Přestaňte používat hesla, existuje jasně lepší alternativa. Nemusíte si nic pamatovat a phishing na vás nezabere

Technologie passkeys mění přihlašování na web: stačí odemknout telefon a podvodná stránka vás neokrade. Heslo přitom nemusíte rušit.

Zdroj fotografie: pxHere

Jasně lepší alternativa k heslům se jmenuje passkeys, česky přístupové klíče. Jde o přístupový údaj navázaný na konkrétní web nebo aplikaci, který místo sdíleného hesla používá dvojici kryptografických klíčů. Soukromý klíč zůstává ve vašem zařízení, na server se posílá jen jeho veřejný protějšek. Prakticky to znamená dvě věci. Za prvé: nemusíte si nic pamatovat, protože se přihlásíte stejným způsobem, jakým odemykáte telefon, tedy otiskem prstu, obličejem nebo PINem. Za druhé: klasický phishing na vás nezabere, protože je passkey kryptograficky svázaný s legitimní doménou. Podvržená stránka ho jednoduše nedostane. Prohlížeč a operační systém ověří, že web je ten pravý, a pokud není, klíč se nepoužije. Není co opsat, není co přeposlat, není co ukrást.

Proč hesla prohrávají, i ta silná

Heslo je z principu sdílené tajemství. Existuje na serveru i ve vaší hlavě, případně ve správci hesel. Dá se uhodnout, ukrást při úniku databáze nebo vylákat na falešných stránkách. Ani dvoufaktorové ověření přes SMS kód problém zcela neřeší: útočník, který vás v reálném čase přesměruje na podvrženou kopii webu, může SMS kód zachytit a okamžitě ho použít na pravém serveru.

Passkey tohle mění v základu. Podle FIDO Alliance přístupové klíče kombinují více bezpečnostních faktorů do jednoho úkonu: zařízení, které máte, a biometrii nebo PIN, kterým ho odemknete. Server přitom nikdy nevidí vaše tajemství, dostane jen kryptografický podpis, který bez soukromého klíče nelze zfalšovat. A protože je klíč vázaný na konkrétní doménu, prohlížeč ho na podvržené stránce prostě nenabídne. Phishingový web tak zůstane s prázdnýma rukama.

Kde začít: Google, Microsoft, Seznam

Přechod na passkeys nepřipomíná revoluci za jeden večer. Stávající hesla zůstávají funkční, passkey se přidává vedle nich, ne místo nich. Služba pak při přihlášení nabídne pohodlnější cestu.

• Google: V nastavení účtu vytvořte klíč, potvrďte otiskem nebo PINem a hotovo. Google pak upřednostní passkey, ale heslo můžete dál používat jako zálohu.
• Microsoft: V pokročilém nastavení zabezpečení zvolte „Přidat nový způsob přihlášení nebo potvrzení“ a projdete podobným procesem. Edge na podporovaných webech umí klíč vytvořit dokonce automaticky při běžném přihlášení heslem, stávající údaje zůstávají beze změny.
• Seznam: Český gigant passkeys podporuje plnohodnotně. V Zabezpečení → Přístupové klíče vytvořte nový klíč a můžete se přihlásit i bez zadání uživatelského jména a hesla. Podle oficiální nápovědy Seznamu heslo i ostatní způsoby zůstávají zachovány.
• Apple: Passkey se vytváří přímo při přihlášení nebo registraci na podporované službě. Stačí potvrdit uložení do iCloud Keychain přes Face ID, Touch ID nebo kód zařízení. Žádný globální přepínač pro celý Apple účet neexistuje, řeší se službu po službě.

Pro přístup k české veřejné správě stojí za zmínku MojeID, které podporuje bezpečnostní klíče včetně systémových a doporučuje mít jich víc pro případ ztráty zařízení. Naopak Bank iD ve svých veřejných materiálech stále popisuje přihlášení obdobně jako do internetového bankovnictví, samostatný postup s passkey zatím nedokumentuje. A Česká pošta u datových schránek dál primárně pracuje s heslem a ověřením SMS.

Co když ztratím telefon

Tohle je otázka, která napadne každého, a odpověď závisí na tom, jak máte uložený klíč. Existují dva typy: synchronizovaný a lokální.

Synchronizovaný klíč se přes cloud (iCloud Keychain, Google Password Manager, účet Microsoft) replikuje na všechna vaše zařízení. Apple i Google uvádějí end-to-end šifrování. Ztráta jednoho telefonu vás neodřízne, klíč máte i na tabletu, notebooku nebo novém telefonu po přihlášení do účtu. Apple dokonce umožňuje obnovu iCloud Keychain i při ztrátě všech zařízení.

Lokální (device-bound) passkey žije jen na jednom zařízení nebo na hardwarovém klíči typu YubiKey. Je bezpečnější ve smyslu, že nikdy neopustí fyzický hardware; Yubico ho označuje za vyšší úroveň jistoty. Ale ztráta zařízení bez zálohy znamená problém. Seznam přímo uvádí, že klíč na ztraceném zařízení nelze obnovit a je nutné se přihlásit heslem s dalším ověřením a vytvořit nový.

Praktická rada: mějte vždy aspoň dva nezávislé způsoby přístupu. Druhé zařízení, druhý klíč nebo hardwarový klíč. A heslo jako záložní cestu zatím nerušte.

Passkey není nepřítel správce hesel

Pokud používáte Bitwarden nebo 1Password, nemusíte je zahazovat. Oba správci hesel už umí přístupové klíče ukládat a používat a fungovat jako úložiště klíčů podobně jako iCloud Keychain nebo Google Password Manager. Rozdíl je v tom, že passkey jako typ přihlašovacího údaje je odolnější než klasické heslo: server neobsahuje žádné sdílené tajemství a klíč nelze zneužít na jiné doméně.

Má to ale háček. Když passkey svážete výhradně se správcem hesel a ztratíte k trezoru přístup, obnova může být komplikovanější. Bitwarden vyžaduje, aby při ztrátě přístupu k trezoru mohlo být k jeho odemčení nutné hlavní heslo. Jedno nevylučuje druhé, passkeys a správce hesel se doplňují.

Budoucnost přihlašování se nezmění přes noc, ale směr je jasný. Začněte tam, kde je to otázka dvou minut: Google, Microsoft, Seznam. Zbytek digitálního života přejde postupně a vy u toho nebudete muset vzpomínat na jediné heslo.