Retningslinjens krav dækker til gengæld adgangskodelængde, synkroniserbare autentifikatorer, e-mail, koder via telefon og sms samt sessionstimeouts. Det materiale, der er gennemgået til denne artikel, definerer ikke, hvad der tæller som phishing-modstandsdygtigt. Derfor holder vi os til, hvad retningslinjens tekst siger, og markerer tydeligt, hvor det er vores egen fortolkning.
Hvad NIST's retningslinje for autentificering er, og hvem den henvender sig til
Den endelige version af SP 800-63B-4 er dateret 31. juli 2025 i dokumenthistorikken, som det fremgår af NIST's publikationsside på csrc.nist.gov. Når artiklen citerer et krav, angiver vi, hvem der skal opfylde det, fordi retningslinjen lægger sine forpligtelser på bestemte parter.
Mange af kravene gælder for verifikatorer og CSP'er – de parter, der nævnes i NIST's afsnit om autentifikatorer på pages.nist.gov. Andre gælder for føderale myndigheder. NIST's retningslinjetekst på pages.nist.gov siger for eksempel, at føderale myndigheder skal vælge mindst AAL2, når personoplysninger gøres tilgængelige online.
Vores egen fortolkning: Reglerne er skrevet til de organisationer, der driver login-systemer, og ikke som en vejledning til personer med konti hos en mægler, en kryptobørs eller en e-mailudbyder. De kan alligevel hjælpe dig med at forstå, hvilke login-muligheder en tjeneste tilbyder, og hvorfor. Men de viser ikke i sig selv, hvordan en bestemt tjeneste beskytter sine brugere.
Adgangskode eller MFA: hvad teksten kræver af adgangskoder
Den klareste regel om adgangskoder i de gennemgåede påstande handler om adgangskoder, der bruges alene. Ifølge NIST's afsnit om autentifikatorer på pages.nist.gov skal verifikatorer og CSP'er kræve, at adgangskoder, der bruges som enfaktor-autentificering, er mindst 15 tegn lange.
Til historisk sammenligning beskriver NIST's FAQ om digital identitet den ældre LOA-model. Ifølge FAQ'en var den største forskel mellem LOA1 og LOA2 for autentifikatorer, at minimumslængden for adgangskoder steg fra seks tegn til otte.
| Regel i de gennemgåede påstande | Kilde |
|---|---|
| Enfaktor-adgangskoder: mindst 15 tegn, krævet af verifikatorer og CSP'er | NIST's afsnit om autentifikatorer |
| Den gamle LOA-model: minimumslængden for adgangskoder gik fra seks tegn til otte mellem LOA1 og LOA2 | NIST's FAQ |
Vores egen fortolkning: Når adgangskoden er den eneste faktor, kræver den nuværende tekst et markant længere minimum end de gamle LOA-tal. De gennemgåede påstande fastsætter ingen bestemt længde for adgangskoder, der bruges som én faktor i MFA, så den artikel angiver heller ingen.
Passkeys, synkroniserbare autentifikatorer og AAL3
Ordet "passkey" optræder ikke én eneste gang i de gennemgåede påstande. Til gengæld dækker de en beslægtet kategori: synkroniserbare autentifikatorer. NIST's retningslinjetekst på pages.nist.gov siger, at synkroniserbare autentifikatorer ikke må bruges på AAL3, fordi de kræver, at den private nøgle kan eksporteres.
Den sætning rummer både en regel og en begrundelse:
- Reglen: Synkroniserbare autentifikatorer er udelukket på AAL3.
- Den angivne begrundelse: De kræver, at den private nøgle kan eksporteres.
Det kan artiklen ikke afgøre ud fra de gennemgåede påstande:
- Om et bestemt produkt, der sælges eller betegnes som en passkey, er en synkroniserbar autentifikator.
- Hvordan retningslinjen behandler synkroniserbare autentifikatorer på andre niveauer end AAL3.
- Om nogen passkey opfylder en definition af phishing-modstandsdygtighed.
Vores egen fortolkning: Hvis du vil sammenligne en passkey med adgangskode plus MFA, bør du først finde ud af, om den pågældende passkey synkroniserer sin nøgle. Det er netop den egenskab, reglen drejer sig om. Da påstandene stopper her, lader vi klassificeringen af konkrete passkeys stå uafklaret.
