Co to jest PassKey?
Autor: Redakcja Domeny.ForSale Opublikowano
W skrócie: Passkey, czyli klucz dostępu, to sposób logowania do konta bez wpisywania hasła. Logowanie zatwierdzasz zwykle odciskiem palca, rozpoznaniem twarzy lub kodem PIN urządzenia. Klucz dostępu jest powiązany z konkretną usługą, dzięki czemu chroni przed wyłudzeniem danych na fałszywej stronie znacznie lepiej niż tradycyjne hasło.
Jak działa passkey i czym różni się od hasła?
Podczas tworzenia klucza dostępu powstaje para kluczy kryptograficznych, czyli matematycznie powiązanych danych: klucz publiczny i prywatny. Serwis zapisuje klucz publiczny, natomiast klucz prywatny pozostaje pod kontrolą twojego urządzenia lub dostawcy, który przechowuje i synchronizuje klucze dostępu. Prywatna część nie jest przekazywana serwisowi podczas logowania.
Gdy chcesz wejść na konto, serwis wysyła jednorazowe wyzwanie. Urządzenie po twoim zatwierdzeniu podpisuje je kluczem prywatnym, a serwis sprawdza podpis kluczem publicznym. Nie musisz zapamiętywać ani przepisywać żadnego sekretu.
Odcisk palca, skan twarzy i PIN nie są samym passkey. Służą do lokalnego potwierdzenia, że możesz użyć klucza. W typowym logowaniu passkey serwis nie otrzymuje twojego odcisku ani obrazu twarzy. PIN urządzenia również nie staje się hasłem do strony.
Passkey nie jest też zwykłym hasłem zapisanym w przeglądarce. Menedżer haseł może uzupełnić formularz loginu i hasła, natomiast klucz dostępu korzysta z innego mechanizmu uwierzytelniania. Ten sam menedżer może jednak obsługiwać obie metody.
Przed czym chroni klucz dostępu?
Najważniejszą zaletą passkey jest odporność na typowy phishing, czyli podszywanie się pod usługę w celu wyłudzenia danych logowania. Klucz jest związany z identyfikatorem usługi opartym na jej domenie. Podrobiona strona pod innym adresem nie może po prostu poprosić przeglądarki o użycie klucza należącego do prawdziwego serwisu.
Przykład: dostajesz wiadomość o rzekomej blokadzie konta w sklepie. Link prowadzi do strony łudząco podobnej do oryginału, ale działającej w obcej domenie. Zwykłe hasło możesz tam omyłkowo wpisać; właściwy passkey nie zadziała dla tej fałszywej witryny.
Wyciek kluczy publicznych z serwisu nie pozwala bezpośrednio odtworzyć odpowiadających im kluczy prywatnych ani zalogować się samym kluczem publicznym. Odpada też problem ponownego używania jednego hasła w kilku usługach.
Nie oznacza to ochrony przed każdym atakiem. Złośliwe oprogramowanie, przejęta aktywna sesja czy słaba procedura odzyskiwania konta nadal mogą stanowić zagrożenie. Jeśli serwis pozostawia logowanie hasłem lub odzyskiwanie przez e-mail, bezpieczeństwo tych dróg wciąż ma znaczenie.
Gdzie jest zapisany passkey?
Sposób przechowywania wpływa na to, czy zalogujesz się także na innym urządzeniu. Nie każdy klucz dostępu jest automatycznie dostępny wszędzie.
- Klucze synchronizowane są udostępniane między zgodnymi urządzeniami przez dostawcę, na przykład systemowy lub zewnętrzny menedżer poświadczeń. Dostęp do nich zależy od konta dostawcy i jego zasad odzyskiwania.
- Klucze związane z urządzeniem pozostają na konkretnym urządzeniu, na przykład sprzętowym kluczu bezpieczeństwa. Nie są automatycznie kopiowane na kolejne urządzenia.
Telefon może też zatwierdzić logowanie na komputerze, który nie przechowuje twojego passkey. W obsługiwanym scenariuszu komputer wyświetla kod QR, skanujesz go telefonem i potwierdzasz logowanie. Zwykle potrzebne są internet oraz Bluetooth do potwierdzenia bliskości urządzeń; nie oznacza to trwałego skopiowania klucza na komputer.
Obsługa zależy od serwisu, systemu, przeglądarki i menedżera poświadczeń. Przed zmianą telefonu lub przeniesieniem się do innego ekosystemu sprawdź w oficjalnej dokumentacji dostawcy aktualne możliwości synchronizacji i przenoszenia kluczy.
Jak włączyć passkey na swoim koncie?
Klucza dostępu nie da się samodzielnie włączyć dla dowolnej strony — dana usługa musi go obsługiwać. Odpowiednia opcja zwykle znajduje się w ustawieniach bezpieczeństwa konta pod nazwą „Klucze dostępu” lub „Passkeys”.
- Zaloguj się do usługi dotychczasową metodą i otwórz ustawienia bezpieczeństwa.
- Wybierz dodanie klucza dostępu. Sprawdź, gdzie ma zostać zapisany: w menedżerze poświadczeń czy na kluczu sprzętowym.
- Zatwierdź utworzenie klucza metodą wskazaną przez urządzenie.
- Przetestuj nowe logowanie, zachowując jeszcze działającą sesję lub inną metodę dostępu.
- Jeśli usługa na to pozwala, dodaj drugi klucz na niezależnym urządzeniu albo przygotuj kody odzyskiwania.
Używaj do tego własnego, zabezpieczonego urządzenia. Nie zapisuj osobistego klucza dostępu w profilu przeglądarki na publicznym lub współdzielonym komputerze.
Co zrobić, gdy zgubisz telefon?
Utrata telefonu nie musi oznaczać utraty konta. Synchronizowany passkey może być dostępny na innym zgodnym urządzeniu, a dodatkowy klucz sprzętowy może stanowić niezależną drogę logowania. Jeśli jedyny klucz był związany z utraconym urządzeniem, konieczna może być procedura odzyskiwania oferowana przez serwis.
Po utracie urządzenia skorzystaj z funkcji jego zdalnego zablokowania i sprawdź aktywne sesje kont. Gdy odzyskasz dostęp, usuń utracone poświadczenia tam, gdzie jest to potrzebne, zgodnie z instrukcjami dostawcy.
Zanim wyłączysz hasło, wykonaj jeden praktyczny test: sprawdź, czy potrafisz zalogować się bez swojego głównego telefonu. To pokaże, czy masz rzeczywistą metodę awaryjną, a nie tylko założenie, że synchronizacja wystarczy.
Zobacz też: Co to jest 2FA?
Przeczytaj także
