Kravene i retningslinjen dekker passordlengde, synkroniserbare autentikatorer, e-post, koder via telefon og SMS samt tidsavbrudd for økter. Materialet vi har gjennomgått for denne artikkelen, definerer ikke hva som regnes som phishing-resistent. Denne forklaringen holder seg derfor til hva teksten i retningslinjen faktisk sier, og merker tydelig hvor vi kommer med vår egen tolkning.
Hva NIST-retningslinjen for autentisering er, og hvem den retter seg mot
Den endelige versjonen av SP 800-63B-4 er datert 31. juli 2025 i dokumenthistorikken (oppført som 07/31/25), slik det står på NISTs publikasjonsside på csrc.nist.gov. Når artikkelen siterer et krav, oppgir vi også hvem som må oppfylle det, fordi retningslinjen legger forpliktelsene på bestemte parter.
Mange av kravene gjelder verifikatorer og CSP-er (tjenesteleverandører for legitimasjon), partene som nevnes i NISTs avsnitt om autentikatorer på pages.nist.gov. Andre gjelder føderale amerikanske myndighetsorganer. Teksten i NIST-retningslinjen på pages.nist.gov sier for eksempel at føderale myndighetsorganer må velge minst AAL2 når personopplysninger gjøres tilgjengelige på nett.
Vår egen tolkning: Disse reglene er skrevet for organisasjonene som drifter innloggingssystemer, ikke som instrukser til folk som har meglerkonto, konto på en kryptobørs eller e-postkonto. De kan likevel hjelpe leseren å forstå hvilke innloggingsvalg en tjeneste tilbyr, og hvorfor. Alene viser de ikke hvordan en bestemt tjeneste beskytter brukerne sine.
Passord eller MFA: hva teksten krever av passord
Den tydeligste passordregelen i påstandene vi har gjennomgått, gjelder passord som brukes alene. Ifølge NISTs avsnitt om autentikatorer på pages.nist.gov må verifikatorer og CSP-er kreve at passord som brukes som enfaktor-autentisering, er minst 15 tegn lange.
Som historisk bakgrunn beskriver NISTs FAQ om digital identitet den eldre LOA-modellen. Der står det at den største forskjellen mellom LOA1 og LOA2 for autentikatorer var at minste tillatte passordlengde økte fra seks tegn til åtte.
| Regel i påstandene vi har gjennomgått | Kilde |
|---|---|
| Enfaktor-passord: minst 15 tegn, kreves av verifikatorer og CSP-er | NISTs avsnitt om autentikatorer |
| Gammel LOA-modell: minste passordlengde økte fra seks tegn til åtte mellom LOA1 og LOA2 | NISTs FAQ |
Vår egen tolkning: Når passordet er den eneste faktoren, krever dagens tekst et langt høyere minimum enn de gamle LOA-tallene. Påstandene vi har gjennomgått, fastsetter ingen bestemt lengde for passord som brukes som én av faktorene i MFA, så denne artikkelen oppgir heller ingen.
Passkeys, synkroniserbare autentikatorer og AAL3
Ordet «passkey» forekommer ikke i påstandene vi har gjennomgått. De dekker derimot en beslektet kategori: synkroniserbare autentikatorer. Teksten i NIST-retningslinjen på pages.nist.gov sier at synkroniserbare autentikatorer ikke må brukes på AAL3, fordi de krever at den private nøkkelen kan eksporteres.
Den setningen inneholder både en regel og en oppgitt begrunnelse:
- Regelen: Synkroniserbare autentikatorer er utelukket på AAL3.
- Den oppgitte begrunnelsen: De krever at den private nøkkelen kan eksporteres.
Dette kan ikke artikkelen avgjøre ut fra påstandene vi har gjennomgått:
- Om et bestemt produkt som selges eller merkes som passkey, er en synkroniserbar autentikator.
- Hvordan retningslinjen behandler synkroniserbare autentikatorer på andre nivåer enn AAL3.
- Om noen passkey oppfyller en definisjon av phishing-motstand.
Vår egen tolkning: Den som sammenligner en passkey med passord og MFA, bør først finne ut om den aktuelle passkeyen synkroniserer nøkkelen sin. Det er nettopp den egenskapen regelen dreier seg om. Siden påstandene stopper der, lar vi klassifiseringen av konkrete passkeys stå uavklart.
