Hesla, po nějakou dobu první linie obrany našich online účtů, se při bližším pohledu nejeví jako úplně spolehlivá.
Hesla často tvoříme z kombinací jmen domácích mazlíčků, významných dat, klíčových událostí či jmen blízkých, tedy z informací, které lze poměrně snadno dohledat z našeho online života.
Nutnost používat různá hesla pro různé účty, abychom minimalizovali dopady případného úniku, situaci s hesly ještě zkomplikovala.
Zdroj obrázku: blog.google
„Začátek konce hesel“ – jak napovídá titulek a článek na blogu Google. Již delší dobu se diskutuje a pracuje na postupném ukončení éry hesel. Přední technologické firmy jako Google, Apple a Microsoft stojí v čele tohoto úsilí a nahrazují hesla novější technologií – přístupovými klíči.
V tomto článku se podíváme na to, co přístupové klíče jsou, v čem spočívají jejich výhody a jak si nastavit přístupový klíč pro svůj Google účet.
Co jsou přístupové klíče?
Přístupové klíče představují nový a bezpečnější způsob ověřování uživatelů, který je lepší než klasická hesla. Eliminuje nutnost pamatovat si hesla a uživatelská jména, čímž nahrazuje zastaralou metodu autentizace, která je náchylná k hackerským útokům, phishingu a únikům dat, a nahrazuje ji mnohem bezpečnějšími prostředky.
Na rozdíl od hesel, přístupové klíče odstraňují potřebu si cokoliv pamatovat, protože jsou bezheslové. Pro ověření identity používají PIN, gesta, nebo biometrické údaje jako otisk prstu či rozpoznání obličeje. Pro využití přístupových klíčů je však nutné mít zařízení, které tuto technologii podporuje.
Přes veškerá doporučení bezpečnostních expertů ohledně používání silných a unikátních hesel pro každý účet, mnoho uživatelů stále používá slabá hesla a stejná hesla pro více platforem, čímž se zranitelnost systému hesel ještě zvyšuje.
Z tohoto důvodu se vývoje přístupových klíčů ujalo konsorcium World Wide Web Consortium (W3C) a FIDO Alliance, organizace, které usilují o snížení závislosti na heslech.
Použití přístupových klíčů vzniklo jako reakce na bezpečnostní nedostatky stávajících technologií hesel. Kvůli těmto nedostatkům se začalo používat dvoufaktorové ověřování (2FA) jako další vrstva zabezpečení a identifikace a také správci hesel, kteří uživatelům pomáhají spravovat velký počet hesel.
Jak fungují přístupové klíče?
Přístupové klíče využívají webové autentizační API WebAuthn. Webové ověřování používá veřejný a soukromý klíč, tedy kryptografii s veřejným klíčem, aby se zajistilo, že uživatel je skutečným majitelem účtu.
Na rozdíl od tradičních hesel, s heslem se může přihlásit kdokoliv odkudkoliv. Přístupový klíč naopak používá velmi přísný způsob, jak se ujistit, že jste to skutečně vy.
Přístupový klíč se skládá ze dvou klíčů: veřejného a soukromého. Oba klíče jsou nezbytné a vzájemně spolupracují podobně jako dílky skládanky. Veřejný klíč může být uložen na webových stránkách nebo v aplikaci, pro kterou se přístupový klíč vytváří. Soukromý klíč je naopak bezpečně uložen pouze v zařízení, ze kterého byl přístupový klíč vytvořen.
Soukromý klíč není uložen na žádné cloudové platformě, což výrazně snižuje riziko jeho zneužití a činí přístupový klíč bezpečnějším. Jednoduše řečeno, když se chcete přihlásit ke svému Google účtu pomocí přístupového klíče:
Váš přístupový klíč se skládá ze dvou klíčů. Google pošle šifrovanou výzvu vašemu zařízení. Google má totiž uložený váš veřejný klíč.
Jakmile vaše zařízení obdrží šifrovanou výzvu, musíte telefon odemknout pomocí PINu, gesta nebo rozpoznání obličeje. Toto odemknutí podepíše výzvu vaším soukromým klíčem a podepsaná výzva se pak pošle zpět Googlu.
Google ověří výzvu pomocí veřejného klíče. Pokud se oba klíče shodují, zašifrovaná výzva se dešifruje a Google si je jistý, že jste to skutečně vy. Jak je vidět, přístupové klíče fungují podobně jako 2FA, ale na pokročilejší úrovni.
Proč jsou Passkeys lepší?
Lepší a bezpečnější než hesla
Přístupové klíče používají kryptografii veřejného klíče, což je bezpečnější způsob ověření uživatele. Jsou odolnější vůči phishingu a dalším formám útoku než hesla. Váš soukromý klíč se nikdy nesdílí do cloudu, takže k účtu máte přístup pouze vy.
Pohodlné
Na rozdíl od hesel, která si musíte neustále pamatovat včetně velkých písmen a speciálních znaků, s Passkey se můžete spolehnout na biometrický senzor, který potvrdí vaši identitu, ověří ji a zajistí, že nebudete muset heslo pamatovat.
Prakticky nemožné prolomit
Ačkoli je pro ověření identity potřeba veřejný i soukromý klíč a víte, že váš veřejný klíč je uložený veřejně v cloudu webové stránky, v případě narušení nelze veřejný klíč zpětně zkonstruovat, abyste získali přístup k vašemu soukromému klíči. Váš účet tedy zůstává neprostupný.
Zlepšená uživatelská zkušenost
Passkey, jak již bylo zmíněno, eliminuje nutnost pamatovat si všechna hesla, odstraňuje riziko zapomenutí hesla a ztráty přístupu k účtu. Ověřování uživatele je tak jednodušší a bezproblémové.
Nastavení přístupového klíče ve vašem Google účtu
Google oznámil zavedení Passkey v roce 2022 během Světového dne hesel. V současné době si uživatelé mohou aktivovat možnost používat přístupové klíče místo ověřování pomocí hesla. V následujících krocích si ukážeme, jak aktivovat přístupový klíč u vašeho existujícího Google účtu.
Nyní máte aktivní přístupový klíč a jste bez hesla.
Aktivace přístupového klíče na mobilu (Android)
Je heslo mrtvé?
Zavádění této nové technologie, stejně jako jakékoli jiné, bude vyžadovat čas. V současné době lze proto očekávat, že hesla budou stále široce využívána, ale s tím, jak bude stále více společností přecházet na bezheslové přihlašování a používání přístupových klíčů, se hesla mohou časem stát minulostí.
Závěr
Přístupové klíče představují vítanou novou technologii. Veřejný klíč je zámek, který je veřejně dostupný, ale odemknout ho může pouze majitel správného klíče (soukromého klíče), který je uchováván v tajnosti. V dlouhodobém horizontu výhody používání Passkeys převáží nad jeho případnými nevýhodami.
S rostoucím zaváděním přístupových klíčů jako prostředku autentizace společností, se k této technologii uchýlí stále více lidí, jakmile plně pochopí její výhody.
Dále si můžete přečíst o tom, jak implementovat autentizaci Passkeys/FIDO ve vašich aplikacích.