Passkeys: Budoucnost bez hesel a bezpečně

Podle zprávy A Global Look at Password Health má průměrný uživatel 240 online účtů. Každý tento účet by správně měl mít unikátní heslo splňující veškeré (a často bizarní) bezpečnostní požadavky – určitý počet znaků, kombinaci písmen, číslic a speciálních znaků….

Tam, kde je to možné, by měl být účet ještě zabezpečen vícefaktorovým ověřováním – tzn. potvrzením přihlášení, které probíhá nejčastěji formou zaslání kódu na telefon či e-mail, push notifikací na telefonu nebo akcí v tzv. autentikátoru.

Existují nástroje na tvorbu a správu hesel, které tento proces značně usnadňují. Rovněž jsou dnešní zařízení tak inteligentní, že si naše přihlášení pamatují a nemusíme dokola zadávat heslo, ověřovat… Přesto se řada uživatelů uchyluje k nebezpečné praktice – recyklaci hesel.

Proč je opakované heslo riziko

Dělali jsme to všichni a kdo tvrdí, že ne, ten to dělá dodnes… Zkrátka zadáte napříč svými účty stejné heslo. Proč je to vlastně tak rizikové?

Představte si, že své „oblíbené“ heslo použijete u nějaké služby. Poskytovatel této služby bude vystaven kyberútoku, nedostatečně ochrání vaše data, zanedbá ochranu hesel a tyto údaje se dostanou do nepovolaných rukou.

Zní to podle vás nepravděpodobně? Jen do října letošního roku došlo k více něž 953 únikům dat a bylo kompromitováno 5 367 966 200 údajů (zdroj: IT Governance).

Samozřejmě, že nešlo vždycky o jednoduchou kombinaci hesel a e-mailů v plain textu, ale je to slušná porce dat a stačí jedno zapomenuté heslo u služby, kterou jste nevyužili několik let a spárovat to s další databází uniklých údajů a pak už jen začít zkoušet.

A nemyslete si, že pro útočníky nejste zajímaví, představte si, co všechno odbavujete pomocí online nástrojů a aplikací.

Mimochodem, zkuste si ověřit, zda váš e-mail nefiguruje v nějakém úniku dat na haveibeenpwned.com – možná budete překvapeni (nemile).

Konec hesel, konec obav

Kombinace přihlašovacího jména (e-mailu nejčastěji) a hesla je „mechanismus“, který se začal používat v roce 1961. Pochopitelně za půl století existence se objevily různé technologie a mechanismy, které činí tento sytém bezpečnějším (ale rozhodně ne neprůstřelným), ale logika zůstala stále stejná. Nyní ale nastává zásadní obrat, a to je nástup autentizační technologie Passkeys.

Co jsou „pasové klíče“

Passkeys je metoda ověřování pro webové stránky a aplikace, kterou zpopularizoval Apple v červnu 2022, kdy přidal podporu do systémů iOS a MacOS. Tento standard prosazují také společnosti Google, Microsoft, World Wide Web Consortium a FIDO Alliance.

Jde o kryptografické klíče a každý passkey se skládá ze dvou klíčů, veřejného klíče, který je registrován v online službě nebo aplikaci, a soukromého klíče, který je uložen v zařízení, například v chytrém telefonu nebo počítači.

To může znít složitě, ale Passkeys byly navrženy tak, aby se snadno používaly. V praxi se k přihlášení pomocí Passkeys používá obličej, otisk prstu nebo kód PIN podobně jako při odemykání chytrého telefonu. Passkeys také řeší problém s nutností synchronizovat hesla mezi zařízeními.

Jak to funguje

Řekněme, že se ke svému účtu Google běžně přihlašujete pomocí chytrého telefonu, ale chcete se přihlásit pomocí notebooku. I když není přístupový klíč synchronizován s notebookem, pokud je smartphone v dosahu Bluetooth notebooku můžete přihlášení schválit.

Přístupový klíč se přitom nepřenáší mezi smartphonem a notebookem, ale po potvrzení přihlášení dostanete možnost vytvořit si přístupový klíč na notebooku.

Na webovou stránku nebo do aplikace, ke které přistupujete, nejsou odesílány žádné biometrické informace; ty jsou použity pouze k odemčení přístupového klíče v zařízení. Biometrické informace nikdy neopustí zařízení.

Které webové stránky podporují Passkeys?

Tuto technologii podporují například Adobe, Amazon, Google, GitHub, PayPal, TikTok, Nintendo, WhatsApp, Shopify, X, eBay nebo Uber. Seznam webových stránek, které podporují Passkeys, najdete na adrese passkeys.io, kde si také můžete vyzkoušet „demo“, jak Passkeys fungují.

Systémové požadavky pro Passkeys

• Systém s operačním systémem alespoň Windows 10, MacOS Ventura nebo ChromeOS 109 nebo vyšší.
• Chytrý telefon nebo tablet se systémem alespoň iOS 16, iPadOS 16 nebo Android 9.
• Volitelně: hardwarový bezpečnostní klíč s podporou protokolu FIDO2.
• Počítač nebo mobilní zařízení, které používáte, bude také potřebovat podporovaný prohlížeč, např: Chrome 109 nebo vyšší, Safari 16 nebo vyšší, Edge 109 nebo vyšší.

Přihlášení pomocí této technologie je asi o 40 % rychlejší a mnohem bezpečnější než používání hesel. Passkeys by měly fungovat, ať už používáte službu, která je přes prohlížeč, nebo aplikaci.

RIP hesla

Passkeys, podobně jako hardwarové bezpečnostní klíče, nabízejí způsob, jak zabezpečit účty a online služby, které tuto funkci podporují. Zkrátka Passkeys jsou začátkem konce hesel. Takže odpočívej v pokoji, naše drahé Super_H3sl0123!.

A pokud máte pocit, že u vás kybernetická bezpečnost vázne, dejte nám vědět, umíme vás vyškolit a rozvíjet i v této oblasti.