Modul 2 · 2.4
Passkeys a bezpečnostné kľúče
Modul 2: Heslá a prihlasovanie · Čas čítania: 10 minút
Cieľ lekcie: Po tejto lekcii viete vysvetliť, prečo sú passkeys a bezpečnostné kľúče odolné voči phishingu, viete pomenovať rozdiel medzi synchronizovanými a zariadeniu viazanými passkeys a viete určiť, kedy ich nasadiť.
Kľúčové pojmy: passkey, FIDO2, WebAuthn, verejný a súkromný kľúč, viazanosť na doménu, bezpečnostný kľúč, synchronizovaný passkey, zariadeniu viazaný passkey
Problém so všetkým, čo prepisujete
V lekcii 2.3 ste videli, že kód z aplikácie alebo sms vás nechráni pred dobre spravenou falošnou stránkou. Vy zadáte kód na rnijnbank.example, podvodník ho do pár sekúnd pošle ďalej na mijnbank.example a je vnútri. Slabé miesto je stále rovnaké: vy musíte posúdiť, či ste na skutočnej stránke. Človek, ktorý sa ponáhľa alebo vidí presvedčivú stránku, túto chybu skôr či neskôr urobí.
Passkeys a bezpečnostné kľúče toto rozhodovanie od vás odoberajú. Adresu nekontrolujete vy, ale váš prehliadač a vaše zariadenie. A nie je nič, čo by ste mohli prepísať alebo preposlať.
Čo je passkey
Passkey je prihlasovací prostriedok, ktorý nahrádza heslo. FIDO Alliance, organizácia stojaca za týmto štandardom, ho opisuje ako náhradu hesla, ktorú odomykáte rovnako ako svoje zariadenie: odtlačkom prsta, tvárou alebo pinom.
Technicky je passkey pár kľúčov:
- súkromný kľúč, ktorý zostáva na vašom zariadení (alebo vo vašom správcovi hesiel, pozrite nižšie) a nikdy neputuje na webovú stránku;
- verejný kľúč, ktorý uchováva webová stránka.
Čo je podpísané súkromným kľúčom, to vie webová stránka overiť pomocou verejného kľúča. Ale verejným kľúčom nemôžete nič podpísať. Ak unikne databáza webovej stránky, útočník má iba verejné kľúče, s ktorými sa nedá prihlásiť. Nie je teda čo lámať, ako pri unikaných heslách z lekcie 2.1.
Táto technológia sa volá FIDO2. Časť, ktorá je vo vašom prehliadači, sa volá WebAuthn, čo je štandard W3C (konzorcia, ktoré vytvára webové štandardy). Časť medzi vaším počítačom a samostatným bezpečnostným kľúčom sa volá CTAP.
Takto prebieha prihlásenie
- Na
mijnbank.examplezvolíte „Prihlásiť sa pomocou passkey“. - Webová stránka pošle náhodnú výzvu: číslo, ktoré sa použije iba raz.
- Váš prehliadač odovzdá túto výzvu vášmu zariadeniu spolu s doménou, na ktorej sa nachádzate.
- Vaše zariadenie vás vyzve na odomknutie: prst, tvár alebo pin. Táto kontrola prebieha na vašom zariadení. Váš odtlačok prsta nikdy neputuje na webovú stránku; tá sa dozvie iba to, že kontrola bola úspešná.
- Vaše zariadenie podpíše výzvu súkromným kľúčom, ktorý patrí k
mijnbank.example. - Webová stránka overí podpis vaším verejným kľúčom. Ak sedí, ste prihlásení.
Prečo passkey nefunguje na falošnej stránke
Pri vytváraní sa passkey viaže na doménu webovej stránky. Vo WebAuthn sa to volá Relying Party ID: passkey patrí k mijnbank.example (a prípadne jej subdoménam) a k ničomu inému. O tom, ktorá doména je uvedená v požiadavke, rozhoduje prehliadač, nie webová stránka. Falošná stránka to nemôže sfalšovať.
Ak sa cez phishingový e-mail dostanete na https://rnijnbank.example alebo https://mijnbank.example.inlog-check.example, stane sa toto:
- Falošná stránka si vyžiada passkey.
- Váš prehliadač hľadá passkey pre danú doménu. Žiadny neexistuje.
- Zobrazí sa vám hláška ako „pre túto stránku nie je passkey“ alebo prázdny zoznam na výber.
