Dlaczego tradycyjne hasła muszą odejść do lamusa?
Tradycyjny system uwierzytelniania, oparty na wpisywaniu loginów i haseł, ma już ponad pół wieku. Powstał w czasach, gdy sieć była zamkniętym środowiskiem dla garstki naukowców, a nie fundamentem codziennego życia wielu ludzi. Dzisiaj ten system jest największą luką w cyfrowym bezpieczeństwie. Hasła stały się zbyt uciążliwe dla ludzi, a jednocześnie zbyt łatwe do złamania dla maszyn.
Warto przeczytać: Bezpieczeństwo starszych smartfonów. Czy są podatne na ataki?
Głównym problemem jest konflikt między wygodą a bezpieczeństwem. Silne hasło powinno składać się z długiego ciągu losowych znaków, cyfr i symboli, a do tego być unikalne dla każdego konta. W praktyce pamięć ludzka ma ograniczenia – zresztą nikt nie ma ochoty zapamiętywać dziesiątek innych haseł dla różnych kont i serwisów. Prowadzi to do nagminnego powtarzania tych samych, uproszczonych kombinacji w wielu różnych miejscach (od poczty elektronicznej po mało znaczące sklepy internetowe) lub do zapisywania ich w plikach tekstowych na pulpicie.
To niestety idealne warunki dla cyberprzestępców, którzy dysponują coraz bardziej zaawansowanymi narzędziami ataku na nas. Wykorzystują chociażby automatyczne programy do sprawdzania milionów kombinacji (tzw. ataki brute-force) oraz bazy danych z wcześniejszych wycieków, które można kupić w darknecie. Jeśli jedno miejsce w sieci zostanie zaatakowane i nasze dane logowania przetrzymywane tam wyciekną, przestępcy natychmiast sprawdzą te same klucze w dziesiątkach innych popularnych usług. Jeśli używamy tych samych danych logowania w innych serwisach, możemy stracić dostęp do wszystkich. Osobna kategoria to phishing, czyli fałszywe wiadomości i strony internetowe, które podszywają się pod banki czy kurierów. Ich jedynym celem jest nakłonienie użytkownika do samodzielnego wpisania hasła na podstawionej witrynie. Przed tym zagrożeniem nie chroni nawet najbardziej skomplikowane hasło świata.
W odpowiedzi na to powstał standard Passkeys, czyli kluczy dostępu. Nie jest to autorskie rozwiązanie jednej firmy, ale otwarty standard technologiczny opracowany przez FIDO Alliance – stowarzyszenie, w skład którego wchodzą najwięksi gracze na rynku: Apple, Google oraz Microsoft. Ich wspólnym celem było stworzenie metody logowania, która całkowicie eliminuje potrzebę wpisywania i pamiętania haseł, a jednocześnie drastycznie podnosi odporność kont na ataki z zewnątrz. Klucze dostępu mają stać się w przyszłości domyślnym i powszechnym sposobem weryfikacji tożsamości w całym internecie.
Jak działają klucze dostępu?
Klucze dostępu całkowicie zmieniają sposób weryfikacji tożsamości w sieci. Zamiast metody opartej na tajemnicy i hasłach, które trzeba zapamiętywać, standard Passkeys wykorzystuje kryptografię asymetryczną, opartą na dwóch powiązanych ze sobą elementach – kluczu publicznym oraz kluczu prywatnym.
Aby dobrze to zrozumieć, można posłużyć się analogią do tradycyjnej kłódki i dopasowanego do niej klucza.
- Klucz publiczny (kłódka). Trafia na serwer serwisu, w którym zakładamy konto (np. Allegro, Google czy banku). Jest on całkowicie jawny i bezużyteczny dla potencjalnego hakera. Nawet jeśli baza danych serwisu zostanie wykradziona, przestępca zdobędzie jedynie miliony „kłódek”, których nie ma czym otworzyć.
