Passkey

Čo to znamená

Passkey je spôsob prihlásenia bez hesla postavený na štandarde FIDO. Používateľ sa overí tak, ako odomyká telefón či počítač, teda odtlačkom prsta, tvárou alebo PIN-om, a zariadenie potom službe preukáže identitu kryptografickým kľúčom, ktorý nikdy neopustí zariadenie.

Hlavnou výhodou je odolnosť voči phishingu. Kľúč je naviazaný na konkrétnu doménu, takže na falošnej stránke, ktorá sa len tvári ako banka či e-mail, prihlásenie jednoducho nefunguje. Útočník nemá čo vylákať, lebo používateľ žiadne tajomstvo nezadáva.

Passkey nahrádza heslo a zároveň plní úlohu, ktorú doteraz mala dvojfaktorová autentifikácia: spája niečo, čo používateľ má, teda zariadenie, s niečím, čo je alebo vie, teda biometriou či PIN-om. Dá sa synchronizovať medzi zariadeniami cez účet výrobcu alebo správcu hesiel.

Ako to funguje v praxi

Firmám odporúčame zapnúť passkey najprv tam, kde by únik prístupu bolel najviac: firemný e-mail, internet banking, účtovný systém a prístupy k štátnym portálom. Práve kompromitovaný e-mail býva vstupnou bránou pre BEC podvody s falošnými platobnými pokynmi.

Pri zavádzaní treba myslieť na obnovu prístupu. Každý zamestnanec by mal mať aspoň dva spôsoby prihlásenia, napríklad passkey v telefóne aj v notebooku alebo hardvérový kľúč, aby strata jedného zariadenia neznamenala zablokovaný účet.

Ak zamestnanci pracujú z vlastných zariadení v režime BYOD, firma by mala vedieť, kde sú firemné passkey uložené a ako sa pri odchode zamestnanca zrušia. Správca prístupov ich má odobrať v rovnaký deň, ako končí pracovný pomer.

Na čo si dať pozor

Passkey chráni prihlásenie, nie celé zariadenie. Ak je telefón odomknutý a v rukách cudzieho človeka, prípadne je infikovaný škodlivým kódom, útočník môže konať v mene používateľa. Zámka obrazovky a aktualizovaný systém preto zostávajú nevyhnutné.

Rizikom je aj ponechanie starého hesla ako záložnej cesty. Kým heslo pre účet stále funguje, dá sa vylákať a zneužiť. Po zavedení passkey má zmysel heslo zmeniť na dlhé náhodné a uložiť ho len v správcovi, prípadne ho úplne vypnúť, ak to služba umožňuje.