Riktlinjens krav omfattar lösenordslängd, synkbara autentiserare, e-post, telefon- och sms-koder samt tidsgränser för sessioner. Materialet som granskats för den här artikeln definierar inte vad som räknas som nätfiskeresistent. Därför går vi igenom vad riktlinjetexten faktiskt säger och markerar tydligt var vi gör vår egen tolkning.
Vad NIST:s autentiseringsriktlinje är och vem den vänder sig till
Den slutliga versionen av SP 800-63B-4 är daterad den 31 juli 2025 i dokumenthistoriken, enligt NIST:s publikationssida på csrc.nist.gov. När artikeln citerar ett krav anger vi också vem som ska uppfylla det, eftersom riktlinjen lägger sina skyldigheter på specifika parter.
Många av kraven gäller verifierare och CSP:er (leverantörer av autentiseringstjänster), de parter som nämns i NIST:s avsnitt om autentiserare på pages.nist.gov. Andra gäller amerikanska federala myndigheter. NIST:s riktlinjetext på pages.nist.gov anger till exempel att federala myndigheter ska välja minst AAL2 när personuppgifter görs tillgängliga online.
Vår egen tolkning: reglerna är skrivna för de organisationer som driver inloggningssystem, inte som instruktioner till dig som har ett konto hos en mäklare, en kryptobörs eller en e-posttjänst. De kan ändå hjälpa dig att förstå vilka inloggningsalternativ en tjänst erbjuder och varför. Däremot visar de inte på egen hand hur en viss tjänst skyddar sina användare.
Lösenord eller MFA: vad texten kräver av lösenord
Den tydligaste lösenordsregeln bland de granskade påståendena gäller lösenord som används ensamma. Enligt NIST:s avsnitt om autentiserare på pages.nist.gov ska verifierare och CSP:er kräva att lösenord som används som enfaktorsautentisering är minst 15 tecken långa.
Som historisk bakgrund beskriver NIST:s FAQ om digital identitet den äldre LOA-modellen. Där står att den största skillnaden mellan LOA1 och LOA2 när det gällde autentiserare var att minsta tillåtna lösenordslängd höjdes från sex tecken till åtta.
| Regel i de granskade påståendena | Källa |
|---|---|
| Enfaktorslösenord: minst 15 tecken, ett krav som verifierare och CSP:er ska ställa | NIST:s avsnitt om autentiserare |
| Den gamla LOA-modellen: minsta lösenordslängd gick från sex tecken till åtta mellan LOA1 och LOA2 | NIST:s FAQ |
Vår egen tolkning: när lösenordet är den enda faktorn kräver dagens text en betydligt längre minimilängd än de gamla LOA-siffrorna. De granskade påståendena anger ingen specifik längd för lösenord som utgör en av faktorerna i MFA, så den här artikeln anger inte heller någon.
Passkeys, synkbara autentiserare och AAL3
Ordet ”passkey” förekommer aldrig i de granskade påståendena. Däremot tar de upp en närliggande kategori: synkbara autentiserare. NIST:s riktlinjetext på pages.nist.gov anger att synkbara autentiserare inte får användas på AAL3 eftersom de kräver att den privata nyckeln går att exportera.
Meningen innehåller både en regel och dess angivna skäl:
- Regeln: synkbara autentiserare är uteslutna på AAL3.
- Det angivna skälet: de kräver att den privata nyckeln går att exportera.
Det här kan artikeln inte avgöra utifrån de granskade påståendena:
- Om en viss produkt som säljs eller märks som passkey är en synkbar autentiserare.
- Hur riktlinjen behandlar synkbara autentiserare på andra nivåer än AAL3.
- Om någon passkey uppfyller en definition av nätfiskeresistens.
Vår egen tolkning: den som jämför en passkey med lösenordsbaserad MFA bör först ta reda på om just den passkeyn synkar sin nyckel. Det är den egenskapen regeln hänger på. Eftersom påståendena slutar där lämnar vi klassificeringen av specifika passkeys olöst.
