus toteutetaan iCloud-avainnipun turvatallennuksella
iCloud-avainnippu suojaa käyttäjän Applen palvelimiin tallentamat avainnipputiedot turvatallennuksella, minkä vuoksi edes Apple ei pysty lukemaan salasanoja tai muita suojattuja tietoja. Käyttäjän avainnippu salataan vahvalla pääsykoodilla, ja turvatallennuspalvelu antaa avainnipusta kopion vain tiukkojen ehtojen täyttyessä.
Jos käyttäjä haluaa palauttaa avainnipun, hänen on suoritettava todennus iCloud-tilinsä ja salasanansa avulla sekä vastattava rekisteröityyn puhelinnumeroonsa lähetettyyn tekstiviestiin. Kun käyttäjä on suorittanut todennuksen ja vastannut viestiin, käyttäjän on annettava laitteen pääsykoodi. iOS, iPadOS ja macOS sallivat vain 10 todennusyritystä. Epäonnistuneiden yritysten jälkeen tietue lukitaan, ja käyttäjän on soitettava Apple-tukeen, jotta yrityksiä voidaan lisätä. Kymmenennen epäonnistuneen yrityksen jälkeen turvatallennustietue tuhoutuu.
Käyttäjä voi vaihtoehtoisesti määrittää tilille palautusyhteyshenkilön ja siten varmistaa, että hän pääsee aina käyttämään tiliänsä, vaikka unohtaisi Apple-tilin salasanan tai laitteen pääsykoodin.
Katso, miten tilin palautusyhteyshenkilö otetaan käyttöön