E-mail, sms og telefonkoder ved login med flere faktorer
Flere almindelige andentrin går igen i de gennemgåede påstande. NIST's afsnit om autentifikatorer på pages.nist.gov siger, at e-mail ikke må bruges til out-of-band-autentificering. Samme afsnit siger, at out-of-band-autentificering skal betragtes som ugyldig, medmindre den gennemføres inden for 10 minutter.
Koder via telefon og sms behandles i NIST's FAQ om digital identitet. Her står der, at autentifikatorer, der bruger det offentlige telefonnet (PSTN) – herunder engangskoder (OTP'er) via telefon og sms – er begrænsede ("restricted"). De gennemgåede påstande forklarer ikke, hvad "begrænset" indebærer i praksis, så det går artiklen ikke nærmere ind i.
| Metode | Hvad de gennemgåede påstande siger |
|---|---|
| E-mail til out-of-band-autentificering | Må ikke bruges |
| Out-of-band-autentificering generelt | Ugyldig, medmindre den gennemføres inden for 10 minutter |
| OTP'er via telefon og sms | Begrænsede |
Vores egen fortolkning: "MFA" dækker over flere slags andentrin, og retningslinjen behandler dem forskelligt. Kigger du på login-mulighederne på en e-mail-, mægler- eller kryptobørskonto, kan den skelnen være nyttig. Men reglerne fortæller ikke, hvilken løsning en given tjeneste bruger, eller hvor godt den virker.
Timeouts for genautentificering på AAL2 og AAL3
Reglerne for sessioner varierer også efter niveau. NIST's retningslinjetekst på pages.nist.gov siger, at der på AAL2 skal fastsættes en bestemt samlet timeout for genautentificering, og at den bør være højst 24 timer. På AAL3 skal den samlede timeout for genautentificering være højst 12 timer.
| Niveau | Samlet timeout for genautentificering |
|---|---|
| AAL2 | Skal fastsættes; bør være højst 24 timer |
| AAL3 | Skal være højst 12 timer |
Læg mærke til ordvalget. På AAL2 bruger grænsen "bør" ("should"), mens der på AAL3 står "skal" ("must"). Artiklen bevarer den forskel i stedet for at fremstille begge som lige bindende.
Vores egen fortolkning: Hvis en tjeneste beder dig logge ind igen efter et stykke tid, kan det afspejle en timeoutpolitik af denne type. Påstandene siger intet om, hvordan den enkelte tjeneste fastsætter sine timeouts.
Hvad er phishing-modstandsdygtigt – og hvordan vurderer man påstande om det?
De gennemgåede påstande fra NIST's retningslinjetekst på pages.nist.gov indeholder ingen definition af phishing-modstandsdygtighed. De siger heller ikke, om passkeys, synkroniserbare autentifikatorer eller nogen anden metode lever op til en sådan. Artiklen lader bevidst det spørgsmål stå åbent og låner ikke en definition fra sekundære sammenfatninger, som evidensgennemgangen ikke har dækket.
Den forsigtighed gælder sikkerhedspåstande i det hele taget. CERT.br's guide med hurtige råd siger, at et rygte typisk har en alarmerende tone, handler om emner, der får opmærksomhed lige nu, og enten mangler en kilde eller henviser til ukendte kilder. En beslægtet vane, efter vores egen fortolkning: Når en besked eller et opslag påstår, at en login-metode er sikker eller usikker, så find den primære tekst, påstanden bygger på, og tjek, om den oprindelige formulering siger "skal", "bør" eller noget endnu svagere.
Her er, hvad artiklen kan og ikke kan besvare om det centrale spørgsmål:
- Besvaret ud fra påstandene: regler om længden af enfaktor-adgangskoder, e-mail og tidsgrænsen for out-of-band, koder via telefon og sms, synkroniserbare autentifikatorer på AAL3 samt timeouts for genautentificering.
- Står åbent: en definition af phishing-modstandsdygtighed, og hvordan konkrete passkeys passer ind i den.
Artiklens begrænsninger
Denne artikel giver uddannelsesmæssig information om offentliggjort vejledning om autentificering. Den er ikke investeringsrådgivning og anbefaler ikke noget produkt, nogen mægler, kryptobørs eller tjeneste. Den dækker ikke dele af NIST-retningslinjen ud over de påstande, der er anført her, og den definerer ikke phishing-modstandsdygtighed. Den vurderer ikke, hvordan en bestemt konto eller tjeneste beskytter sine brugere.