Passkey místo hesla: co se při přihlášení skutečně podepisuje
Při přihlášení passkey nevyplňuje tajný řetězec, který by mohl uživatel opsat na podvodný web. Autentizátor vytvoří kryptografický podpis pro konkrétní službu a konkrétní výzvu, zatímco soukromý klíč zůstává pod kontrolou zařízení nebo správce passkeys.
Passkey je pečeť vyrobená pro jedinou instituci: server umí ověřit pravost otisku, ale z veřejného vzoru nedokáže vyrobit pečetidlo.
Rychlá odpověď
Jak funguje passkey je potřeba hodnotit jako celý životní cyklus identity. Bezpečný systém musí chránit vznik credentialu, jeho použití pro správnou službu, obnovu při ztrátě, odvolání po incidentu a data, která dostane druhá strana.
Hlavní výhoda moderní identity spočívá v omezení přenosných tajemství a zbytečných osobních údajů. Uživatel však stále rozhoduje, kterou doménu navštívil, co potvrzuje a zda žádost odpovídá jeho vlastní akci. Technologie snižuje prostor pro určité útoky, nikoli odpovědnost za kontext.
Nejdřív oddělte čtyři různé otázky
Autentizace odpovídá, kdo se přihlašuje. Autorizace určuje, k čemu získá aplikace přístup. Identifikace spojuje osobu s určitými údaji a podpis vyjadřuje vazbu člověka ke konkrétním datům či úkonu. Jedna obrazovka může spojit více kroků, ale bezpečnostní a právní účinek zůstává odlišný.
Nakreslete tři role: uživatele s autentizátorem, poskytovatele identity nebo vydavatele atributu a službu, která výsledek ověřuje. Ke každé šipce napište, zda nese veřejný klíč, podpis, token, claim, dokument nebo pouze binární potvrzení. Mapa rychle odhalí, kde leží tajemství a kde vzniká dlouhodobá závislost.
Registrace vytváří pár klíčů
Autentizátor vygeneruje soukromý a veřejný klíč pro konkrétní relying party. Server uloží veřejný klíč a identifikátor credentialu, nikoli tajemství použitelné k přihlášení.
Silný přihlašovací mechanismus je pouze jeden článek. Stejnou pozornost potřebuje registrace, obnova, přidávání nového zařízení, revokace starého credentialu a ukončení aktivních relací.
Vytvořte inventuru se sloupci služba, hlavní credential, záložní credential, obnova, aktivní zařízení a poslední kontrola. Neukládejte do ní tajné hodnoty, pouze jejich typ a umístění.
Praktický krok: Po založení passkey zkontrolujte název účtu a doménu služby a vytvořte druhou obnovovací cestu. Před změnou potvrďte, že máte funkční druhou cestu a že přesně rozumíte dopadu na existující relace, propojené aplikace a obnovu účtu.
Navazující postup rozvíjí článek o tématu ověření věku bez data narození. Odkaz vede k další konkrétní kontrole stejné uživatelské cesty.
Soukromý klíč nepřechází na server
Přihlašovací operaci provádí autentizátor a server dostane pouze podepsanou odpověď. Únik databáze veřejných klíčů proto není ekvivalentem úniku hesel.
Uživatelské rozhraní často schová několik protokolových kroků pod jedno tlačítko. Pro bezpečné rozhodnutí je potřeba vědět, kdo uživatele ověřuje, kdo dostává tvrzení a která data nebo oprávnění se předávají.
Na obrazovce souhlasu čtěte podstatná jména i slovesa: profil, e-mail, soubory, číst, měnit, mazat. Široké sloveso může být důležitější než přívětivý název aplikace.
Praktický krok: Nevyvážejte neznámé zálohy passkeys a zabezpečte účet, který případnou synchronizaci spravuje. Před změnou potvrďte, že máte funkční druhou cestu a že přesně rozumíte dopadu na existující relace, propojené aplikace a obnovu účtu.
