Ce este un passkey și de ce ar putea înlocui parolele clasice

Se vorbește tot mai mult despre passkeys sau chei de logare, cum li se spune în română. Este vorba despre un sistem care se bucură de sprijinul unor giganți software precum Microsoft, Apple și Google, cu șanse mari de a înlocui în viitor parolele. Apple și Google deja oferă acest sistem sub diverse forme.

Așa că ce este un passkey și cu ce este mai bun? Sistemul devine ușor de înțeleg dacă pornim de la problemele pe care le au toate parolele clasice.

O parolă clasică are următoarele vulnerabilități:

• poate fi ușor aflată dacă ți se uită cineva peste umăr când o introduci într-un site.
• poate fi ușor furată prin phishing sau keyloggere cărora utilizatorul le cade victimă, în special dacă nu este o persoană foarte atentă sau pricepută la astfel de pericole.
• poate fi ușor furată din baze de date de către hackeri, dovadă că o mulțime de servicii resetează anual parolele utilizatorilor după astfel de data breach-uri.
• este dificil să reții câte o parolă diferită și complexă pentru fiecare site, cont, serviciu, magazin în parte, așa că mulți folosesc aceeași parolă în multe locuri, ceea ce face lucrurile și mai rele.
• parolele sunt vulnerabile la brute force attack. Majoritatea folosesc cuvinte simple gen password, 1234567890, parola123, nwradu1! sau cuvinte din dicționar precum Bucuresti2001!
• parolele pot fi ghicite. Imaginați-vă scenariul “prietenă geloasă” și parola voastră fiind numele pisicii și data nașterii.

Și o parolă ar putea fi cuplată cu 2FA, precum un SMS pe telefon, dar statistic vorbind foarte puțini fac asta, iar metoda oricum nu este sigură. SMS-urile pot fi compromise prin diverse metode, de exemplu hackerii ar putea convinge operatorul telecom să-ți mute numărul de telefon pe un alt SIM, al lor.

Acum intervin passkey-urile. Acestea nu sunt ceva de memorat, ci mai degrabă un șir foarte lung de biți. Ca analogie, gândiți-vă la un fișier scris în cod mașină, ceva imposibil de memorat și deci de folosit ca o parolă uzuală.

Ce se întâmplă, în schimb, este următorul lucru: passkey-urile sunt stocate local în dispozitivele tale securizate, de exemplu în telefonul tău protejat cu amprentă sau în laptopul tău protejat tot cu amprentă sau față sau parolă clasică. Când vrei să accesezi un site, vei face login folosind amprenta pe ecranul telefonului, ceea ce este un nivel excelent de securitate față de o parolă clasică, și telefonul confirmă automat cu site-ul respectiv că tu ai passkey-ul necesar instalat, ceea ce îți permite accesul.

Asta este tot ce faci tu, folosești biometria ca login pe orice site sau serviciu sau aplicație, iar în spatele scenei se verifică automat că ai passkey-ul necesar.

Ideea este că un hacker nu mai poate deci fura parola de la distanță, ci trebuie să aibă în mână chiar dispozitivul tău fizic pentru a avea acces la passkeys, ceea ce este mult mai puțin probabil să se întâmple. În plus, dispozitivul este oricum protejat biometric. Se termină cu situațiile în care un hacker din Costa Rica îți ia parola dintr-un dump de pe net și îți folosește contul de Netflix.

Avantajul pentru utilizator este că el de fapt se loghează peste tot folosind doar sistemul biometric al telefonului, iar în spatele acestui login se întâmplă comparații de passkeys criptate. Nu mai trebuie să reții parole, loginul este mult mai rapid și mai securizat, adică greu de păcălit. În plus, amprenta ta nu ajunge la fiecare site în parte unde folosești passkey, ci rămâne doar în telefonul mobil. Tu de fapt autorizezi cu amprentă ca telefonul tău mobil să facă schimbul de passkeys cu acel site.

Și nu-i vorba doar de asta. Sistemul de passkeys este gândit pe baza cheilor criptografice publice, care este un sistem foarte bine pus la punct pentru orice situație ce ar putea apărea.

Trebuie privit la modul următor. Passkey-ul tău este o jumătate a unei chei. Este ca o hârtie ruptă în două. Site-ul pe care vrei să-l accesezi are cealaltă jumătate. Sistemul este astfel gândit încât, dacă un hacker fură baza de date a site-ului, jumătatea ta de cheie este de fapt imposibil de determinat pornind de la jumătatea lor de cheie. Asta elimină o mare vulnerabilitate a parolelor clasice.

Apoi, passkey-ul tău nu părăsește dispozitivul pe care se află, așa că nu poate fi interceptat de un hacker la transmisie. Ce se întâmplă este că tu deblochezi telefonul cu amprenta și site-ul pe care vrei să-l accesezi, să zicem banca sau Gmail, verifică apoi că ai în telefon passkey-ul necesar pentru accesarea serviciilor lor. Amprenta nu “pleacă” niciodată din telefonul tău și nici măcar Apple sau Google nu o știu de fapt, fiind stocată doar în telefon.

Dacă vă uitați acum din nou pe lista de sus cu probleme ale parolelor clasice, veți vedea că passkey-urile le elimină pe toate sau măcar le adaugă un nivel foarte mare de securitate suplimentară.

Mai sunt alte detalii pentru ca sistemul să fie unul total funcțional. Telefonul sau laptopul personal or fi bine securizate, dar cum te loghezi pe smart tv sau pe un PC public sau pur și simplu pe vreun dispozitiv ce nu poate stoca securizat passkey-uri? Pentru această situație există un mecanism care rezolvă problema: vei putea folosi un dispozitiv pentru a acorda acces altui dispozitiv. Să zicem că Netflix vede că încerci să te loghezi pe un televizor și te va întreba pe telefonul mobil dacă ești de acord și va verifica passkey-ul de acolo. Treaba asta se întâmplă deja pe multe site-uri, dar ca o formă de 2FA, nu de passkeys securizate.

Dar dacă îți pierzi telefonul sau treci la altul? Păi passkey-urile pot fi salvate criptat în cloud și transferate de acolo în alt dispozitiv. Este un sistem asemănător cu backup-urile de iPhone sau Android sau cu Keychain sau Google Passwords, caz în care Apple și Google funcționează ca trust providers, adică ai încredere în ei că îți țin securizat datele la ei pe servere, iar până acum au făcut asta cu bine. Nu-i un sistem perfect, dar este mult mai sigur decât cel prezent.

Mă aștept să poți gestiona și ce dispozitive conțin passkeys, să le dezactivezi și să le anulezi. În plus, nu știu dacă v-ați prins printre rânduri mai sus, dar fiecare dispozitiv securizat de-al tău are de fapt un alt passkey în interior pentru același serviciu. Ca analogie, este ca și cum ai avea pentru același cont Gmail parole diferite pe telefon, laptop și tabletă. Securitate și mai bună!

Google a anunțat deja implementarea passkeys pentru accesul la cont. Va funcționa în paralel cu parola clasică, deci îl puteți activa și testa. Găsiți detalii aici, împreună cu o altă explicație pentru passkeys, dacă eu n-am fost prea clar. Google îl consideră atât de sigur încât nu folosește și 2FA pentru passkeys, că șansele ca un rău voitor să aibă telefonul tău în mână și amprenta sau fața ta la dispoziție sunt infime.

1Password adaugă acum suport pentru passkeys, dacă vreți un password manager. Apple suportă passkeys încă din iOS 16. Poate că într-o zi ar trebui să vă protejați măcar conturile importante cu passkeys și să eliminați riscuri mari de securitate.