Passkeys + device intelligence: skiktat försvar mot account takeover

Passkeys är den mest betydande förbättringen av konsumentautentisering på ett decennium, och branschens sätt att rama in dem är subtilt vilseledande. Inramningen är att passkeys ”löser” account takeover. De löser det inte – de eliminerar en klass av det, den största och mest automatiserbara klassen, och gör därmed att angripare pressas mot de delar av kontots livscykel som passkeys strukturellt inte kan skydda.

Den här texten riktar sig till säkerhetsarkitekter och produktsäkerhetsteam som rullar ut passkeys och vill ha en klarögd karta över vad passkeys täcker, vad de lämnar exponerat och var ett device intelligence-skikt passar in. Tesen: passkeys och device intelligence är komplementära. Passkeys förstärker autentiseringen; device intelligence säkrar allt runt omkring den.

Vad passkeys faktiskt löser

Passkeys löser credential-stöld genom att helt ta bort den delade hemligheten. Det finns inget lösenord att phisha, inget lösenord att återanvända mellan webbplatser, inget lösenord som ligger i en läckt databas och väntar på att stoppas in. Det stänger den enskilt största angreppsytan för account takeover i ett enda drag.

Mekaniskt är en passkey ett par av publik och privat nyckel som skapas per webbplats med standarderna WebAuthn och FIDO2. Den privata nyckeln lämnar aldrig användarens enhet (eller deras synkade credential-leverantör); webbplatsen lagrar bara den publika nyckeln. Autentisering är en kryptografisk challenge-response: webbplatsen skickar en utmaning, enheten signerar den med den privata nyckeln, webbplatsen verifierar med den publika nyckeln. Inget återanvändbart passerar över nätet.

Två egenskaper följer, och de är de som spelar roll för ATO:

Phishing-resistens. Passkeyn är kryptografiskt bunden till webbplatsens origin. En användare som hamnar på en efterliknande phishing-domän kan inte presentera sin passkey där – webbläsaren erbjuder den inte, eftersom origin inte stämmer. Detta besegrar hela kategorin av realtids-phishingproxyer (Evilginx-liknande attacker) som gör engångskods-MFA verkningslös. Autentiseringsuppgiften kan helt enkelt inte reläas till fel destination.

Ingen delad hemlighet att stjäla i stora mängder. Det finns ingen databas med hashade lösenord att exfiltrera, ingen lista med autentiseringsuppgifter att köpa, inget material för credential stuffing. Ekonomin bakom automatiserade lösenordsattacker bygger på att stulna uppgifter är billiga och återanvändbara; passkeys gör dem obefintliga.

För flödena som en passkey faktiskt styr – en användare som loggar in på en enhet som redan har deras passkey – är detta nära vattentätt. Om hela din användarbas autentiserade sig uteslutande med passkeys på enheter de redan äger, skulle det klassiska ATO-upplägget vara dött.

Det är inte den värld som någon verklig tjänst opererar i.

Angreppsytan passkeys inte täcker

Passkeys säkrar autentiseringshändelsen. Account takeover är inte begränsat till autentiseringshändelsen – det riktar sig mot hela kontots livscykel, och det mesta av den livscykeln ligger utanför vad en passkey styr. Fyra luckor är viktiga.

Kontoåterställning. Detta är den stora. Varje tjänst behöver ett sätt för en användare som tappat sin enhet att komma in igen. Den återställningsvägen – e-postlänk, SMS-kod, säkerhetsfrågor, backupkoder, verifiering via supporten – är per definition ett sätt att autentisera utan passkeyn. En angripare som inte kan besegra passkeyn attackerar återställningsflödet i stället, och återställningsflöden är vanligtvis långt svagare än den primära autentisering de kringgår. En passkey-utrullning med en fallback för ”återställ via SMS-kod” har en phishbar, SIM-swapbar bakdörr oavsett hur stark ytterdörren är.

Registrering av enheter. Att lägga till en ny passkey på ett konto är en kontoändrande åtgärd, och om en angripare kan registrera sin egen enhets passkey har de nu permanent legitim åtkomst. Registrering skyddas vanligtvis av en befintlig autentiserad session – vilket innebär att den ärver svagheterna hos det som etablerade den sessionen, inklusive återställningsflödet ovan. Registrera-en-ny-passkey är den moderna motsvarigheten till att ”lägga till en vidarebefordringsregel”: tyst, ihållande och lätt att missa.