Nie je nič, čo by ste mohli omylom schváliť alebo prepísať. Aj keď falošnú stránku nerozpoznáte, passkey tam jednoducho nefunguje. Práve to myslíme pod pojmom odolné voči phishingu. Hovorí to aj NIST: odolnosť voči phishingu vyžaduje kryptografickú autentifikáciu; heslá, kódy, ktoré prepisujete, a schvaľovacie hlásenia to nespĺňajú.
Dostanete na stránke, kde sa bežne prihlasujete passkeyom, zrazu iba políčko pre heslo alebo žiadosť o „kód z aplikácie“? To je varovanie. Skontrolujte adresu.
Synchronizovaný alebo viazaný na zariadenie
Existujú dva druhy passkeys. Rozdiel je v tom, kde „býva“ súkromný kľúč.
| Synchronizovaný passkey | Passkey viazaný na zariadenie | |
|---|---|---|
| Kde je súkromný kľúč? | U poskytovateľa passkeys: v kľúčenke vášho operačného systému alebo vo vašom správcovi hesiel, ktorý ho zašifrovane kopíruje na vaše ďalšie zariadenia | Na jednom zariadení, napríklad na bezpečnostnom kľúči, a odtiaľ sa nedostane |
| Nový telefón? | Passkey sa prenesie, keď sa prihlásite u svojho poskytovateľa | Na novom zariadení musíte vytvoriť nový passkey |
| Strata zariadenia? | Žiadny problém, pokiaľ je účet u poskytovateľa bezpečný | Bez zálohy sa nedostanete dnu |
| Slabé miesto | Účet u vášho poskytovateľa: kto sa doň dostane, má všetky vaše passkeys | Strata; potrebujete záložný kľúč |
| Vhodné pre | Takmer všetky bežné účty | Administrátorské účty, hosting, registráciu domén, banku, samotný účet u poskytovateľa |
V štandarde WebAuthn sa synchronizovaný passkey nazýva „multi-device credential“. FIDO Alliance označuje passkeys viazané na zariadenie na bezpečnostnom kľúči za formu s najvyššou mierou istoty a odporúča bezpečnostný kľúč aj ako obnovovací prostriedok, ak stratíte prístup k synchronizovaným zariadeniam.
Ak používate synchronizované passkeys, obzvlášť dobre chráňte účet u svojho poskytovateľa: silné heslo, dvojfaktorové overenie (2FA) a najlepšie aj vlastný bezpečnostný kľúč.
Bezpečnostné kľúče
Bezpečnostný kľúč je malé zariadenie, ktoré zapojíte do usb portu alebo priložíte k telefónu (NFC). Sú na ňom uložené passkeys viazané na zariadenie. Prihlásenie prebieha dotykom kľúča, často s pinom samotného kľúča alebo odtlačkom prsta na kľúči.
Existuje viacero výrobcov; pri výbere sledujte podporu FIDO2, pripojenie, ktoré potrebujete (USB-A, USB-C, NFC) a či kľúč podporuje pin alebo odtlačok prsta.
Najdôležitejšie pravidlo: vždy zaregistrujte aspoň dva kľúče. Druhý je váš záložný kľúč. Pripojíte ho ku každej službe rovnako ako prvý a uložíte ho na inom mieste, napríklad doma v zásuvke alebo v trezore. Ak stratíte svoj bežný kľúč, prihlásite sa pomocou záložného, odstránite stratený kľúč zo svojich účtov a kúpite si nový druhý. Kľúč sa nedá kopírovať; to je práve jeho zmysel.
Prihlásenie na inom počítači
Chcete sa prihlásiť na notebooku, ale váš passkey je v telefóne. Prehliadač vtedy často ponúkne zobrazenie QR kódu. Naskenujete ho telefónom a tam sa odomknete. FIDO Alliance to nazýva cross-device authentication. Telefón cez Bluetooth overí, že je skutočne v blízkosti notebooku. Niekto, kto má iba fotografiu QR kódu, sa teda ním na diaľku prihlásiť nemôže.
Úskalia a kedy ich nasadiť
Passkeys sú veľký krok vpred, ale nie sú zázrak:
- Heslo často naďalej existuje. Mnohé služby vám popri passkey stále umožňujú prihlásiť sa heslom a kódom. Podvodník sa potom pokúsi práve o túto cestu. Ak je to možné, vypnite staré spôsoby prihlásenia alebo nastavte dlhé a jedinečné heslo.
