Co jsou Passkeys a proč vznikly
Passkey je způsob přihlašování, který nahrazuje klasické heslo dvojicí kryptografických klíčů. Jeden zůstává uložený v zařízení uživatele, například v telefonu, notebooku nebo v bezpečnostním modulu, druhý si ponechává služba, ke které se člověk přihlašuje. Místo zadávání textového hesla pak uživatel ověří svou identitu například otiskem prstu, rozpoznáním obličeje nebo PINem zařízení.
Za technologií stojí aliance FIDO a konsorcium World Wide Web Consortium. Cílem je odstranit slabiny, které jsou s hesly spojené už desítky let: opakované používání stejných hesel, snadno uhodnutelné kombinace, úniky databází i phishing. Podle bezpečnostních firem patří ukradená nebo slabá hesla dlouhodobě k nejčastějším příčinám průniků do účtů. V řadě incidentů přitom útočníci nepotřebují sofistikovaný malware, stačí jim přimět uživatele, aby své údaje zadal na falešné stránce.
Passkey tento problém omezuje tím, že žádné tajné heslo, které by šlo opsat a zneužít, uživatel vlastně neodesílá. Přihlášení je vázané na konkrétní službu a konkrétní zařízení, což výrazně komplikuje phishing i útoky typu credential stuffing, při nichž útočníci zkoušejí uniklé údaje na dalších webech.
Jak přihlášení bez hesla funguje v praxi
Proces je pro běžného uživatele překvapivě jednoduchý. Při registraci nebo při přidání Passkey si zařízení vytvoří kryptografický pár. Soukromý klíč zůstává zabezpečený lokálně, veřejný klíč se uloží u poskytovatele služby. Když se uživatel později přihlašuje, server pošle výzvu, kterou zařízení podepíše soukromým klíčem. Ověření proběhne bez toho, aby se tajná informace přenášela přes internet.
V praxi to znamená, že místo psaní hesla se člověk dotkne čtečky otisků prstů, podívá do kamery nebo zadá PIN k zařízení. Pokud má Passkey uložený v cloudu propojeném s účtem výrobce telefonu či počítače, může ho použít i na jiném svém zařízení. Apple, Google i Microsoft už nabízejí synchronizaci Passkeys mezi svými zařízeními, takže uživatel není odkázán jen na jeden konkrétní telefon.
Výhodou je i to, že přihlášení bývá rychlejší než klasické zadávání hesla a následné potvrzování druhým faktorem. Podle společnosti Google mohou být Passkeys až čtyřikrát rychlejší než přihlašování heslem, což je patrné zejména na mobilních zařízeních. Uživatel navíc nemusí řešit, zda heslo splňuje požadavky na délku, kombinaci znaků nebo pravidelnou obměnu.
Proč jsou Passkeys bezpečnější než hesla
Hlavní rozdíl spočívá v tom, že Passkey nelze jednoduše ukrást a znovu použít. Klasické heslo se dá odposlechnout, vyčíst z podvodné stránky, získat z úniku databáze nebo vynutit pomocí automatizovaných útoků. U Passkey útočník bez přístupu k zařízení a bez biometrického či lokálního potvrzení neuspěje.
Další významný prvek je vázanost na konkrétní web nebo aplikaci. Pokud uživatel omylem navštíví podvodnou stránku, Passkey se k ní nepřihlásí, protože kryptografický podpis je navázaný na správnou doménu. Právě to je zásadní rozdíl oproti heslům, která lze na falešné stránce snadno vylákat. Bezpečnostní experti to považují za jednu z nejúčinnějších obran proti phishingu, který patří mezi nejrozšířenější cesty k převzetí účtů.
Passkeys zároveň snižují význam takzvané opakované recyklace hesel. Mnoho lidí používá stejné nebo podobné heslo na více službách, protože si je nedokáže zapamatovat. Když dojde k úniku na jednom webu, útočníci často zkoušejí stejnou kombinaci jinde. U Passkeys tento model odpadá, protože každá služba dostane vlastní klíčový pár.