Navazující postup rozvíjí článek o tématu synchronizovaný versus vázaný passkey. Odkaz vede k další konkrétní kontrole stejné uživatelské cesty.
Výzva brání opakování staré odpovědi
Server vytvoří jednorázovou náhodnou challenge. Podpis je spojen s touto výzvou a přihlašovacím kontextem, takže zachycenou odpověď nelze prostě přehrát později.
Pohodlí a odolnost nejsou automaticky protiklady. Dobře navržený systém může odstranit ručně přepisované tajemství a současně nabídnout více nezávislých cest obnovy.
Ukládejte datum změny a důvod. Po několika měsících pak poznáte, zda neznámý credential vznikl při vlastní migraci, nebo jde o stopu cizího přístupu.
Praktický krok: Při chybě dokončete nový pokus z původní stránky; nekopírujte QR kód ani výzvu do cizí aplikace. Před změnou potvrďte, že máte funkční druhou cestu a že přesně rozumíte dopadu na existující relace, propojené aplikace a obnovu účtu.
Navazující postup rozvíjí článek o tématu nastavení dvoufázového ověření a záložního přístupu. Odkaz vede k další konkrétní kontrole stejné uživatelské cesty.
Doména je součástí bezpečnostního modelu
Credential je scoped k relying party identifieru a prohlížeč předává origin. Autentizátor tak nepoužije klíč vytvořený pro legitimní web na jiné doméně.
Při incidentu oddělte credential od relace. I po změně autentizátoru může zůstat otevřená dříve vydaná session nebo token a poskytovat pokračující přístup.
Vytvořte inventuru se sloupci služba, hlavní credential, záložní credential, obnova, aktivní zařízení a poslední kontrola. Neukládejte do ní tajné hodnoty, pouze jejich typ a umístění.
Praktický krok: Před potvrzením sledujte doménu a název služby, zvlášť pokud přihlášení otevřel odkaz z e-mailu. Před změnou potvrďte, že máte funkční druhou cestu a že přesně rozumíte dopadu na existující relace, propojené aplikace a obnovu účtu.
Navazující postup rozvíjí článek o tématu výběr a záloha bezpečnostního klíče FIDO2. Odkaz vede k další konkrétní kontrole stejné uživatelské cesty.
Biometrie obvykle neopouští zařízení
Otisk nebo obličej často jen lokálně odemkne použití klíče. Web obdrží důkaz uživatelského ověření, nikoli biometrickou šablonu.
Nejmenší nutný rozsah snižuje dopad chyby. Služba nemá dostat celý profil nebo celý dokument, pokud k úloze stačí jediný atribut, omezený scope nebo krátkodobý token.
Na obrazovce souhlasu čtěte podstatná jména i slovesa: profil, e-mail, soubory, číst, měnit, mazat. Široké sloveso může být důležitější než přívětivý název aplikace.
Praktický krok: Použijte silný kód zařízení, protože je záložním prostředkem k lokálnímu odemčení passkey. Před změnou potvrďte, že máte funkční druhou cestu a že přesně rozumíte dopadu na existující relace, propojené aplikace a obnovu účtu.
Navazující postup rozvíjí článek o tématu zabezpečení e-mailového účtu. Odkaz vede k další konkrétní kontrole stejné uživatelské cesty.
Passkey neřeší celý životní cyklus účtu
Služba stále potřebuje bezpečnou registraci, obnovu, odvolání zařízení, správu relací a reakci na převzetí e-mailu.
Důvěra se neopírá o vzhled ikony. Rozhoduje ověřená doména, původ aplikace, vydavatel credentialu, stav certifikátu a přesný kontext, který uživatel potvrzuje.
Ukládejte datum změny a důvod. Po několika měsících pak poznáte, zda neznámý credential vznikl při vlastní migraci, nebo jde o stopu cizího přístupu.
