Passkey je način prijave, pri katerem namesto klasičnega gesla uporabljamo kriptografsko poverilnico, shranjeno v napravi ali upravljalniku poverilnic. Prijavo potrdimo podobno kot odklep telefona, na primer s prstnim odtisom, prepoznavo obraza ali kodo PIN. Uporabniškega gesla si zato ni treba zapomniti, prepisovati ali shranjevati v brskalniku, kar poenostavi vsakodnevno uporabo spletnih računov.
Tehnologija temelji na standardih FIDO2 in WebAuthn, ki uporabljajo kriptografijo z javnim in zasebnim ključem. Njena velika prednost je, da strežnik ne hrani skrivnosti, s katero bi se nekdo po kraji podatkov prijavil v naš račun. Passkey je poleg tega vezan na pravo spletno mesto ali aplikacijo, zato predstavlja pomemben korak proti prijavljanju brez gesel.
Kako deluje passkey?
Ob ustvarjanju passkeya nastane par kriptografskih ključev, ki pripadata določenemu uporabniškemu računu. Javni ključ dobi spletna storitev, zasebni pa ostane pod nadzorom uporabnikove naprave ali ponudnika za varno shranjevanje poverilnic. Ko se pozneje prijavimo, storitev pošlje napravi kriptografski izziv, ta pa ga potrdi z zasebnim ključem, ne da bi ga razkrila strežniku.
Pred uporabo zasebnega ključa naprava zahteva preverjanje uporabnika, na primer biometrično potrditev ali PIN. Biometrični podatek se pri tem ne pošlje spletnemu mestu, ker preverjanje poteka lokalno na napravi.
Gesla niso več potrebna
Pri klasični prijavi moramo ustvariti geslo, si ga zapomniti in ga ob vsaki prijavi pravilno vnesti. Dolga ter različna gesla so varnejša, vendar jih uporabniki težko upravljamo brez dodatnih orodij. Passkey odpravi ta korak, saj prijavo potrdimo z napravo, ki jo že uporabljamo, zato ni več potrebe po pomnjenju kompleksnih kombinacij znakov.
Passkey omogoča varno prijavo brez pomnjenja zapletenih gesel.
S tem odpade tudi težava ponovne uporabe istega gesla na več spletnih mestih. Vsak passkey je vezan na določen račun in storitev, zato ena poverilnica ni skupna različnim ponudnikom. Če pride do vdora v zbirko uporabniških podatkov, napadalec na strežniku ne najde klasičnega gesla, ki bi ga nato preizkusil še pri drugih spletnih storitvah.
Zaščita pred phishingom
Passkey je zasnovan tako, da je povezan z določeno spletno domeno in ga ponarejena stran ne more preprosto uporabiti namesto prave. Če nas napadalec zvabi na lažno prijavno stran, naprava zanjo ne izvede enake prijave samo zato, ker je njen videz podoben izvirniku.
Zaradi te zaščite passkey velja za način prijave, ki je precej odpornejši na phishing oziroma lažne prijavne strani. Pri geslih je položaj drugačen, saj uporabnik svoje geslo nehote vnese tudi na prepričljivo ponarejeno stran.
Prijava na več napravah
Passkey je lahko sinhroniziran med napravami prek ponudnika, ki skrbi za varno shranjevanje poverilnic. Če zamenjamo telefon ali uporabljamo računalnik in tablico, imamo tako dostop do iste prijavne metode brez ponovnega ustvarjanja gesla. Obstajajo tudi passkey, ki ostanejo shranjeni samo na določeni napravi ali fizičnem varnostnem ključu in se ne sinhronizirajo z drugimi napravami.
Passkey poenostavi varno prijavo na različnih povezanih napravah.
Pri prijavi na drugi napravi se uporabi tudi bližnji telefon, kjer potrdimo svojo identiteto in nadaljujemo postopek. Način je odvisen od operacijskega sistema, brskalnika ter ponudnika poverilnic, zato uporabniška izkušnja ni povsod povsem enaka. Podpora za passkey je danes prisotna v glavnih operacijskih sistemih in brskalnikih, kar precej olajša širšo uporabo tehnologije.
Ali bodo gesla izginila?
Passkey ima več lastnosti, zaradi katerih predstavlja resnega naslednika gesel, vendar bo prehod postopen. Spletne storitve morajo podporo vključiti v svoje prijavne sisteme, uporabniki pa se morajo navaditi na drugačen način dostopa do računov. Zato bodo gesla še nekaj časa obstajala vzporedno s passkey, predvsem pri storitvah, ki novih možnosti še niso v celoti uvedle.
Pomembno vprašanje ostaja tudi dostop ob izgubi telefona, menjavi naprave ali drugih težavah. Ponudniki morajo zato poleg preproste prijave urediti varen in razumljiv postopek obnovitve računa. Če bo uporabniška izkušnja dovolj zanesljiva tudi v takšnih primerih, imajo passkey dobre možnosti, da pri številnih storitvah postopoma nadomestijo klasična gesla.
