Passkeys jsou přihlašovací údaje, které nahrazují klasické heslo. Využívají asymetrickou kryptografii: pro každý účet vzniká dvojice klíčů – soukromý klíč zůstává v zařízení uživatele, veřejný klíč si uloží služba na serveru.
Při přihlášení uživatel nikam nezadává heslo. Služba pošle výzvu a zařízení ji podepíše soukromým klíčem. Server ověří podpis pomocí veřejného klíče a tím potvrdí, že se hlásí správný uživatel. Typicky se to váže na ověření přímo v zařízení – otisk prstu, rozpoznání obličeje nebo PIN.
Důležitý rozdíl je v tom, že žádná tajná informace necestuje po internetu a uživatel si nemusí pamatovat žádné složité kombinace znaků. Ověření probíhá lokálně v zařízení a služba dostává jen kryptografický důkaz, ne samotný klíč.
Proč hesla přestávají stačit
Panda Security i další bezpečnostní hráči opakovaně upozorňují na to, že současný model práce s hesly má systémové slabiny: uživatelé recyklují stejná hesla napříč službami, tvoří snadno uhodnutelná hesla, často naletí phishingu a zadávají hesla na podvodných stránkách. Únik databáze z jedné služby může otevřít cestu i k účtům jinde.
FIDO Alliance uvádí, že 77 procent útoků souvisejících s hackingem je spojeno s kompromitovanými přihlašovacími údaji. Hesla jsou zkrátka příliš závislé na lidské disciplíně a bezpečném zacházení s daty na straně poskytovatelů služeb.
V čem jsou passkeys bezpečnější
Passkeys mají ambici většinu těchto slabin odstranit – nebo je alespoň výrazně omezit. Passkey nejde opsat a zkusit jinde. Zařízení při ověřování kontroluje konkrétní doménu, takže podvodný web nedostane přihlašovací údaj, který by šel využít proti legitimní službě.
Pro každou službu vzniká nová dvojice klíčů. Únik dat z jedné služby proto automaticky neohrožuje účty u dalších poskytovatelů, jak se to děje u recyklovaných hesel.
Na serveru leží jen veřejné klíče. I kdyby útočník získal celou databázi, soukromé klíče z ní „nevypočítá" a nemůže se s nimi přihlásit.
Uživatel si nic nepamatuje, přihlášení se redukuje na odemknutí zařízení nebo potvrzení biometrie. Z pohledu bezpečnostních firem to není jen komfort, ale i způsob, jak obejít věčný problém se slabými hesly a jejich recyklací.
Panda Security v tom vidí krok směrem k přihlašování, které je bezpečnější ze své podstaty, ne jen díky lepší disciplíně uživatelů.
Proč se do toho pouští velcí hráči
Passkeys stojí na standardech FIDO a WebAuthn, které dlouhodobě podporují Google, Apple i Microsoft. To je klíčové – bez podpory přímo v operačních systémech a prohlížečích by byl jejich praktický dopad omezený.
Z pohledu těchto platforem jde o kombinaci bezpečnosti a uživatelské zkušenosti: snižují úspěšnost phishingových útoků, omezují dopady úniků databází a zjednodušují přihlašování pro běžné uživatele.
I proto se podle Panda Security dá čekat, že passkeys se z doporučované alternativy postupně stanou běžnou volbou, kterou služby budou aktivně nabízet hned při vytváření účtu.
Kde už dnes passkeys použijete
Podpora passkeys se rychle rozšiřuje. Uživatelé se s nimi setkají například u Google účtů (Gmail, Google Drive), Apple ID a služeb Apple, Microsoft účtů, některých bank, správců hesel a vybraných online služeb.
V praxi to obvykle vypadá tak, že při přihlášení služba nabídne kromě hesla i možnost přihlásit pomocí passkey. Po prvotním nastavení pak stačí potvrdit přihlášení na zařízení, kde je passkey uložena.
Co s účty, které passkeys neumí
Ekosystém je v přechodné fázi. Hesla jen tak nezmizí a Panda Security to ani netvrdí – doporučuje ale využívat passkeys tam, kde jsou k dispozici, a jinde dál pracovat s osvědčenými zásadami: unikátní a silná hesla, správce hesel a vícefaktorové ověřování.
Dlouhodobý trend je ale podle bezpečnostních firem zřejmý: textová hesla by měla ustoupit do pozice záložní nebo doplňkové metody, zatímco hlavní roli převezmou právě přihlašovací klíče typu passkeys.
Computertrends si můžete objednat i jako klasický časopis. Je jediným odborným magazínem na českém a slovenském trhu zaměreným na profesionály v oblasti informačních a komunikačních technologií (ICT). Díky silnému zázemí přináší aktuální zpravodajství, analýzy, komentáře a přehledy nejnovejších technologií dříve a na vyšší odborné úrovni, než ostatní periodika na tuzemském trhu.
Obsah Computertrends je určen odborníkům a manažerům z firem a institucí, kteří se podílejí na rozhodovacím procesu při nákupu ICT technologií. Jednotlivá čísla si můžete objednat i v digitální podobě.
PŘEDPLATNÉ
ČLÁNKY DO MAILU