Session hijacking. Passkeys autentiserar; de omautentiserar inte löpande. När en användare väl har loggat in är den resulterande session-token en bearer-uppgift som vilken annan som helst. Stjäl den – via skadlig kod, ett skadligt tillägg, en komprometterad enhet eller en token-exfiltreringsattack – och du har den autentiserade sessionen utan att någonsin röra passkeyn. Styrkan i inloggningen säger ingenting om säkerheten i timmen som följer den.

Den oregistrerade långa svansen. Passkey-adoptionen är verklig men partiell. En betydande andel av vilken konsumentbas som helst har ingen passkey: äldre enheter, delade eller företagsägda maskiner, användare som avfärdade uppmaningen, användare som inte förstår den. Vart och ett av dessa konton har fortfarande en lösenords- eller kodbaserad väg, och angripare koncentrerar sig på precis den vägen. En tjänst är bara så skyddad som sin svagaste tillgängliga autentiseringsmetod, och för den oregistrerade svansen är den metoden den gamla.

Mönstret över alla fyra: stark autentisering tar inte bort incitamentet att ta över konton, den flyttar attacken. Detta är den genomgående läxan från ATO-landskapet 2026 – i takt med att varje vektor förstärks flödar angripare till den näst svagaste. Passkeys flyttar striden från inloggningsformuläret till återställningsflödet, registreringssteget och sessionen efter inloggning.

Varför device intelligence täcker luckorna

Device intelligence täcker passkey-luckorna eftersom det opererar längs en annan axel: passkeys frågar ”har den här användaren rätt nyckel”, device intelligence frågar ”är detta den enhet och kontext vi förväntar oss för det här kontot, vid varje åtgärd”. Den andra frågan går att besvara även när ingen passkey är i spel – vilket är exakt situationen vid återställning, registrering och den oregistrerade svansen.

Mekanismen är en persistent enhetsidentitet: en stabil identifierare byggd från signaler kring webbläsare, hårdvara, nätverk och beteende, som känner igen en återvändande enhet över sessioner utan att förlita sig på en lagrad uppgift. (Hur den identifieraren konstrueras och varför den överlever rensade cookies beskrivs i hur device fingerprinting fungerar.) Med den identiteten kopplad till ett kontos historik får var och en av de fyra luckorna en kontroll som passkeys inte kan tillhandahålla.

Återställning bunden till kända enheter. När ett återställningsförsök inkommer besvarar device intelligence en fråga som återställningsflödet annars inte kan: initieras denna återställning från en enhet som detta konto någonsin har använt? Återställning från en helt ny enhet i ett nytt land på en datacenter-IP är kategoriskt mer riskabel än återställning från användarens vanliga laptop. Den signalen låter dig gradera återställningsflödet – lätt verifiering från en känd enhet, tung verifiering (eller ett stopp) från en okänd – i stället för att applicera samma svaga SMS-kontroll på alla.

Registrering skyddad av enhetstillit. En begäran att registrera en ny passkey kan poängsättas mot enhetshistoriken. Att registrera en passkey från användarens etablerade enhet är förväntat. Att registrera en från en enhet som dök upp för några minuter sedan, omedelbart efter en återställningshändelse, från ett misstänkt nätverk, är signaturen för ett konto som håller på att tas över. Device intelligence gör den registreringsbegäran läsbar i stället för osynlig.

Löpande session-poängsättning efter inloggning. Eftersom enhetsidentiteten utvärderas vid varje begäran, inte bara vid inloggning, är en session som börjar på en enhet och fortsätter på en annan – fingeravtrycket av en stulen token som spelas upp någon annanstans – möjlig att upptäcka. Att enhets- eller nätverkskontexten mitt i sessionen driver bort från den autentiserade enheten är en hijack-signal som ingen mängd styrka i ytterdörrens autentisering kan fånga. Detta är principen om zero-trust-verifiering av enheter: tillit utvärderas löpande, inte beviljas en gång vid dörren.

