Heslo samo o sobě nestačí, hackeři ho prolomí za minuty. USB klíč za 550 Kč ochrání účty lépe než SMS kódy

Šestimístné heslo z malých písmen padne při offline útoku za pár sekund. Hardwarový klíč Thetis FIDO2 stojí tolik co dvě pizzy a phishing z principu zastaví.

Zdroj fotografie: Thetis

Tvrzení, že „hackeři prolomí heslo za minuty“, zní dramaticky, ale čísla mu dávají za pravdu, pokud mluvíme o heslech, která lidé skutečně používají. Podle tabulek Hive Systems zvládne moderní GPU cluster prolomit osmimístné heslo složené jen z malých písmen za zhruba dva týdny offline brute-force útoku. Jenže kdo z nás má opravdu náhodné osmimístné heslo? Běžné variace typu „Pepa123!“ nebo hesla recyklovaná po starém úniku databáze padnou prakticky okamžitě, protože útočníci jedou slovníkové seznamy. Náhodné osmimístné heslo s čísly, velkými i malými písmeny a symboly teoreticky odolává desítky let. Jenže i to nejsilnější heslo má jednu fatální slabinu: je to sdílené tajemství. Znáte ho vy, ověřuje ho server, a pokud ho zadáte na podvržené stránce, zná ho i útočník.

Proč heslo a SMS kód selžou proti phishingu

Představte si klasický scénář. Přijde e-mail, který vypadá jako zpráva od vaší banky. Odkaz vede na stránku k nerozeznání od originálu. Zadáte jméno, heslo, a protože máte zapnuté SMS ověření, opíšete i kód, který vám právě přišel. Jenže falešný web v reálném čase všechno přeposílá na pravý server. Útočník se přihlásí za vás dřív, než vám dojde, že něco nesedí.

Tohle není teorie. NIST ve standardu SP 800-63B výslovně uvádí, že autentizátory založené na ručním opsání výstupu, tedy SMS kódy i kódy z aplikací typu Google Authenticator, nejsou odolné proti phishingu. Kód není svázaný s konkrétní relací ani doménou. Útočník ho prostě přepošle. Totéž potvrzuje whitepaper FIDO Alliance, který SMS OTP i TOTP řadí mezi metody náchylné k phishingu.

SMS kódy nejsou k ničemu, jsou pořád lepší než holé heslo. Ale proti cílenému phishingu nebo SIM swapu nepomůžou.

Jak funguje FIDO2 a proč je odolný

Princip FIDO2 je překvapivě jednoduchý. Při registraci klíče u služby vznikne pár kryptografických klíčů. Privátní klíč zůstane uvnitř hardwarového zařízení a nikdy ho neopustí. Veřejný klíč si uloží server. Při každém přihlášení server pošle výzvu, klíč ji podepíše, ale podpis je vázaný na konkrétní doménu (takzvané RPID). Pokud sedíte na phishingové stránce s adresou „g00gle.com“, klíč vytvoří podpis pro tuto falešnou doménu. Na skutečném google.com je nepoužitelný.

Žádné tajemství se nikam neposílá. Žádný kód se neopisuje. A bez fyzického vložení klíče do USB portu a potvrzení dotykem podpis vůbec nevznikne. Útočník na druhém konci světa nemá co přeposlat.

Podle FIDO Alliance jde o jedinou běžně dostupnou metodu autentizace, která je z principu odolná proti phishingu, ne díky opatrnosti uživatele, ale díky kryptografii.

Thetis FIDO2 Security Key: co za 550 Kč dostanete

Thetis FIDO2 Security Key (model MB000368) je kompaktní USB-A klíč, který podle výrobce podporuje FIDO2, starší FIDO U2F a navíc generování TOTP/HOTP kódů přes desktopový software. Podle sekundárního zdroje PC-Welt byl 3. srpna 2026 na Amazonu v akci za 22,09 EUR místo 25,99 EUR, tedy přibližně 550 Kč se slevou 15 %. Finální cena do Česka se může lišit podle dopravy; nepodařilo se nám doložit dostupnost u velkých českých prodejců.

Nastavení je záležitost minut:

• Nastavíte PIN klíče.
• V bezpečnostním nastavení služby (Google, GitHub, Dropbox…) zvolíte „Přidat bezpečnostní klíč“.
• Vložíte klíč do USB a potvrdíte dotykem.
• Hotovo, při příštím přihlášení stačí klíč zasunout a potvrdit.

Výrobce doporučuje koupit rovnou dva klíče. Důvod je prostý: pokud jeden ztratíte a nemáte zálohu, můžete se z účtu zamknout. Google nabízí záložní kódy, GitHub bez alternativní 2FA metody přístup neobnoví a Apple varuje, že bez klíčů a důvěryhodných zařízení můžete být zamčeni natrvalo.

Kde klíč funguje, a kde ne

Tady je potřeba být upřímný. Thetis za 550 Kč není kouzelná ochrana všeho.

Funguje spolehlivě:

• Google/Gmail: plná podpora bezpečnostních klíčů i FIDO2 passkeys
• GitHub: security key i passkeys
• Dropbox: security key pro webový login v Chrome/Firefox (pozor: v desktopové a mobilní aplikaci fyzický klíč nefunguje)
• Apple Account: FIDO certifikované bezpečnostní klíče
• Microsoft pracovní/školní účty: pokud to organizace povolí

Nefunguje nebo není doloženo:

• České internetové bankovnictví: Česká spořitelna používá George aplikaci, SMS nebo proprietární George token, ne univerzální FIDO2 klíč. Ostatní velké banky jsou na tom podobně.
• Datové schránky: stát prosazuje Mobilní klíč eGovernmentu s QR kódem a biometrikou v telefonu, podpora obecného USB FIDO2 klíče v oficiálních návodech chybí.
• Lokální přihlášení do macOS: FIDO2 je webový standard, ne metoda pro odemčení počítače. Na Macu se pro lokální login používá jiná cesta (PIV smart card, Platform SSO).

Srovnání s konkurencí

Parametr	Thetis FIDO2	Yubico Security Key C NFC	Google Titan	YubiKey 5
Orientační cena	~550 Kč	~730 Kč (29 USD)	~760 Kč (30 USD)	od ~1 250 Kč
Konektor	USB-A	USB-C + NFC	USB-A/NFC nebo USB-C/NFC	USB-A/C, NFC, Lightning
FIDO2/U2F	Ano	Ano	Ano	Ano
TOTP/HOTP	Ano (přes software)	Ne	Ne	Ano (OATH)
PIV/OpenPGP	Ne	Ne	Ne	Ano

Thetis je cenový vstup do světa FIDO2. Yubico a Google Titan nabízejí lepší konektorovou flexibilitu a ověřený ekosystém. YubiKey 5 je jiná liga: umí šifrování e-mailů přes OpenPGP, přihlašování přes smart card i generování jednorázových kódů.

Podle nás dává Thetis smysl jako první klíč pro člověka, který chce vyzkoušet hardwarovou autentizaci bez velkého výdaje. Kdo ví, že FIDO2 chce používat dlouhodobě a na více zařízeních, ušetří si starosti s USB-C modelem od Yubica nebo rovnou s YubiKey 5.

Za 550 Kč si nekupujete neprůstřelný štít na celý digitální život. Kupujete si nejlevnější dostupnou pojistku proti nejčastějšímu způsobu, jakým lidé reálně přicházejí o účty, proti tomu, že na falešné stránce dobrovolně odevzdají všechno, co znají.