E-post, sms och telefonkoder vid flerfaktorsinloggning
Flera vanliga andra steg vid inloggning dyker upp i de granskade påståendena. NIST:s avsnitt om autentiserare på pages.nist.gov anger att e-post inte får användas för out-of-band-autentisering, alltså autentisering via en separat kanal. Samma avsnitt anger att out-of-band-autentisering ska betraktas som ogiltig om den inte slutförs inom 10 minuter.
Telefon- och sms-koder tas upp i NIST:s FAQ om digital identitet. Där står att autentiserare som använder det publika telefonnätet, inklusive engångskoder (OTP) via telefon och sms, är begränsade. De granskade påståendena förklarar inte vad ”begränsade” innebär i praktiken, så det beskriver vi inte närmare.
| Metod | Vad de granskade påståendena säger |
|---|---|
| E-post för out-of-band-autentisering | Får inte användas |
| Out-of-band-autentisering generellt | Ogiltig om den inte slutförs inom 10 minuter |
| Engångskoder via telefon och sms | Begränsade |
Vår egen tolkning: ”MFA” rymmer flera olika sorters andra steg, och riktlinjen behandlar dem olika. Om du tittar på inloggningsalternativen för ett e-post-, mäklar- eller kryptobörskonto kan den skillnaden vara värd att känna till. Men reglerna säger inget om vilket alternativ en viss tjänst använder eller hur väl det fungerar.
Tidsgränser för omautentisering på AAL2 och AAL3
Även reglerna för sessioner skiljer sig åt mellan nivåerna. NIST:s riktlinjetext på pages.nist.gov anger att det på AAL2 ska finnas en fastställd övergripande tidsgräns för omautentisering, och att den bör vara högst 24 timmar. På AAL3 ska den övergripande tidsgränsen för omautentisering vara högst 12 timmar.
| Nivå | Övergripande tidsgräns för omautentisering |
|---|---|
| AAL2 | Ska fastställas; bör vara högst 24 timmar |
| AAL3 | Ska vara högst 12 timmar |
Lägg märke till ordvalet. På AAL2 uttrycks gränsen med ”bör” (should), medan AAL3 använder ”ska” (must). Vi behåller den skillnaden i stället för att framställa båda som lika bindande.
Vår egen tolkning: om en tjänst ber dig logga in igen efter en viss tid kan det spegla en sådan tidsgränspolicy. Påståendena säger dock inget om hur en enskild tjänst sätter sina tidsgränser.
Vad är nätfiskeresistent – och hur ska man väga påståenden om det?
De granskade påståendena från NIST:s riktlinjetext på pages.nist.gov innehåller ingen definition av nätfiskeresistens. De säger inte heller om passkeys, synkbara autentiserare eller någon annan metod uppfyller en sådan. Artikeln lämnar den frågan öppen med avsikt och lånar inte någon definition från sekundära sammanfattningar som inte omfattats av granskningen av källmaterialet.
Samma försiktighet gäller säkerhetspåståenden i allmänhet. CERT.br:s guide med snabba tips anger att ett rykte ofta har en alarmistisk ton, handlar om ämnen som just nu får uppmärksamhet och saknar källa eller hänvisar till okända källor. En närliggande vana, enligt vår egen tolkning: när ett meddelande eller inlägg påstår att en inloggningsmetod är säker eller osäker, leta upp primärtexten det bygger på och kontrollera om originalformuleringen säger ”must”, ”should” eller något ännu svagare.
Så här långt räcker artikeln när det gäller den ursprungliga frågan:
- Besvarat utifrån påståendena: regler om längd på enfaktorslösenord, e-post och tidsgräns för out-of-band-autentisering, telefon- och sms-koder, synkbara autentiserare på AAL3 samt tidsgränser för omautentisering.
- Lämnat öppet: en definition av nätfiskeresistens, och hur specifika passkeys förhåller sig till den.
Artikelns begränsningar
Den här artikeln ger utbildande information om publicerad vägledning för autentisering. Den utgör inte investeringsrådgivning och rekommenderar ingen produkt, mäklare, kryptobörs eller tjänst. Den täcker inte delar av NIST-riktlinjen utöver de påståenden som anges här, och den definierar inte nätfiskeresistens. Den bedömer inte hur något specifikt konto eller någon specifik tjänst skyddar sina användare.