Koder via e-post, SMS og telefon ved flerfaktorinnlogging
Flere vanlige andretrinn dukker opp i påstandene vi har gjennomgått. NISTs avsnitt om autentikatorer på pages.nist.gov sier at e-post ikke må brukes til out-of-band-autentisering. Samme avsnitt sier at out-of-band-autentisering skal anses som ugyldig med mindre den fullføres innen 10 minutter.
Koder via telefon og SMS omtales i NISTs FAQ om digital identitet. Der står det at autentikatorer som bruker det offentlige telefonnettet, inkludert engangskoder (OTP) via telefon og SMS, er begrenset. Påstandene vi har gjennomgått, forklarer ikke hva «begrenset» innebærer i praksis, så artikkelen går ikke nærmere inn på det.
| Metode | Hva påstandene vi har gjennomgått, sier |
|---|---|
| E-post til out-of-band-autentisering | Må ikke brukes |
| Out-of-band-autentisering generelt | Ugyldig med mindre den fullføres innen 10 minutter |
| Engangskoder via telefon og SMS | Begrenset |
Vår egen tolkning: «MFA» rommer flere typer andretrinn, og retningslinjen behandler dem ulikt. En leser som ser på innloggingsvalgene for en e-postkonto, en meglerkonto eller en konto på en kryptobørs, kan ha nytte av dette skillet. Reglene sier likevel ikke hvilket alternativ en gitt tjeneste bruker, eller hvor godt det fungerer.
Tidsavbrudd for ny autentisering på AAL2 og AAL3
Også reglene for økter varierer med nivået. Teksten i NIST-retningslinjen på pages.nist.gov sier at det på AAL2 må fastsettes et bestemt samlet tidsavbrudd for ny autentisering, og at det bør være på høyst 24 timer. På AAL3 må det samlede tidsavbruddet for ny autentisering være på høyst 12 timer.
| Nivå | Samlet tidsavbrudd for ny autentisering |
|---|---|
| AAL2 | Må fastsettes; bør være høyst 24 timer |
| AAL3 | Må være høyst 12 timer |
Legg merke til ordlyden. På AAL2 bruker grensen «bør» (should), mens AAL3 bruker «må» (must). Artikkelen tar vare på denne forskjellen i stedet for å framstille begge som like bindende.
Vår egen tolkning: Hvis en tjeneste ber deg logge inn på nytt etter en viss tid, kan det skyldes en slik tidsavbruddspolicy. Påstandene sier ikke hvordan den enkelte tjeneste fastsetter sine tidsavbrudd.
Hva er phishing-resistent, og hvordan bør man vurdere påstander om det?
Påstandene hentet fra teksten i NIST-retningslinjen på pages.nist.gov inneholder ingen definisjon av phishing-motstand. De sier heller ikke om passkeys, synkroniserbare autentikatorer eller andre metoder oppfyller en slik definisjon. Artikkelen lar dette spørsmålet stå åpent med vilje. Vi låner ikke en definisjon fra sekundære sammendrag som kildegjennomgangen ikke har omfattet.
Den samme forsiktigheten gjelder sikkerhetspåstander generelt. Hurtigtipsene fra CERT.br sier at et rykte som regel har en alarmerende tone, handler om temaer som får mye oppmerksomhet akkurat nå, og mangler informasjonskilde eller viser til ukjente kilder. En beslektet vane, etter vår egen tolkning: Når en melding eller et innlegg hevder at en innloggingsmetode er trygg eller utrygg, let etter primærteksten påstanden bygger på, og sjekk om den opprinnelige ordlyden sier «må», «bør» eller noe svakere.
Dette kan artikkelen og kan den ikke svare på om det sentrale spørsmålet:
- Besvart ut fra påstandene: regler om lengde på enfaktor-passord, e-post og tidsfrister for out-of-band-autentisering, koder via telefon og SMS, synkroniserbare autentikatorer på AAL3 og tidsavbrudd for ny autentisering.
- Står åpent: en definisjon av phishing-motstand, og hvordan konkrete passkeys passer inn i den.
Begrensninger ved denne artikkelen
Denne artikkelen gir opplæringsinformasjon om publisert veiledning for autentisering. Den er ikke investeringsrådgivning og anbefaler ikke noe produkt, megler, kryptobørs eller tjeneste. Den dekker ikke deler av NIST-retningslinjen utover påstandene som er listet opp her, og den definerer ikke phishing-motstand. Den vurderer ikke hvordan en bestemt konto eller tjeneste beskytter brukerne sine.