Přístupový klíč
Moderní způsob přihlašování, který nahrazuje hesla kryptografickými klíči a umožňuje bezpečné ověření bez sdílených tajemství, phishingu a opakovaného používání přihlašovacích údajů.
Přístupové klíče (passkeys) se velmi rychle stávají nejvýznamnější změnou v přihlašování na webu za poslední desítky let. Nahrazují hesla modelem založeným na kryptografii s veřejným klíčem. Uživatel se tak může ověřit bez psaní hesla a bez odesílání čehokoli, co by šlo zneužít.To znamená méně phishingu, méně převzetí účtů a výrazně plynulejší přihlašování.
Základním principem přístupového klíče je dvojice klíčů. Webová stránka uchovává pouze veřejný klíč, zatímco soukromý klíč zůstává bezpečně uložen v zařízení uživatele nebo v jeho správci přístupových klíčů. Při přihlášení web odešle jednorázovou výzvu a zařízení ji podepíše soukromým klíčem. Web si výsledek ověří pomocí klíče veřejného. Žádné opakovaně použitelné tajemství se nepřenáší a v databázi webu není nic, co by mělo pro útočníka hodnotu.
Díky tomu jsou přístupové klíče ze své podstaty odolné vůči phishingu. Ověření je kryptograficky svázáno s konkrétním webem, takže falešná stránka nemůže uživatele oklamat. Biometrie nebo PIN slouží pouze k odemčení klíče v zařízení – nejsou sdíleny s webem a nejsou zdrojem bezpečnosti samy o sobě.
Přístupové klíče nejsou všelékem. Neochrání před malwarem v kompromitovaném zařízení ani nenahradí pečlivou správu relací a obnovy účtů. Odstraňují však nejčastější a nejdražší útoky spojené s hesly, včetně phishingu a hromadného zneužívání uniklých přihlašovacích údajů.
Pro většinu webů dává smysl postupný přechod. Přístupové klíče je vhodné nejprve nabídnout jako volitelnou možnost po přihlášení nebo v nastavení účtu. Jakmile si je uživatelé osvojí napříč zařízeními, stanou se přirozenou volbou – a hesla postupně zmizí do pozadí.