Un passkey (cheie de acces) este o metodă de conectare care înlocuiește parola cu o pereche de chei criptografice. Una dintre chei, cea privată, rămâne pe dispozitivul tău și nu pleacă niciodată de acolo; cealaltă, cea publică, este păstrată de site. Când te conectezi, deblochezi passkey-ul cu amprenta, cu fața sau cu PIN-ul telefonului, iar dispozitivul dovedește site-ului că deține cheia privată, fără să o trimită.
Rezultatul este o conectare mai rapidă decât cu parola și, în același timp, mult mai sigură: nu ai ce uita, nu ai ce refolosi și, mai ales, nu ai ce da pe o pagină falsă. Mai jos vezi cum funcționează mecanismul, unde stau cheile și ce limite are încă tehnologia.
Problema pe care o rezolvă passkey-urile
Passkey-urile rezolvă cele trei slăbiciuni fundamentale ale parolelor: pot fi ghicite, pot fi refolosite și pot fi date de bunăvoie unui impostor. Toate trei vin din același fapt: parola este un secret comun, cunoscut atât de tine, cât și de site.
Un secret comun trebuie transmis la fiecare conectare, deci poate fi interceptat sau cerut de o pagină falsă. Trebuie și stocat de site, deci poate scăpa într-o scurgere de date. Și, pentru că trebuie ținut minte de un om, tinde să fie scurt și refolosit. Problemele sunt descrise pe larg în articolul despre parole puternice.
Passkey-ul elimină secretul comun. Site-ul nu știe nimic din ce ar putea fi folosit pentru a te imita, iar tu nu introduci nimic ce ar putea fi copiat.
Cum funcționează criptografia din spate
Passkey-ul se bazează pe criptografia cu chei publice (asimetrică), aceeași familie de tehnici care securizează site-urile HTTPS. Ideea centrală: ce semnează cheia privată poate fi verificat cu cheia publică, dar cheia publică nu poate fi folosită pentru a semna sau pentru a reconstitui cheia privată.
Înregistrarea, o singură dată
- Pe site, alegi „Creează un passkey”.
- Dispozitivul tău generează o pereche nouă de chei, specifică acelui site și acelui cont.
- Cheia privată este salvată în zona protejată a dispozitivului sau în managerul tău de parole.
- Cheia publică este trimisă site-ului, împreună cu un identificator, și salvată în dreptul contului tău.
Conectarea, de fiecare dată
- Site-ul îți trimite o provocare: un șir de date aleatorii, diferit la fiecare conectare.
- Dispozitivul îți cere amprenta, fața sau PIN-ul, ca să confirme că ești tu și că ești prezent.
- Cheia privată semnează provocarea, iar semnătura este trimisă înapoi.
- Site-ul verifică semnătura cu cheia publică salvată. Dacă se potrivește, ești conectat.
Biometria nu este trimisă nicăieri: ea doar deblochează cheia pe dispozitiv. Semnătura este valabilă o singură dată, pentru acea provocare, deci nu poate fi refolosită de cineva care ar intercepta-o. Diferența dintre criptarea simetrică și cea asimetrică, pe care se sprijină tot acest mecanism, este explicată în Criptografia pe scurt: criptare simetrică, asimetrică și chei.
Standardele care fac totul compatibil
Passkey-urile nu aparțin unei singure companii. Ele sunt construite pe standarde deschise: WebAuthn, publicat de consorțiul W3C pentru browsere, și CTAP, dezvoltat de alianța FIDO pentru comunicarea cu dispozitivele de autentificare. Împreună sunt cunoscute ca FIDO2, aceeași bază folosită și de cheile fizice de securitate.
De ce un passkey nu poate fi furat prin phishing
Un passkey este legat criptografic de domeniul exact pentru care a fost creat, iar browserul este cel care verifică această legătură, nu tu. Aici este diferența decisivă față de parole și coduri.