Praktický krok: Projít seznam passkeys, aktivních relací a obnovovacích metod alespoň jednou za čtvrt roku. Před změnou potvrďte, že máte funkční druhou cestu a že přesně rozumíte dopadu na existující relace, propojené aplikace a obnovu účtu.
Navazující postup rozvíjí článek o tématu výběr správce hesel. Odkaz vede k další konkrétní kontrole stejné uživatelské cesty.
Modelová situace
Uživatel otevře falešnou stránku napodobující banku. Prohlížeč předá autentizátoru jinou doménu, ke které správný passkey nepatří, takže se legitimní přihlašovací údaj nenabídne a nelze jej ručně opsat.
Situaci řešte ve dvou časových osách. První popisuje, co se stalo s credentialem nebo dokladem; druhá sleduje tokeny, relace a data, která už mohla být předána. Změna hesla či odebrání zařízení ovlivní první osu, ale nemusí automaticky zrušit druhou.
Při podezření na útok pracujte z důvěryhodného zařízení a známé adresy služby. Neotvírejte bezpečnostní odkaz z nevyžádané zprávy a nepotvrzujte žádnou výzvu, kterou jste sami nezačali. Uložte čas, zařízení, doménu a přesné znění události bez kopírování tajných údajů.
Pracovní postup krok za krokem
- Krok 1: Ověřit doménu služby. Výsledek ověřte před pokračováním.
- Krok 2: Vytvořit passkey na důvěryhodném zařízení. Výsledek ověřte před pokračováním.
- Krok 3: Potvrdit lokální ověření. Výsledek ověřte před pokračováním.
- Krok 4: Přidat nezávislou obnovovací cestu. Výsledek ověřte před pokračováním.
- Krok 5: Zkontrolovat seznam credentialů. Výsledek ověřte před pokračováním.
- Krok 6: Odebrat stará zařízení. Výsledek ověřte před pokračováním.
Pořadí chrání dostupnost. Novou metodu nejprve přidejte, použijte ji v oddělené relaci a zkontrolujte, co služba zaznamenala. Staré zařízení nebo přístup odeberte až potom. Nakonec ukončete nepotřebné relace a znovu vytvořte redundanci.
Jednou za čtvrt roku projděte credentialy, propojené aplikace, recovery údaje a aktivní relace. Revize nemusí být dlouhá, pokud každá položka nese srozumitelný název a datum. Neznámý záznam považujte za důvod k ověření, ne za automatický pokyn k bezhlavému smazání.
Bezpečný domácí experiment
Na testovacím nebo méně citlivém účtu si zobrazte správu passkeys a porovnejte název zařízení, datum vytvoření a dostupnou obnovu. Klíč kvůli testu nemažte, dokud nemáte ověřený druhý přístup.
Experiment provádějte na vlastním účtu a bez předávání identity třetí straně. Nepoužívejte cizí QR kód, nevytvářejte falešný doklad a nenahrávejte citlivý soubor do náhodného online validátoru. Cílem je pochopit stav a možnosti správy, nikoli obcházet ochranu.
Zapište pozorování ve formátu: co jsem zahájil, která doména nebo aplikace žádala akci, co se zobrazilo na autentizátoru, co dostala služba a jak lze výsledek odvolat. Tento zápis odděluje uživatelskou zkušenost od domněnky o protokolu.
Časté chyby
- Silný vstup, slabá obnova: passkey chrání login, ale reset přes převzatý e-mail obejde celý model.
- Potvrzení bez kontextu: uživatel schválí výzvu, aniž ověřil doménu, účet a vlastní zahájení operace.
- Smazání před testem: starý credential zmizí dříve, než se potvrdí funkčnost nové metody.
- Záměna autentizace a autorizace: přihlášení se považuje za totéž jako souhlas s přístupem k datům.
- Odinstalování místo revokace: aplikace zmizí z telefonu, ale její serverový token zůstane platný.
- Kopie místo ověřitelného důkazu: screenshot dokladu nebo podpisu se zamění za kryptograficky ověřitelný originál.