- Klucz prywatny (fizyczny klucz). Zostaje wygenerowany bezpośrednio na naszym urządzeniu – smartfonie, tablecie lub komputerze – i nigdy, pod żadnym pozorem, go nie opuszcza. Nie zna go serwis internetowy, nie widzą go serwery w chmurze, nie znamy go nawet my sami. Jest bezpiecznie odizolowany w specjalnym, zabezpieczonym module procesora na naszym sprzęcie.
Samo logowanie polega na rozwiązaniu szyfrowanej zagadki matematycznej. Gdy wchodzimy na stronę, serwer przesyła do naszego urządzenia specjalne wyzwanie. Wtedy smartfon lub komputer używa naszego klucza prywatnego, aby podpisać to wyzwanie cyfrowo, i odsyła wynik z powrotem. Serwer sprawdza za pomocą klucza publicznego (kłódki), czy podpis jest prawidłowy. Jeśli tak – zostajemy zalogowani.
Cała ta operacja wymaga jednak fizycznej autoryzacji. Zanim urządzenie użyje klucza prywatnego, musi upewnić się, że to my przy nim siedzimy. Wykorzystuje do tego mechanizmy, z których korzysta się na co dzień do odblokowywania ekranu: skan twarzy (Face ID / Windows Hello), odciski palców (Touch ID / czytniki biometryczne) lub lokalny kod PIN.
Taki mechanizm działania niesie ze sobą trzy kluczowe zalety
- Dane biometryczne nie krążą w sieci. Skan twarzy lub odcisk palca służy wyłącznie do lokalnego „obudzenia” klucza prywatnego na telefonie. Żadne informacje biometryczne nie są wysyłane do internetu.
- Całkowita odporność na phishing. Klucz prywatny jest fabrycznie powiązany z konkretną, prawdziwą domeną internetową (np. google.com). Jeśli wejdziemy przypadkiem na fałszywą stronę przygotowaną przez oszustów, która wygląda identycznie jak oryginał, urządzenie rozpozna oszustwo po adresie URL i odmówi użycia klucza. Przestępcy nie mają czego przechwycić, bo nie wpisujemy żadnych znaków na klawiaturze.
- Koniec z wyciekami. Ponieważ serwery firm nie przechowują żadnych haseł, a jedynie klucze publiczne, klasyczne włamania na portale i kradzieże baz danych przestają być zagrożeniem dla naszych pozostałych kont.
Kiedy można skorzystać z takich kluczy?
Przejście na klucze dostępu nie wymaga od nas zakupu drogiego, specjalistycznego sprzętu ani instalowania skomplikowanego oprogramowania. Standard ten został zaprojektowany tak, aby wykorzystać urządzenia, które większość z nas ma już w kieszeni lub na biurku. Cała technologia opiera się na istniejących modułach bezpieczeństwa oraz czytnikach biometrycznych. Przed przystąpieniem do konfiguracji musimy jedynie sprawdzić, czy nasz sprzęt i oprogramowanie spełniają te najbardziej podstawowe kryteria.
W przypadku urządzeń mobilnych potrzebujemy smartfona lub tabletu z odpowiednio aktualnym systemem operacyjnym. Dla urządzeń z Androidem wymogiem minimalnym jest system w wersji 9.0 lub nowszy. Z kolei użytkownicy sprzętu z nadgryzionym jabłkiem muszą posiadać iPhone’a lub iPada z systemem iOS 16 / iPadOS 16 lub nowszym. Na tych urządzeniach musimy mieć także aktywowaną blokadę ekranu – może to być kod PIN, wzór, ale najwygodniej sprawdzi się biometria, czyli skan odcisków palców lub rozpoznawanie twarzy.