Kde už se dá Passkey používat
Technologie se postupně rozšiřuje do velkých internetových služeb. Podporu už mají například Google, Apple, Microsoft, PayPal, eBay, GitHub, LinkedIn nebo WhatsApp. V některých případech lze Passkey využít jako hlavní způsob přihlášení, jinde zatím slouží jako doplněk ke klasickému heslu. Rozšíření závisí na tom, jak rychle si nové řešení osvojí jak platformy, tak uživatelé.
Významný posun nastal i v oblasti operačních systémů a prohlížečů. Passkeys podporují moderní verze systémů Android, iOS, macOS a Windows, stejně jako hlavní prohlížeče. To je důležité, protože bez široké podpory by technologie zůstala jen v několika uzavřených ekosystémech. Dnes už ale funguje napříč zařízeními a běžný uživatel ji může používat bez speciálního hardwaru.
Firmy Passkeys zavádějí i kvůli nákladům. Průzkumy bezpečnostních společností opakovaně ukazují, že obnova účtů po zapomenutých heslech, resetování přístupů a podpora uživatelů stojí organizace značné peníze. Každý krok, který sníží počet resetů hesel a incidentů s přihlášením, se proto firmám vyplácí nejen bezpečnostně, ale i provozně.
Co to znamená pro běžné uživatele
Pro uživatele je největší změnou pohodlí. Nemusí si pamatovat desítky hesel ani používat správce hesel, pokud nechtějí. Přihlášení se zkracuje na odemknutí telefonu nebo potvrzení biometrikou. To ocení hlavně lidé, kteří se přihlašují do bankovnictví, e-shopů, pracovních aplikací nebo cloudových služeb mnohokrát denně.
Passkey ale není bez podmínek. Uživatel musí mít zařízení, které technologii podporuje, a zároveň si hlídat přístup k němu. Pokud telefon ztratí nebo se poškodí, musí mít k dispozici jiný způsob obnovy účtů. Proto řada služeb zatím nechává v záloze klasické heslo, záložní kódy nebo přihlášení přes další zařízení. Přechod na Passkeys tedy neznamená, že hesla okamžitě zmizí ze dne na den.
Důležitá je také důvěra v ekosystém výrobců. Pokud uživatel využívá synchronizaci klíčů přes cloud, spoléhá na zabezpečení svého účtu u Apple, Googlu nebo Microsoftu. Tyto společnosti tvrdí, že klíče jsou šifrované a chráněné, přesto odborníci doporučují mít aktivní i další zabezpečení účtu, například dvoufázové ověření.
- Výhoda: menší riziko phishingu a zneužití přihlašovacích údajů
- Výhoda: rychlejší a pohodlnější přihlášení
- Riziko: závislost na konkrétním zařízení a jeho zabezpečení
- Riziko: ne všechny služby Passkeys zatím podporují
Proč hesla hned nezmizí a co čeká firmy
Přestože se o konci hesel mluví stále častěji, jejich úplné zmizení je zatím vzdálené. Mnoho starších systémů Passkeys nepodporuje a některé organizace si nemohou dovolit okamžitou migraci. Přechod navíc vyžaduje úpravy v přihlašovacích systémech, zákaznické podpoře i interních pravidlech bezpečnosti.
Firmy budou muset řešit i situace, kdy zaměstnanec používá více zařízení, cestuje mezi platformami nebo ztratí přístup k hlavnímu telefonu. Bude potřeba nastavit jasná pravidla obnovy, zálohování a správy přístupů. U velkých organizací se navíc Passkeys často zavádějí postupně, nejprve pro zaměstnance a až poté pro zákazníky.
Bezpečnostní experti ale očekávají, že právě v následujících letech se technologie výrazně rozšíří. Jakmile ji začnou používat další velké služby, tlak na změnu poroste i u menších firem. Stejně jako se kdysi stalo standardem přihlašování přes SMS kódy nebo aplikace pro dvoufaktorové ověření, může se i Passkey stát novým běžným způsobem, jak se na internetu prokazovat bez klasického hesla.