Täckning för de oregistrerade. För användarna som aldrig antog en passkey är device intelligence det skikt som gör jobbet – känner igen deras kända enhet och släpper igenom legitima inloggningar med låg friktion, samtidigt som det flaggar credential stuffing- och okänd enhet-försök som riktar sig mot precis denna population. Användarna som är mest exponerade av partiell passkey-adoption är de som device intelligence skyddar mest direkt.

Den röda tråden: passkeys bevisar innehav av en nyckel i ett ögonblick; device intelligence etablerar enhets- och beteendekontext över varje ögonblick. Luckorna i det första är precis domänen för det andra.

Hur de två skikten kombineras i praktiken

I en skiktad utrullning körs passkeys och device intelligence parallellt, var och en auktoritativ för de beslut den lämpar sig för, och matar en enda riskbild.

Vid inloggning är en passkey där den finns den starka primära faktorn – phishing-resistent, ingen delad hemlighet. Device intelligence körs vid sidan av den och bekräftar tyst att enheten är känd och kontexten normal. För en passkey-inloggning från en igenkänd enhet är detta osynligt: användaren loggar in, ingenting uppmanar. Enhetssignalen konsulteras bara när den avviker från förväntan.

Vid återställning och registrering, där ingen passkey presenteras (det är hela poängen med dessa flöden), blir device intelligence den primära riskingången. Utlåtandet från smart signals – känd enhet, nätverksrykte, beteendekonsistens – avgör om flödet fortskrider lätt, eskalerar till starkare verifiering eller stoppas för granskning. Det är här passkey-utrullningens verkliga bakdörr får ett lås.

Efter inloggning tillhandahåller device intelligence löpande utvärdering. Passkeyns jobb tog slut vid autentiseringen; enhetsskiktet bevakar sessionen efter de kontextskiften som indikerar token-stöld, och kan tvinga fram omautentisering när enhetssignalen bryts mitt i sessionen.

För de oregistrerade bär device intelligence den primära bördan även vid inloggning, och skiljer den återvändande kända enheten från credential stuffing-försöket, tills (och om) användaren antar en passkey.

Arbetsfördelningen är ren eftersom de två mekanismerna besvarar genuint olika frågor och fallerar på genuint olika sätt. En passkey kan inte tala om för dig huruvida enheten som begär en lösenordsåterställning är pålitlig; device intelligence kan inte leverera phishing-resistent kryptografiskt bevis på nyckelinnehav. Att distribuera den ena utan den andra lämnar ett förutsägbart hål – passkeys ensamma lämnar återställnings- och sessionsflödena mjuka; device intelligence ensam saknar den kryptografiska autentiseringsstyrkan vid ytterdörren.

Den ärliga inramningen för en passkey-utrullning

Om du rullar ut passkeys är det korrekta interna budskapet inte ”vi har löst account takeover”. Det är ”vi har eliminerat credential-stöld som angreppsvektor, och vi behöver nu förstärka de flöden angripare kommer att flytta till”. De flödena – återställning, registrering, session och den oregistrerade svansen – är där nästa våg av ATO-försök kommer att koncentreras just för att ytterdörren blev stark. En passkey-utrullning som inte samtidigt förstärker återställningen flyttar låset från dörren till fönstret medan fönstret lämnas öppet.

Den förstärkningen är vad ett device intelligence-skikt tillhandahåller, och det är därför de starkaste ATO-hållningarna parar de två. Passkeys gör autentiseringshändelsen nästan oslagbar. Device intelligence gör resten av kontots livscykel – de delar en angripare vänder sig till därför att autentiseringshändelsen blev oslagbar – observerbar och poängsättbar.

Tracio levererar device intelligence-halvan av den parningen: en persistent enhetsidentitet som överlever rensade cookies och nya sessioner, risksignaler kring nätverk och beteende, och ett utlåtande som returneras på under 50 ms och pluggas in i återställning, registrering och löpande sessionskontroller. Det körs tyst bakom passkey-inloggningar från kända enheter och kliver fram precis där passkeys inte når.

Vill du se hur device intelligence täcker flödena som din passkey-utrullning lämnar öppna?

Starta din kostnadsfria provperiod – 2 500 verifieringar gratis, inget kreditkort krävs. Boka en demo för att kartlägga device intelligence mot din arkitektur för autentisering, återställning och sessioner.