Sve više internetskih servisa omogućuje prijavu pomoću tehnologije Passkey, koja bi u budućnosti mogla značajno promijeniti način na koji pristupamo svojim korisničkim računima
Umjesto pamćenja kompliciranih lozinki, njihova zapisivanja ili korištenja upravitelja lozinki, prijava se obavlja otiskom prsta, prepoznavanjem lica ili PIN-om na pametnom telefonu, računalu ili drugom kompatibilnom uređaju.
No što je zapravo Passkey, kako funkcionira, koliko je siguran i postoje li situacije u kojima ipak nije najbolje rješenje?
Što je Passkey?
Passkey je digitalni pristupni ključ koji omogućuje prijavu na internetske račune bez upisivanja klasične lozinke. Riječ je o tehnologiji koja se temelji na kriptografiji javnog i privatnog ključa, a razvijena je kako bi prijava na internetske servise bila jednostavnija i sigurnija.
Za razliku od tradicionalne lozinke, koju korisnik mora zapamtiti i upisati prilikom prijave, Passkey se stvara na uređaju i povezuje s određenom internetskom stranicom ili aplikacijom. Privatni ključ ostaje sigurno pohranjen na uređaju ili u odgovarajućem sigurnom sustavu, dok se javni ključ pohranjuje na poslužitelju internetskog servisa.
Kada se pokušate prijaviti, servis provjerava digitalni potpis koji nastaje korištenjem privatnog ključa. Na taj način potvrđuje vaš identitet bez potrebe da ikome šaljete lozinku.
Važno je naglasiti da otisak prsta, lice ili PIN nisu sami Passkey. Oni služe za lokalnu potvrdu vašeg identiteta i dopuštaju uređaju da upotrijebi pohranjeni pristupni ključ.
Kako se koristi Passkey?
Korištenje je jednostavnije nego što možda zvuči. Potrebno je samo da internetska stranica ili aplikacija podržava ovu tehnologiju te da imate kompatibilan uređaj.
Primjerice, ako želite aktivirati Passkey za Google račun, postupak izgleda ovako:
1. Otvorite postavke Google računa i pronađite odjeljak Passkeys.
2. Odaberite opciju za izradu novog pristupnog ključa.
3. Potvrdite svoj identitet, primjerice otiskom prsta, prepoznavanjem lica ili PIN-om.
4. Uređaj će generirati Passkey i sigurno ga pohraniti.
5. Sljedeći put kada se prijavljujete, odaberite prijavu pomoću Passkeya i potvrdite identitet na uređaju.
Sličan postupak dostupan je i na drugim servisima koji podržavaju ovu tehnologiju. Na iPhoneu se pristupni ključevi mogu pohranjivati u iCloud Keychain, dok se na Android uređajima mogu koristiti putem Google Password Managera. Postoje i neovisni upravitelji lozinki koji podržavaju pohranu Passkeya.
Kada koristite računalo, a Passkey imate spremljen na pametnom telefonu, moguće je prijaviti se i bez njegova fizičkog povezivanja s računalom. Na zaslonu se može pojaviti QR kod koji skenirate telefonom, nakon čega potvrđujete prijavu otiskom prsta ili drugim načinom otključavanja. Uređaji pritom koriste Bluetooth za provjeru blizine, dok se sama sigurnost prijave temelji na kriptografiji.
Koje su prednosti Passkeya?
Najveća prednost je sigurnost. Klasične lozinke često su slabe, ponavljaju se na različitim servisima ili završavaju u rukama kriminalaca nakon proboja sigurnosnih sustava. Korisnici nerijetko koriste istu lozinku za elektroničku poštu, društvene mreže i internetsku kupovinu, čime dodatno povećavaju rizik.
Passkey rješava velik dio tih problema jer se za svaki servis generira jedinstveni kriptografski ključ. Čak i ako napadač dođe do podataka koje internetska stranica pohranjuje, ne može se njima jednostavno prijaviti jer poslužitelj ne čuva privatni ključ.
Druga važna prednost je zaštita od phishing napada. To su prijevare u kojima kriminalci izrađuju lažne internetske stranice koje izgledaju kao stvarne, primjerice stranice banaka ili popularnih servisa, kako bi korisnicima ukrali pristupne podatke. Passkey je povezan s konkretnom internetskom adresom i ne može se jednostavno upotrijebiti na lažnoj stranici koja se predstavlja kao original.
Velika prednost je i jednostavnost. Umjesto pamćenja desetaka različitih lozinki, dovoljno je potvrditi identitet otiskom prsta, licem ili PIN-om. Prijava je brža, a smanjuje se i potreba za stalnim resetiranjem zaboravljenih lozinki.
