Passkey nowy sposób logowania się do stron i aplikacji.

Passkey nowy sposób logowania się do stron i aplikacji.

Passkey to nowy, bezpieczniejszy sposób logowania się do stron i aplikacji. Zastępują tradycyjne hasła i zostały zaprojektowane tak, aby były odporne na phishing, łatwiejsze w użyciu i bezpieczne.

Passkey to standard wprowadzony przez FIDO Alliance. Opiera się na kluczach asymetrycznych, gdzie istnieją dwie pary kluczy — klucz publiczny i klucz prywatny.

Jak to działa — przykład PayPal

- Podczas konfiguracji passkey dla PayPal, twoje urządzenie generuje klucz prywatny, który nigdy nie opuszcza urządzenia, oraz klucz publiczny, który jest przesyłany do PayPal.

- Przy logowaniu PayPal wysyła na telefon losowe dane zwane wyzwaniem (challenge).

- Urządzenie podpisuje te dane kluczem prywatnym i wysyła wynik do PayPal, bez ujawniania klucza prywatnego.

- PayPal, korzystając z klucza publicznego przypisanego do konta, weryfikuje podpis i potwierdza twoją tożsamość cyfrową.

Ponieważ klucz prywatny jest przechowywany na urządzeniu, ważne jest jego zabezpieczenie. Tutaj wchodzą w grę mechanizmy odblokowywania urządzenia, takie jak Face ID, Touch ID czy hasło urządzenia, które chronią przed nieautoryzowanym użyciem klucza.

Dodatkowo passkey oferują lepsze użytkowanie, np. logowanie za pomocą Face ID. To skłoniło główne platformy, takie jak Apple, Google i Microsoft, do ich wdrożenia. Wsparcie wbudowane w systemy ułatwia integrację dla deweloperów i adopcję przez użytkowników. W efekcie również duże serwisy zaczęły je stosować — dla bezpieczeństwa i wygody użytkowników.

Wady systemu:
- Passkey nie zmienia procesu odzyskiwania konta, który może być celem ataków. Serwisy muszą wzmocnić procedury odzyskiwania.
- To nowy mechanizm uwierzytelniania, więc serwisy muszą stosować najlepsze praktyki weryfikacji podpisów.
- Passkey są zależne od urządzenia i jego bezpieczeństwa. Jakość lokalnego uwierzytelniania wpływa na bezpieczeństwo.
- Passkey są częściowo powiązane z ekosystemem. Klucze z Apple działają płynnie na urządzeniach Apple, ale użycie ich na Androidzie jest trudniejsze. Można je udostępniać przez Bluetooth lub kody QR, ale nie tak wygodnie, jak w ramach jednego ekosystemu.

Passkey są zdecydowanie bezpieczniejsze niż tradycyjne hasła, a korzyści znacznie przewyższają wady. W miarę jak ich adopcja rośnie i technologia się rozwija, wiele wyzwań zostanie rozwiązanych. Wraz z rosnącą liczbą serwisów wspierających passkey, świadomość użytkowników i najlepsze praktyki staną się powszechne.

październik 2025
źródło: DZone