Dacă ajungi pe o pagină falsă, la o adresă care seamănă cu a băncii tale, browserul caută un passkey pentru acea adresă și nu găsește niciunul. Nu ai ce să introduci și nu ai ce să dai, oricât de convingătoare ar fi pagina. Atacatorul nu poate nici măcar să ceară o semnătură pentru domeniul real, pentru că browserul raportează adresa reală a paginii din care vine cererea.
| Situație | Parolă | Parolă + cod din aplicație | Passkey |
|---|---|---|---|
| Site-ul este spart și baza de date furată | parola poate fi spartă | parola poate fi spartă, contul rămâne protejat de cod | doar chei publice, inutile pentru atacator |
| Pagină falsă de phishing | parola este dată | parola și codul pot fi retransmise | nu funcționează |
| Refolosire pe mai multe site-uri | frecventă | frecventă | imposibilă, fiecare site are cheie proprie |
| Ghicire sau forță brută | posibilă | parțial | imposibilă în practică |
| Efort la conectare | tastare | tastare plus cod | o atingere sau o privire |
Pentru cine vrea să înțeleagă cum arată paginile false și de ce sunt atât de convingătoare, ghidul despre Phishingul: cum recunoști mesajele și site-urile false arată exemplele tipice. Cu passkey-uri, aceste capcane își pierd efectul pentru conturile protejate.
Unde sunt păstrate passkey-urile
Un passkey poate sta pe un singur dispozitiv sau poate fi sincronizat între dispozitivele tale, iar alegerea influențează atât comoditatea, cât și recuperarea. Ambele variante folosesc același mecanism criptografic.
| Tip de passkey | Unde stă cheia privată | Avantaje | Limite |
|---|---|---|---|
| Sincronizat | în managerul de parole al sistemului sau într-unul dedicat, criptat cap la cap | disponibil pe toate dispozitivele tale, nu se pierde odată cu telefonul | depinde de securitatea contului care sincronizează |
| Legat de dispozitiv | doar pe un dispozitiv anume sau pe o cheie fizică | nu poate fi copiat nicăieri | se pierde odată cu dispozitivul |
Passkey-urile sincronizate sunt varianta folosită de majoritatea oamenilor. Cheia privată circulă între dispozitive doar criptată, cu chei pe care furnizorul serviciului de sincronizare nu le cunoaște, după modelul descris în articolul despre sincronizarea datelor. Asta mută însă greutatea pe contul care face sincronizarea: el trebuie protejat cu o parolă puternică și cu al doilea factor.
Passkey-urile legate de o cheie fizică de securitate sunt preferate în mediile cu risc ridicat, pentru conturi de administrare sau pentru persoane expuse public.
Conectarea pe un calculator străin
Dacă vrei să te conectezi pe un calculator care nu are passkey-ul tău, pagina îți poate afișa un cod QR. Îl scanezi cu telefonul, confirmi cu amprenta, iar telefonul semnează provocarea. Pentru a preveni atacurile de la distanță, telefonul și calculatorul verifică prin Bluetooth că se află unul lângă altul; cineva care ți-ar trimite doar o poză a codului QR nu ar putea folosi metoda.
Cum creezi și folosești un passkey
Crearea unui passkey durează mai puțin de un minut și se face din setările de securitate ale contului. Nu trebuie să renunți imediat la parolă; cele două pot coexista o vreme.
- Asigură-te că telefonul sau calculatorul are blocare de ecran cu PIN sau biometrie și că sistemul de operare este actualizat.
- Intră în setările de securitate ale contului și caută opțiunea „Passkey” sau „Cheie de acces”.
- Confirmă crearea cu amprenta, fața sau PIN-ul.
- Verifică în managerul de parole că passkey-ul a apărut în lista ta.
- La următoarea conectare, alege „Conectează-te cu passkey” și confirmă.
Sfat: Creează câte un passkey pe cel puțin două dispozitive diferite pentru conturile foarte importante, de exemplu pe telefon și pe o cheie fizică. Dacă unul se pierde, celălalt îți păstrează accesul.
Ce se întâmplă dacă pierzi telefonul
Dacă passkey-urile tale sunt sincronizate, pierderea telefonului nu înseamnă pierderea lor: le recuperezi pe un dispozitiv nou după ce te conectezi la contul care le sincronizează. Cine găsește telefonul nu le poate folosi fără PIN-ul sau biometria ta.
