Passkeys permit autentificarea într-un cont fără introducerea unei parole pentru acea operațiune. Ele folosesc criptografie cu cheie publică și pot fi autorizate prin mecanismul de deblocare al dispozitivului. Termenul nu desemnează o parolă mai lungă, memorată automat. FIDO Alliance descrie passkeys ca acreditări construite pe standarde de autentificare, cu protecție împotriva phishingului și fără transmiterea unei parole comune între utilizator și serviciu.
Experiența poate semăna cu deblocarea telefonului prin amprentă, recunoaștere facială sau cod local, dar verificarea contului are un mecanism separat. Dispozitivul folosește o cheie criptografică pentru a răspunde cererii serviciului. Biometria autorizează folosirea acreditării pe aparat; imaginea feței sau amprenta nu trebuie trimisă site-ului pentru a deveni parola contului. Aceste roluri sunt distincte în arhitectura descrisă de FIDO.
Ce păstrează dispozitivul și ce păstrează serverul
La crearea unei passkey este generată o pereche de chei asociată contului și serviciului. Cheia publică este înregistrată de server. Cheia privată este protejată de autentificator sau de furnizorul care gestionează acreditarea. Explicația Apple subliniază că serverul nu află cheia privată. Acreditarea se folosește pentru demonstrarea posesiei cheii, în locul comparării unei parole introduse cu un secret partajat.
Autentificarea folosește o cerere a serviciului și un răspuns criptografic verificabil prin cheia publică. Serviciul poate verifica răspunsul fără să primească secretul utilizat pentru producerea lui. Această separare schimbă tipul informațiilor stocate pentru autentificare. O bază de date cu chei publice nu oferă, prin acele chei, echivalentul unor parole care pot fi tastate direct pentru acces.
Standardul WebAuthn definește interacțiunea dintre aplicația web și autentificator, iar familia de standarde FIDO include și comunicarea cu autentificatoare externe. Implementările pot utiliza dispozitivul propriu sau chei de securitate compatibile. Standardizarea urmărește interoperabilitatea, însă disponibilitatea unei passkey într-un anumit cont depinde și de integrarea realizată de serviciul respectiv și de suportul oferit de dispozitive și aplicații.
De ce domeniul contează pentru phishing
O passkey este asociată serviciului pentru care a fost creată. În mecanismul WebAuthn, acreditarea nu este oferită unui alt domeniu doar pentru că pagina acestuia seamănă vizual cu pagina de autentificare originală. Această legătură este esențială pentru rezistența la phishing. O parolă tastată poate fi copiată pe o pagină falsă; acreditarea criptografică are condiții diferite de utilizare.
FIDO precizează și faptul că utilizatorul nu trebuie să inventeze și să memoreze secretul criptografic. Pentru fiecare serviciu este creată o acreditare distinctă. Dispare astfel necesitatea reutilizării aceleiași parole pentru autentificarea realizată prin passkey. Această proprietate privește acreditările respective și nu schimbă automat metodele vechi pe care utilizatorul sau serviciul le păstrează pentru același cont.
Autentificarea fără parolă poate coexista cu alte metode, inclusiv cu parola inițială și cu fluxurile de recuperare. Documentația Google tratează explicit parcursurile alternative ale utilizatorului. Prezența unei passkey nu dovedește că toate modalitățile de acces la cont au fost eliminate sau au aceeași protecție. Implementarea serviciului stabilește când apare fiecare opțiune și ce verificări suplimentare sunt cerute.
Passkeys sincronizate și acreditări legate de un dispozitiv
FIDO distinge passkeys sincronizate de cele care rămân legate de un dispozitiv. În primul caz, un furnizor poate face acreditarea disponibilă pe mai multe aparate ale utilizatorului, prin mecanismul său de sincronizare. În al doilea, cheia rămâne în autentificatorul respectiv. Diferența este importantă atât pentru accesul de pe alt aparat, cât și pentru efectul pierderii dispozitivului inițial.
Apple descrie sincronizarea prin iCloud Keychain ca protejată prin criptare de la un capăt la altul. Folosirea sistemului implică cerințele de securitate ale contului Apple, inclusiv autentificarea cu doi factori. Aceste detalii descriu implementarea acelui furnizor. Nu trebuie presupus că orice manager de acreditări are exact aceleași proceduri de activare, sincronizare, recuperare sau adăugare a unui dispozitiv nou.
O cheie de securitate hardware poate găzdui acreditări care nu sunt sincronizate printr-un cont de platformă. Posibilitatea de a adăuga mai multe acreditări pentru același cont depinde de serviciu. O acreditare disponibilă pe un al doilea autentificator poate oferi un alt traseu de acces, dar nu este o copie necontrolată a cheii private făcută de serverul site-ului.
Autentificarea de pe un alt aparat
Documentația Google prezintă și autentificarea între dispozitive. Un utilizator poate folosi o passkey de pe telefon pentru a autoriza accesul pe un alt aparat compatibil, inclusiv printr-un flux cu cod QR. Această posibilitate nu înseamnă că acreditarea trebuie transferată permanent pe calculatorul respectiv. Operațiunea poate confirma autentificarea folosind dispozitivul care deține cheia.
Implementările pentru folosirea între dispozitive includ verificări ale proximității, prin mecanismele compatibile ale platformei. Apple menționează posibilitatea utilizării passkeys și pe dispozitive din afara ecosistemului propriu aflate în apropiere. Cerințele concrete de conectivitate și interacțiune trebuie citite pentru fluxul utilizat. Un simplu cod QR dintr-o imagine nu descrie singur toate condițiile autentificării criptografice.
Recuperarea accesului este un flux separat
Pierderea unui telefon are efecte diferite dacă acreditarea este sincronizată sau există numai pe acel aparat. Google tratează recuperarea contului ca parte distinctă a experienței utilizatorului. Serviciul poate permite autentificarea printr-o altă acreditare deja înregistrată ori poate aplica propriul proces de recuperare. Disponibilitatea acestor opțiuni nu se poate deduce doar din existența inițială a unei passkey.
În cazul unei acreditări sincronizate, accesul la furnizorul de acreditări și procedurile de adăugare a unui dispozitiv nou contează pentru restabilirea accesului. Apple descrie protecții și mecanisme de recuperare pentru iCloud Keychain. Acestea trebuie separate de recuperarea contului de pe site: furnizorul acreditării și serviciul la care se autentifică utilizatorul au funcții diferite.
Documentația Google arată că serviciile trebuie să gestioneze crearea, folosirea și administrarea passkeys în parcursul contului. O acreditare retrasă de pe un serviciu și una eliminată dintr-un manager nu sunt automat aceeași operațiune în toate implementările. Lista metodelor de acces acceptate de cont și lista acreditărilor disponibile pe dispozitiv descriu două niveluri care trebuie corelate.
Protecția criptografică descrisă de FIDO privește autentificarea și evitarea unor atacuri asupra parolelor. Ea nu reprezintă o descriere a întregii securități a unui cont sau a tuturor datelor dintr-un dispozitiv. Recuperarea, metodele alternative și administrarea acreditărilor au propriile condiții. Aceste componente explică de ce funcționarea unei passkey trebuie evaluată împreună cu implementarea concretă a serviciului și a furnizorului de acreditări.