Ce este o passkey, cum funcționează și cum scapi de parole

Tot mai multe servicii, de la Google și Microsoft la Apple și PayPal, îți propun să te loghezi fără parolă, cu o passkey. Suni ciudat: cum să intri în cont fără parolă și totuși să fie mai sigur? Răspunsul stă într-o idee veche din criptografie, dar abia acum ușor de folosit de oricine, cu amprenta sau cu fața.

Vei vedea ce este o passkey, cum funcționează cheia publică și cea privată, de ce e rezistentă la phishing, prin ce diferă de o parolă și de un cod SMS și ce limite are deocamdată. Pe înțelesul tău, fără jargon inutil.

Ce este o passkey

O passkey este o metodă de autentificare care înlocuiește parola, construită pe standardele FIDO. La crearea ei, dispozitivul tău generează o pereche de chei: una publică, pe care o păstrează site-ul, și una privată, care rămâne pe dispozitivul tău și nu pleacă de acolo. Te autentifici deblocând cheia privată cu amprenta, cu fața sau cu codul telefonului. Site-ul nu primește niciun secret pe care cineva să îl poată fura sau refolosi.

Cum funcționează, pe scurt

Logica e simplă, chiar dacă numele sună tehnic. Cheia publică, păstrată de site, nu e un secret: cu ea nu se poate intra în cont. Pentru logare, site-ul trimite o provocare, iar dispozitivul tău o semnează cu cheia privată, după ce o deblochezi cu biometria sau codul. Site-ul verifică semnătura cu cheia publică și te lasă să intri. Din cheia publică nu se poate deduce cheia privată, iar biometria rămâne pe dispozitiv: site-ul nu îți primește niciodată amprenta.

De ce e rezistentă la phishing

Aici e marele avantaj. O passkey e legată de adresa site-ului real și funcționează doar pe el. Pe o pagină falsă, oricât de bine ar imita originalul, passkey-ul pur și simplu nu se activează, deci nu ai cum să îl dai din greșeală unui atacator. În plus, nu se transmite nicio parolă care să poată fi interceptată sau scursă într-o breșă, fiindcă pe server stă doar cheia publică, inutilă singură. Tocmai de aceea CISA consideră autentificarea de tip FIDO singura larg disponibilă cu adevărat rezistentă la phishing.

Passkey, parolă sau cod SMS: care e diferența

Un detaliu important: o passkey nu e tot una cu un cod SMS. Ba mai mult, ea poate înlocui în același timp și parola, și al doilea factor, fiindcă e prin construcție multifactor: ceva ce ai, dispozitivul cu cheia privată, plus ceva ce ești sau știi, biometria ori codul care o deblochează. Dacă vrei să vezi cum se compară cu metodele clasice de 2FA, citește ghidul despre autentificarea în doi pași.

Sincronizare, recuperare și ce servicii suportă

O întrebare firească: ce se întâmplă dacă pierd telefonul? De obicei nu pierzi nimic. Passkey-urile se pot sincroniza criptat între dispozitivele tale prin iCloud Keychain la Apple, prin Google Password Manager sau printr-un manager de parole, și se restaurează pe un telefon nou după ce te autentifici în contul respectiv. Excepția sunt passkey-urile legate strict de un singur dispozitiv, cum sunt cheile de securitate hardware, unde e bine să ai și o cheie de rezervă. Poți te loga și de pe alt dispozitiv apropiat, scanând un cod QR și confirmând pe telefon prin Bluetooth. Passkey-urile sunt deja suportate de Google, Apple, Microsoft, Amazon, PayPal, eBay, GitHub și multe altele.

Ce limite are deocamdată

Passkey-urile sunt viitorul, dar tranziția e în curs. Nu toate site-urile le suportă încă, așa că pentru o vreme le vei folosi alături de parole, nu în locul lor peste tot. Portabilitatea între ecosisteme diferite, adică mutarea passkey-urilor de la Apple la Google sau invers, se îmbunătățește, dar nu e încă perfectă. Iar recuperarea depinde de furnizorul care îți sincronizează cheile, deci merită să ai o metodă de rezervă, mai ales dacă te bazezi pe o cheie hardware unică.

Mituri despre passkey

Cum începi cu passkey-urile

Activează o passkey întâi pe conturile importante care o suportă, mai ales pe contul Google, Apple sau Microsoft cu care îți recuperezi restul. Până când passkey-urile ajung peste tot, ține în continuare parole unice într-un manager de parole și autentificarea în doi pași activată acolo unde încă nu există passkey. Așa închizi și ușa deschisă de credential stuffing.