Passkeys - jak działa logowanie bez haseł i jak zacząć

Klucze dostępu zastępują hasła biometrią i są odporne na phishing z samej konstrukcji. Jak działają passkeys, co przy zgubionym telefonie i od czego zacząć.

Passkeys (klucze dostępu) to logowanie bez hasła: zamiast wpisywać ciąg znaków, potwierdzasz tożsamość odciskiem palca, twarzą albo kodem PIN urządzenia - dokładnie tak, jak odblokowujesz telefon. Google, Apple, Microsoft, Allegro, PayPal i tysiące innych serwisów już je obsługują, a menedżery haseł synchronizują je między urządzeniami. To pierwsza od dekad realna próba wysłania haseł na emeryturę - i pierwsza, która ma szansę się udać, bo nie wymaga od użytkownika żadnej dyscypliny.

Dlaczego hasła przegrywają

Problem z hasłami nie polega na tym, że ludzie wybierają słabe. Polega na tym, że nawet najlepsze hasło to sekret, który musisz komuś wysłać - a wszystko, co się wysyła, da się przechwycić, wyłudzić albo wykraść z bazy serwisu. Trzy plagi trzymają się haseł od zawsze:

  • Phishing - strona podszywająca się pod bank czy pocztę wygląda identycznie jak prawdziwa, a wpisane na niej hasło trafia prosto do przestępcy. Żadne szkolenie nie daje stuprocentowej odporności, bo dobre podróbki oszukują nawet czujnych.
  • Wycieki baz - serwisy bywają włamane, a hasła z wycieków testuje się automatem na setkach innych serwisów. Kto używa jednego hasła w wielu miejscach, pada razem z najsłabszym z nich.
  • Ponowne użycie - przeciętna osoba ma dziesiątki kont; bez menedżera haseł unikalne hasła wszędzie są fikcją.

Passkeys rozwiązują wszystkie trzy naraz - nie dlatego, że są „mocniejsze", tylko dlatego, że działają na zupełnie innej zasadzie.

Jak to działa (bez matematyki)

Przy zakładaniu klucza dostępu urządzenie generuje parę kluczy kryptograficznych. Klucz publiczny wędruje do serwisu - może go zobaczyć cały świat, do niczego się nie przyda. Klucz prywatny nigdy nie opuszcza Twojego urządzenia (albo zaszyfrowanego sejfu menedżera haseł). Przy logowaniu serwis wysyła jednorazowe wyzwanie, urządzenie podpisuje je kluczem prywatnym po potwierdzeniu biometrią, serwis sprawdza podpis kluczem publicznym. Koniec.

Z tej konstrukcji wynikają rzeczy, których hasło nigdy mieć nie będzie:

  • Nie ma czego wykraść z serwera. Wyciek bazy ujawnia klucze publiczne - bezużyteczne dla atakującego.
  • Phishing przestaje działać. Klucz jest przypisany do domeny serwisu. Podróbka banku pod inną domeną nie dostanie podpisu, choćby wyglądała idealnie - przeglądarka po prostu nie znajdzie pasującego klucza. Użytkownik nie musi niczego zauważać.
  • Nie ma nic do zapamiętania. Biometria zostaje na urządzeniu i służy tylko do odblokowania klucza - odcisk palca nigdzie nie jest wysyłany.

Pod spodem to standardy FIDO2/WebAuthn, rozwijane przez FIDO Alliance i wbudowane w każdą współczesną przeglądarkę i system.

A co, gdy zgubię telefon?

To pytanie numer jeden i powód, dla którego passkeys wystartowały dopiero teraz. Odpowiedź: klucze się synchronizują. Passkey zapisany w Google Password Manager jest dostępny na wszystkich urządzeniach z tym samym kontem Google; w pęku kluczy Apple - na wszystkich urządzeniach z tym samym Apple ID; menedżery haseł (1Password, Bitwarden, Proton Pass) synchronizują je między systemami bez oglądania się na producenta. Utrata telefonu to odzyskanie dostępu przez konto chmurowe, jak przy zwykłych hasłach z menedżera.