Jeśli chcemy logować się za pomocą komputera stacjonarnego lub laptopa, kluczowe znaczenie ma system operacyjny oraz wbudowane zabezpieczenia. W środowisku Microsoftu potrzebujemy systemu Windows 10 lub Windows 11 z uruchomioną funkcją Windows Hello (która pozwala na logowanie kodem PIN, odciskiem palca lub skanem twarzy). W przypadku komputerów Apple wymagany jest system macOS Ventura lub nowszy, a idealnym rozwiązaniem jest posiadanie klawiatury bądź laptopa z czytnikiem Touch ID.
Ostatnim elementem jest aktualna przeglądarka internetowa. Wszystkie najpopularniejsze programy na rynku, takie jak Google Chrome, Apple Safari, Microsoft Edge czy Mozilla Firefox, posiadają już pełne, fabryczne wsparcie dla Passkeys. Nie musimy instalować żadnych dodatkowych wtyczek ani rozszerzeń. Jeśli regularnie dbamy o aktualizacje systemu i przeglądarki, jesteśmy w pełni gotowi, aby zacząć korzystać z bezpiecznego logowania bez haseł.
Konfiguracja kluczy dostępu krok po kroku
Uruchomienie nowej metody logowania jest łatwe i zajmuje zazwyczaj mniej czasu niż wymyślenie i wpisanie tradycyjnego, silnego hasła. Choć każdy portal ma nieco inny interfejs, ogólny schemat postępowania jest zawsze taki sam.
Tworzenie klucza na smartfonie
Smartfon to najwygodniejsze narzędzie do zarządzania kluczami dostępu, ponieważ zawsze mamy je przy sobie, a wbudowane czytniki linii papilarnych działają błyskawicznie. Cały proces konfiguracji (na przykładzie konta Google lub dowolnego dużego portalu) zamyka się w kilku krokach.
- Logujemy się na swoje konto w tradycyjny sposób, używając jeszcze starego hasła.
- Wchodzimy w ustawienia profilu, a następnie przechodzimy do sekcji dedykowanej bezpieczeństwu lub logowaniu.
- Odszukujemy opcję opisaną jako „Klucze dostępu” lub „Logowanie bezhasłowe” i klikamy przycisk „Utwórz klucz dostępu”.
- System operacyjny telefonu (Android lub iOS) wyświetli nam komunikat z zapytaniem, czy chcemy zapisać klucz dostępu dla danego adresu e-mail czy login-u.
- Potwierdzamy operację, przykładając palec do czytnika lub pozwalając urządzeniu na skan twarzy. W tym momencie klucz zostaje utworzony i bezpiecznie zapisany w pamięci telefonu.
Dodawanie klucza dostępu w serwisie X (dawny Twitter). Fot. HotGear.
Tworzenie klucza na komputerze
Jeśli wolimy zarządzać kontami z poziomu dużego ekranu, możemy utworzyć klucz przypisany bezpośrednio do naszego laptopa lub komputera stacjonarnego.
- Otwieramy przeglądarkę internetową, wchodzimy na stronę wybranego serwisu i przechodzimy do ustawień bezpieczeństwa konta.
- Wybieramy funkcję „Dodaj klucz dostępu”.
- Przeglądarka wywoła systemowe okno dialogowe. W systemie Windows będzie to Windows Hello, a na komputerach Mac – systemowy monit macOS.
- Urządzenie poprosi nas o weryfikację tożsamości. W zależności od konfiguracji sprzętu przykładamy palec do czytnika Touch ID, patrzymy w kamerę zgodną z Windows Hello lub po prostu wpisujemy lokalny kod PIN, którym logujemy się do systemu operacyjnego.
- Po poprawnej weryfikacji przeglądarka powiąże nasz sprzęt z profilem w danej usłudze. Od tej chwili przy kolejnej próbie wejścia na tę stronę komputer nie zapyta nas już o stare hasło.
Klucze dostępu można oczywiście dodawać do serwisów z poziomu komputera. Tu witryna Google. Fot. HotGear.
Co, jeśli zgubimy telefon?
