Hur IDOmbud hanterar detta
IDOmbud e-Legitimation ger organisationen en arbetsrelaterad digital identitet som kan användas för stark autentisering. Passkey kan i detta sammanhang fungera som en praktisk och modern bärare eller autentiseringsmetod för den identiteten.
I ett sådant upplägg är det inte passkeyn i sig som skapar hela tillitsmodellen. Tilliten kommer från kedjan: hur identiteten har utfärdats, hur användaren har kontrollerats, hur autentiseringsmetoden skyddas, hur giltighet kontrolleras och hur identiteten kan spärras eller återkallas. Passkeyn blir en del av denna kedja.
I praktiken kan användaren autentisera sig med exempelvis Windows Hello, Touch ID, Face ID, Androids inbyggda passkey-stöd eller en fysisk säkerhetsnyckel. För användaren blir flödet snabbt och lösenordsfritt. För organisationen är värdet att inloggningen kan knytas till en arbetsrelaterad identitet som följer organisationens regler, inte bara till en privat användarupplevelse på en enhet.
Device-bound autentisering innebär att autentiseringsnyckeln är knuten till en specifik enhet eller säkerhetsnyckel. Det kan ge starkare skydd mot phishing och återanvändning av stulna lösenord, men ställer också krav på processer för registrering, byte av enhet, borttappad enhet, reservmetoder och återkallelse. Det är därför passkey behöver hanteras som en del av identitetslivscykeln, inte bara som en klientfunktion.
IDOmbud kan också samverka med befintliga identitetsmiljöer. I organisationer som använder Microsoft Entra ID kan Entra fortsatt vara en central katalog, IdP eller åtkomstkomponent för delar av miljön. IDOmbud kan då användas för de flöden där organisationen behöver stark arbetsrelaterad identitet, e-Legitimation, högre tillitsnivå eller särskild kontroll över utfärdande och återkallelse. Det kan innebära att IDOmbud kompletterar Entra-baserade flöden snarare än ersätter dem.
Entra ID har egna stöd för lösenordsfri autentisering, passkeys och säkerhetsnycklar. IDOmbuds roll bör därför beskrivas tydligt: inte som ännu en passkey-funktion, utan som ett sätt att knyta lösenordsfri autentisering till IDOmbud e-Legitimation, verifierbar arbetsrelaterad identitet och de tillits- och governancekrav som organisationen behöver uppfylla.
Passkey kan användas på olika nivåer:
- som primär lösenordsfri inloggning
- som stark MFA-metod
- som step-up vid känsliga åtgärder
- som bärare för en arbetsrelaterad e-Legitimation
- som metod i särskilda klientmiljöer där mobilapp inte passar
Kopplingen till e-Legitimation är särskilt viktig. Om en användare slutar, byter uppdrag, tappar en enhet eller inte längre uppfyller kraven för en viss identitet behöver organisationen kunna påverka giltigheten. Passkey måste därför sättas i relation till utfärdande, spärr, återkallelse och verifiering av status i inloggningsflödet.