Situația este diferită pentru passkey-urile legate strict de un dispozitiv. Ele dispar odată cu el, iar accesul se recuperează prin metodele alternative ale contului: un alt passkey, o cheie fizică de rezervă, coduri de recuperare sau procedura oficială a serviciului. De aceea este important să nu ai o singură metodă de conectare pentru conturile esențiale.
Important: Passkey-ul este atât de sigur cât este procedura de recuperare a contului. Dacă cineva poate reseta accesul doar cu o adresă de e-mail slab protejată, securitatea passkey-ului este ocolită. Protejează e-mailul principal cu aceeași atenție.
Limitele actuale ale passkey-urilor
Passkey-urile sunt o tehnologie matură, dar adoptarea lor nu este încă uniformă, iar câteva aspecte practice merită cunoscute înainte de a renunța complet la parole.
- Nu toate site-urile le acceptă: multe servicii încă folosesc doar parole și coduri, așa că managerul de parole rămâne necesar.
- Mutarea între ecosisteme: trecerea passkey-urilor dintr-un manager în altul este posibilă doar acolo unde ambele suportă formatele standard de transfer, aflate încă în curs de răspândire.
- Parola rămâne adesea în paralel: multe servicii păstrează parola ca metodă de rezervă, deci aceasta trebuie să rămână puternică și unică până la eliminarea ei.
- Dispozitive partajate: pe un calculator folosit de mai multe persoane, fiecare trebuie să aibă propriul cont de utilizator, altfel passkey-urile salvate pot fi folosite de oricine are acces la sesiune.
Chiar și cu aceste limite, passkey-ul este astăzi cea mai sigură metodă de conectare disponibilă publicului larg. Locul lui în strategia generală de protecție a conturilor, alături de parole și de autentificarea în doi pași, este prezentat în ghidul complet de securitate online.
Ideile principale despre passkey-uri
Passkey-ul înlocuiește un secret comun și vulnerabil, parola, cu o pereche de chei în care partea secretă nu părăsește niciodată dispozitivul tău. Legătura criptografică dintre passkey și adresa site-ului îl face practic imun la phishing, iar site-ul nu mai are ce pierde într-o scurgere de date.
De reținut:
- cheia privată stă la tine, site-ul are doar cheia publică;
- biometria doar deblochează cheia local, nu este trimisă nicăieri;
- browserul verifică adresa, deci un site fals nu poate folosi passkey-ul;
- passkey-urile sincronizate nu se pierd odată cu telefonul;
- păstrează cel puțin două metode de acces pentru conturile importante.
Întrebări frecvente
Passkey-ul înseamnă că site-ul îmi stochează amprenta?
Nu. Amprenta sau fața sunt verificate doar pe dispozitivul tău; site-ul primește o semnătură digitală și nu are acces la datele biometrice.
Pot folosi un passkey fără telefon?
Da. Passkey-urile pot fi salvate și pe calculator, într-un manager de parole sau pe o cheie fizică de securitate, deblocate cu PIN-ul sau biometria acelui dispozitiv.
Mai am nevoie de parolă dacă am un passkey?
Pentru moment, de obicei da, pentru că multe servicii păstrează parola ca metodă de rezervă. Ea trebuie să rămână lungă și unică, iar unele servicii îți permit deja să o elimini complet.
Ce se întâmplă dacă cineva îmi fură telefonul deblocat?
Persoana ar putea folosi passkey-urile doar dacă dispozitivul îi permite să treacă de confirmarea cu PIN sau biometrie, care este cerută la fiecare utilizare. Oricum, schimbă imediat parola contului de sincronizare și deconectează dispozitivul de la distanță.
Funcționează passkey-urile între sisteme de operare diferite?
Da, pentru conectare: poți folosi telefonul pentru a te conecta pe un calculator cu alt sistem, prin codul QR. Sincronizarea automată funcționează însă doar între dispozitivele care folosesc același manager de parole.