Bezpečnější volba není ta s nejdelším seznamem funkcí, ale ta, jejíž hranice dokážete popsat. Musíte vědět, kde leží soukromý klíč nebo token, kdo může obnovit přístup, jak odvoláte ztracené zařízení a které údaje se po souhlasu kopírují mimo vaši kontrolu.
Kontrolní seznam a zdroje
- Registrace vytváří pár klíčů: Po založení passkey zkontrolujte název účtu a doménu služby a vytvořte druhou obnovovací cestu.
- Soukromý klíč nepřechází na server: Nevyvážejte neznámé zálohy passkeys a zabezpečte účet, který případnou synchronizaci spravuje.
- Výzva brání opakování staré odpovědi: Při chybě dokončete nový pokus z původní stránky; nekopírujte QR kód ani výzvu do cizí aplikace.
- Doména je součástí bezpečnostního modelu: Před potvrzením sledujte doménu a název služby, zvlášť pokud přihlášení otevřel odkaz z e-mailu.
- Biometrie obvykle neopouští zařízení: Použijte silný kód zařízení, protože je záložním prostředkem k lokálnímu odemčení passkey.
- Passkey neřeší celý životní cyklus účtu: Projít seznam passkeys, aktivních relací a obnovovacích metod alespoň jednou za čtvrt roku.
Principy byly ověřeny v těchto primárních a autoritativních zdrojích:
Text je obecný vzdělávací průvodce. U tématu jak funguje passkey ověřte aktuální dokumentaci služby, právní požadavek a dostupné obnovovací možnosti.
Často kladené otázky
Co je nejdůležitější u bodu „Registrace vytváří pár klíčů“?
Autentizátor vygeneruje soukromý a veřejný klíč pro konkrétní relying party. Server uloží veřejný klíč a identifikátor credentialu, nikoli tajemství použitelné k přihlášení. Praktický krok: Po založení passkey zkontrolujte název účtu a doménu služby a vytvořte druhou obnovovací cestu.
Co je nejdůležitější u bodu „Soukromý klíč nepřechází na server“?
Přihlašovací operaci provádí autentizátor a server dostane pouze podepsanou odpověď. Únik databáze veřejných klíčů proto není ekvivalentem úniku hesel. Praktický krok: Nevyvážejte neznámé zálohy passkeys a zabezpečte účet, který případnou synchronizaci spravuje.
Co je nejdůležitější u bodu „Výzva brání opakování staré odpovědi“?
Server vytvoří jednorázovou náhodnou challenge. Podpis je spojen s touto výzvou a přihlašovacím kontextem, takže zachycenou odpověď nelze prostě přehrát později. Praktický krok: Při chybě dokončete nový pokus z původní stránky; nekopírujte QR kód ani výzvu do cizí aplikace.
Co je nejdůležitější u bodu „Doména je součástí bezpečnostního modelu“?
Credential je scoped k relying party identifieru a prohlížeč předává origin. Autentizátor tak nepoužije klíč vytvořený pro legitimní web na jiné doméně. Praktický krok: Před potvrzením sledujte doménu a název služby, zvlášť pokud přihlášení otevřel odkaz z e-mailu.
Co je nejdůležitější u bodu „Biometrie obvykle neopouští zařízení“?
Otisk nebo obličej často jen lokálně odemkne použití klíče. Web obdrží důkaz uživatelského ověření, nikoli biometrickou šablonu. Praktický krok: Použijte silný kód zařízení, protože je záložním prostředkem k lokálnímu odemčení passkey.
Co je nejdůležitější u bodu „Passkey neřeší celý životní cyklus účtu“?
Služba stále potřebuje bezpečnou registraci, obnovu, odvolání zařízení, správu relací a reakci na převzetí e-mailu. Praktický krok: Projít seznam passkeys, aktivních relací a obnovovacích metod alespoň jednou za čtvrt roku.