Można też logować się „przez telefon" na obcym komputerze: serwis pokazuje kod QR, skanujesz go telefonem, potwierdzasz biometrią - komputer nie widzi klucza, dostaje tylko wynik. Świetne na hotelowe i firmowe maszyny.

Jak zacząć: plan na jeden wieczór

  1. Wybierz sejf. Jeśli żyjesz w jednym ekosystemie (sam Android albo sam Apple) - wbudowany menedżer wystarczy. Mieszasz Windows + Android + iPad? Rozważ niezależny menedżer haseł, będzie jednym miejscem dla wszystkiego.
  2. Zacznij od konta pocztowego. Skrzynka to klucz do resetów haseł wszystkich innych serwisów, więc zabezpiecz ją najpierw. W ustawieniach bezpieczeństwa Google/Microsoft znajdziesz opcję „utwórz klucz dostępu" - całość trwa minutę.
  3. Dodawaj przy okazji. Coraz więcej serwisów samo proponuje utworzenie passkey po zalogowaniu. Zgadzaj się - każde konto z kluczem to jedno konto mniej do złowienia na phishing.
  4. Nie kasuj haseł od razu. W okresie przejściowym większość serwisów trzyma hasło jako metodę zapasową. To normalne; miej je w menedżerze, długie i unikalne.

Ograniczenia, o których warto wiedzieć

Uczciwy obraz wymaga trzech zastrzeżeń. Po pierwsze, metody odzyskiwania bywają najsłabszym ogniwem: jeśli konto z passkey da się przejąć przez „reset hasłem na SMS", realne bezpieczeństwo wyznacza ta furtka, nie klucz. Warto przejrzeć opcje odzyskiwania i wyłączyć najsłabsze. Po drugie, wsparcie bywa nierówne - część serwisów obsługuje passkeys tylko w aplikacji, część tylko jako drugi składnik. Po trzecie, klucz w chmurze jest tak bezpieczny, jak konto chmurowe - konto Google/Apple/menedżera zabezpiecz najmocniej ze wszystkiego, najlepiej sprzętowo lub właśnie passkey.

Dla firm ma znaczenie jeszcze jedno: passkeys nie zwalniają z dwuskładnikowego logowania tam, gdzie go jeszcze nie ma. Jeśli Twój zespół loguje się do paneli firmowych hasłami, zacznij od włączenia 2FA - w naszym panelu klienta opisuje to krótka instrukcja - a passkeys traktuj jako następny krok tej samej drogi.

Szybkie pytania

Czy serwis widzi mój odcisk palca? Nie. Biometria tylko odblokowuje klucz na urządzeniu; do serwisu leci wyłącznie podpis kryptograficzny.

Czy mogę mieć kilka kluczy do jednego konta? Tak i warto: telefon + komputer + ewentualnie sprzętowy klucz USB jako koło ratunkowe w szufladzie.

Czym to się różni od menedżera haseł? Menedżer przechowuje sekrety, które nadal trzeba wysyłać do serwisu. Passkey niczego nie wysyła - dlatego jest odporny na phishing, na który menedżer haseł już nie pomoże.

Co z serwisami bez obsługi passkeys? Zostaje klasyka: unikalne hasło z menedżera + dwuskładnikowe logowanie. Lista serwisów z obsługą rośnie z miesiąca na miesiąc.

Podsumowanie

Passkeys to rzadki przypadek technologii bezpieczeństwa, która jednocześnie podnosi ochronę i upraszcza życie: nie ma hasła do wymyślenia, wpisania, wykradzenia ani wyłudzenia. Sensowna kolejność wdrożenia u siebie: najpierw skrzynka pocztowa i konto chmurowe, potem bank i najważniejsze serwisy, reszta przy okazji. Za rok czy dwa pytanie nie będzie brzmiało „czy używać passkeys", tylko „czemu jeszcze gdzieś wpisuję hasło".

Powiązane poradniki

Wszystkie poradniki z kategorii: Technologie i cyfrowy świat

Zobacz również