Wizja porzucenia tradycyjnych haseł na rzecz jednego klucza zapisanego w telefonie naturalnie budzi pewne obawy. Każdy z nas może przecież zgubić smartfon, zalać laptopa kawą czy paść ofiarą kradzieży. Warto jednak wiedzieć, że twórcy Passkeys przewidzieli takie sytuacje, dlatego stworzyli wielopoziomowy system odzyskiwania dostępu, który chroni nas przed ewentualnym odcięciem od świata.
Przede wszystkim klucze dostępu nie są bezpowrotnie przypisane do jednej, fizycznej kości pamięci w konkretnym smartfonie. Wszystkie główne systemy operacyjne oferują automatyczną i bezpieczną synchronizację kluczy w chmurze. Oznacza to, że nasze cyfrowe klucze są automatycznie kopiowane w ramach ekosystemu, z którego korzystamy na co dzień:
- Użytkownicy sprzętu Apple mają swoje klucze zapisane w Pęku kluczy iCloud.
- W przypadku urządzeń z Androidem za kopie odpowiada Menedżer haseł Google.
- Na komputerach z Windowsem klucze mogą trafiać do bezpiecznej chmury konta Microsoft.
Gdy kupimy nowy telefon, wystarczy zalogować się na swoje konto Google lub Apple ID. Wszystkie utworzone wcześniej klucze dostępu automatycznie pobiorą się na nowy sprzęt i będą od razu gotowe do użycia. Warto podkreślić, że ta synchronizacja jest w pełni szyfrowana (end-to-end). Ani Google, ani Apple nie mają technicznej możliwości podglądania naszych kluczy.
Jeśli z jakiegoś powodu nie chcemy polegać na chmurze producenta systemu, możemy wykorzystać zewnętrzne menedżery haseł, takie jak popularny Bitwarden czy 1Password. Narzędzia te posiadają już pełne wsparcie dla kluczy i pozwalają na ich bezpieczne przechowywanie oraz synchronizowanie między różnymi platformami – na przykład między telefonem z Androidem a komputerem Mac.
A co w sytuacji przejściowej, gdy stary telefon stracimy, nowy nie jest jeszcze skonfigurowany, a my musimy pilnie zalogować się na ważne konto? Tutaj z pomocą przychodzą metody awaryjne. Portale internetowe wdrażają Passkeys stopniowo, co oznacza, że podczas konfiguracji klucza dostępu nasze stare hasło nie jest od razu bezpowrotnie kasowane. W razie problemów sprzętowych na ekranie logowania możemy wybrać opcję „Użyj innej metody” i zalogować się tradycyjnym hasłem oraz kodem weryfikacji dwuetapowej. Klucze dostępu dają nam maksymalne bezpieczeństwo, ale nie odcinają dróg ratunkowych na wypadek pojawienia się kłopotów.
Podsumowanie
Klucze dostępu przestały być ciekawostką. To realne, działające i dojrzałe rozwiązanie, które na naszych oczach staje się nowym standardem bezpieczeństwa w internecie. Z każdym miesiącem lista platform wspierających to rozwiązanie wydłuża się o kolejne globalne marki oraz lokalne usługi. Bez problemu zalogujemy się w ten sposób do kont Google, Apple, Microsoft, ale też na platformach takich jak Allegro, X, TikTok, PayPal czy w popularnych menedżerach haseł.
Oczywiście pełne pożegnanie z tradycyjnymi hasłami zajmie globalnie jeszcze trochę czasu, ponieważ starsze serwisy internetowe wymagają gruntownej przebudowy swoich systemów autoryzacji. Nie musimy jednak czekać, aż tradycyjne klucze znikną całkowicie. Warto zacząć już dziś – od zabezpieczenia swoich najważniejszych, głównych kont, takich jak skrzynka e-mail czy profile w mediach społecznościowych. Aktywacja kluczy dostępu to zaledwie kilka kliknięć, które pozwalają wejść na najwyższy dostępny poziom cyfrowego bezpieczeństwa, przy zachowaniu pełnej wygody.
Tomasz Sławiński