Dodatna pogodnost je sinkronizacija. Ako koristite isti račun za upravljanje pristupnim ključevima na više uređaja, oni mogu biti dostupni na pametnom telefonu, tabletu i računalu. Primjerice, Passkey spremljen u Google Password Manageru može se koristiti na drugim kompatibilnim uređajima na kojima ste prijavljeni u isti Google račun.
Postoje li nedostaci i rizici za Passkey?
Iako Passkey donosi brojne prednosti, nije riječ o savršenom rješenju. Prvi problem je podrška. Ne podržavaju sve internetske stranice i aplikacije ovu tehnologiju, pa će korisnici još neko vrijeme morati kombinirati klasične lozinke i Passkey.
Drugi izazov nastaje kada izgubite pametni telefon ili vam se uređaj pokvari. Ako ste pristupne ključeve pohranili isključivo na tom uređaju, a niste ih sinkronizirali ili osigurali drugi način pristupa, povratak u korisničke račune može biti kompliciran. Zbog toga je važno unaprijed provjeriti kako funkcionira oporavak računa i imate li pristup drugom uređaju ili sigurnosnoj kopiji.
Postoji i određena ovisnost o ekosustavu. Korisnik koji koristi Apple uređaje može se oslanjati na iCloud Keychain, dok korisnik Androida najčešće koristi Google Password Manager. Iako je tehnologija zamišljena kao međusobno kompatibilna, prijelaz između različitih sustava i upravitelja lozinki ponekad može biti manje jednostavan nego što bismo očekivali.
Treba uzeti u obzir i fizičku sigurnost uređaja. Ako netko zna vaš PIN i ima pristup otključanom telefonu, mogao bi pokušati iskoristiti pohranjene pristupne ključeve. Zato je važno koristiti dovoljno snažan PIN, kvalitetnu zaštitu zaključanog zaslona i biometrijsku autentifikaciju.
Passkey također ne štiti od svih mogućih oblika prijevara. Primjerice, kriminalci vas i dalje mogu pokušati navesti da sami odobrite neku radnju, otkrijete osobne podatke ili predate kontrolu nad uređajem. Tehnologija značajno otežava krađu pristupnih podataka, ali ne može zamijeniti oprez korisnika.
Što se događa ako promijenite telefon?
To je jedno od najčešćih pitanja kada je riječ o Passkeyu. Ako kupite novi telefon, pristupni ključevi u pravilu se mogu prenijeti automatskom sinkronizacijom, pod uvjetom da koristite isti korisnički račun i kompatibilan sustav za njihovu pohranu.
Primjerice, ako koristite Google Password Manager, nakon prijave na Google račun na novom Android uređaju dostupni Passkeyi mogu se ponovno sinkronizirati. Kod Appleovih uređaja sličnu ulogu ima iCloud Keychain.
Ako prelazite s Androida na iPhone ili obrnuto, situacija može biti nešto složenija, ovisno o tome gdje su ključevi pohranjeni. Zato je dobro prije zamjene uređaja provjeriti jesu li svi pristupni ključevi dostupni i na koji ih je način moguće prenijeti.
Za posebno važne račune preporučljivo je imati i alternativni način oporavka pristupa. To može biti drugi registrirani uređaj, dodatni sigurnosni ključ ili drugi postupak oporavka koji nudi konkretna internetska usluga.
Treba li potpuno prestati koristiti lozinke?
Ne još. Passkey je tehnologija koja postupno preuzima ulogu klasičnih lozinki, ali prijelaz neće biti trenutačan. Mnogi servisi i dalje će nuditi kombinaciju tradicionalne lozinke, dvofaktorske autentifikacije i prijave pomoću Passkeya.
Moj je savjet da Passkey počnete koristiti na servisima koji ga već podržavaju, posebno za Google, Apple i Microsoft račun, odnosno za račune koji su povezani s velikim brojem drugih usluga. Upravo su takvi računi posebno važni jer njihovim preuzimanjem napadač može dobiti pristup i drugim osobnim podacima.
Pritom nemojte zanemariti sigurnost samog telefona ili računala. Koristite snažan PIN, biometrijsku zaštitu i redovito ažurirajte operacijski sustav.
Passkey nije samo još jedan način prijave nego promjena načina na koji dokazujemo svoj identitet na internetu. Umjesto da korisnik mora pamtiti i štititi velik broj lozinki, sigurnost se prebacuje na uređaj i kriptografske ključeve. Kada podrška postane još raširenija, postoji realna mogućnost da će klasične lozinke postati iznimka, a ne pravilo.