Klucze dostępu (passkeys): logowanie bez haseł

Klucze dostępu (passkeys) to nowoczesny zamiennik haseł: zamiast wpisywać hasło, potwierdzasz logowanie odciskiem palca, twarzą albo PIN-em swojego urządzenia. Klucz jest przypisany do konkretnej strony, więc nie da się go „wyłudzić” na fałszywej stronie.

Prostymi słowami

Hasło jest jak tajne słowo, które mówisz ochroniarzowi. Można je podsłuchać albo wyłudzić, udając ochroniarza. Passkey jest jak specjalny klucz, który pasuje tylko do jednych prawdziwych drzwi: nawet jeśli oszust zbuduje kopię drzwi, twój klucz po prostu nie obróci się w jej zamku. A odcisk palca tylko pozwala wyjąć klucz z kieszeni.

Jak to działa

1. Przy tworzeniu passkey urządzenie generuje parę kluczy: prywatny i publiczny.
2. Klucz publiczny jest zapisany na stronie, prywatny - tylko na twoim urządzeniu.
3. Przy logowaniu strona wysyła „zadanie”, a urządzenie podpisuje je kluczem prywatnym.
4. Potwierdzasz działanie odciskiem, twarzą albo PIN-em.
5. Klucze synchronizują się między twoimi urządzeniami przez menedżer haseł (iCloud, Google, 1Password).

Gdzie to zobaczysz

Passkeys obsługują Google, Apple, Microsoft, Amazon, PayPal oraz wiele mediów społecznościowych, banków i usług. Przechowuje się je w pęku kluczy iCloud, Menedżerze haseł Google, Samsung Pass, 1Password, Bitwarden i innych menedżerach.

Czy to ważne przy wyborze

Tak. Radzę włączać passkeys wszędzie, gdzie się da - zwłaszcza w poczcie, koncie Google/Apple i mediach społecznościowych. To jednocześnie wygodniejsze (nie trzeba pamiętać haseł) i bezpieczniejsze (ochrona przed phishingiem). Najważniejsze, żeby nie stracić dostępu do głównego konta i mieć zapasowy sposób logowania.

Mity

• Mit: Strona przechowuje mój odcisk palca. W rzeczywistości: Nie, odcisk zostaje na urządzeniu; strona dostaje tylko podpis kryptograficzny.
• Mit: Jeśli zgubię telefon, stracę wszystkie konta. W rzeczywistości: Klucze synchronizują się w chmurze menedżera haseł, więc odzyskasz je na nowym urządzeniu.

Częste pytania

Czym passkey jest lepszy od hasła?

Nie da się go zgadnąć, ukraść z bazy strony ani wyłudzić na fałszywej stronie.

Czy mogę zalogować się na cudzym komputerze?

Tak, skanując kod QR swoim telefonem.

Czy potrzebna jest osobna aplikacja?

Nie, wystarczą wbudowane menedżery Apple, Google i Samsunga.

Powiązane pojęcia

Uwierzytelnianie dwuskładnikowe (2FA), Phishing, Ultradźwiękowy czytnik linii papilarnych