- Obnova je najslabší článok. Ak sa niekto dokáže dostať okolo vášho passkey pomocou e-mailu „zabudnuté heslo“ alebo telefonátu na podporu, váš účet je taký silný, ako táto obnovovacia cesta. Skontrolujte, aké obnovovacie údaje máte nastavené (lekcia 2.5).
- Nie každá služba to podporuje. V takom prípade použite aplikáciu authenticator.
- Zdieľané účty sa k passkeys na jednom osobnom zariadení hodia zle. Radšej dajte každému vlastný účet s vlastným passkeyom (modul 7).
- Odomknuté zariadenie je otvorené dvere. Chráňte telefón a notebook dobrým zamykaním obrazovky (modul 5).
Kde začať? Pri účtoch, kde by prevzatie spôsobilo najväčšiu škodu: vaša pošta, váš správca hesiel alebo poskytovateľ passkeys, hosting a registrácia domén, banka a účtovníctvo. Ak niektorá z týchto služieb ponúka passkeys alebo bezpečnostné kľúče, zapnite ich tam ako prvé.
Zhrnutie
- Passkey je pár kľúčov: súkromný kľúč zostáva u vás, webová stránka má iba verejný kľúč. Únik u webovej stránky neposkytne nič, čo by sa dalo zlomiť.
- Prehliadač viaže passkey na skutočnú doménu. Na falošnej stránke passkey neexistuje, takže nie je čo ukradnúť ani čo schváliť.
- Synchronizované passkeys sa prenášajú na vaše ďalšie zariadenia; passkeys viazané na zariadenie (bezpečnostný kľúč) zostávajú na jednom zariadení.
- Vždy zaregistrujte záložný kľúč a uložte ho na inom mieste.
- Passkey je taký silný, ako jeho obnovovacia cesta a staré spôsoby prihlásenia, ktoré ešte zostávajú otvorené.
Kvíz
Úloha
D2.4: Váš prvý passkey alebo bezpečnostný kľúč. Zistite, ktoré z vašich najdôležitejších účtov podporujú passkeys alebo bezpečnostné kľúče, u aspoň jedného z nich ich nastavte a zariaďte si zálohu. Odškrtnite kontrolný zoznam a zodpovedajte reflexné otázky.
Úloha D2.4: Váš prvý passkey alebo bezpečnostný kľúč
Postupujte takto: (1) Pozrite sa pri svojich najdôležitejších účtoch (mail, správca hesiel alebo poskytovateľ passkey, hosting, registrácia domény, banka, účtovníctvo) v bezpečnostných nastaveniach, či podporujú passkeys alebo bezpečnostné kľúče. (2) Zvoľte pre každý účet: synchronizovaný passkey (vo vašom operačnom systéme alebo správcovi hesiel) alebo viazaný na zariadenie (bezpečnostný kľúč). Pre správu hostingu, domén a vášho poskytovateľa passkey radšej bezpečnostný kľúč. (3) Nastavte aspoň pri jednom účte passkey alebo kľúč. (4) Zabezpečte zálohu: druhý kľúč zaregistrovaný a uložený na inom mieste, alebo pri synchronizovanom passkey druhé zariadenie a dobrú ochranu účtu u vášho poskytovateľa. (5) Skontrolujte, či ešte funguje starý spôsob prihlásenia (heslo s SMS alebo kódom). Ak je to možné, vypnite ho, alebo urobte heslo dlhé a jedinečné. (6) Raz otestujte prihlásenie na druhom zariadení (napríklad pomocou QR kódu a telefónu).
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Odporúčame na ďalšie čítanie
- FIDO Alliance, Passkeys (po anglicky): https://fidoalliance.org/passkeys/
- W3C, Web Authentication Level 3 (po anglicky, samotný štandard): https://www.w3.org/TR/webauthn-3/
- passkeys.dev, Terms (po anglicky, slovník pojmov členov FIDO Alliance a W3C): https://passkeys.dev/docs/reference/terms/
- NIST SP 800-63B-4, časť o odolnosti voči phishingu a syncable authenticators (po anglicky): https://pages.nist.gov/800-63-4/sp800-63b.html
- Holandské NCSC, Ako si vybrať metódu MFA? (holandský zdroj): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode