Passkeys czy hasła: czy klucze dostępu są bezpieczniejsze?

Passkeys czy hasła: krótka odpowiedź bez uproszczeń

Klucze dostępu (passkeys) stanowią technologiczną odpowiedź na największe słabości tradycyjnych haseł. Pod względem odporności na masowe wycieki baz danych oraz ataków wyłudzających (phishing), passkeys są zdecydowanie bezpieczniejszym rozwiązaniem. Wykorzystują szyfrowanie asymetryczne, co uniemożliwia przejęcie danych logowania na fałszywych stronach internetowych. ^[1]

Bezpieczeństwo tożsamości cyfrowej nie zależy jednak od samego mechanizmu logowania. Wdrożenie kluczy dostępu przenosi ciężar ochrony z pamięci człowieka na bezpieczeństwo fizycznego urządzenia, procedury odzyskiwania dostępu oraz zarządzenie ekosystemem chmurowym. Klucz dostępu jest bezpieczniejszy od hasła, ale niewłaściwie skonfigurowany proces wdrożenia może stworzyć nowe luki w ochronie konta.

Hasła nie znikną całkowicie z dnia na dzień. Wiele serwisów nadal nie wspiera standardów WebAuthn i FIDO2. Decyzja o przejściu na passkeys wymaga więc zrozumienia ich działania, uniknięcia typowych błędów konfiguracji i właściwego wyboru zapasowych metod uwierzytelniania.

Błąd 1: traktowanie passkey jak zwykłego hasła zapisanego w telefonie

Jak działa klucz dostępu

Klucz dostępu opiera się na kryptografii klucza publicznego. Podczas tworzenia konta generowana jest para unikalnych kluczy: publiczny oraz prywatny. Klucz publiczny zostaje przesłany do serwisu internetowego i nie musi być chroniony tajemnicą. Klucz prywatny zapisywany jest wyłącznie w bezpiecznej przestrzeni sprzętowej urządzenia (np. Secure Enclave) lub w szyfrowanym menedżerze haseł. ^[3]

Logowanie nie polega na przesyłaniu tajnych danych przez sieć. Serwer wysyła do urządzenia wyzwanie kryptograficzne (challenge), które urządzenie podpisuje za pomocą klucza prywatnego. Odblokowanie klucza prywatnego wymaga lokalnego uwierzytelnienia użytkownika za pomocą biometrii (np. Touch ID, Face ID) lub kodu PIN. Serwer weryfikuje podpis kluczem publicznym i udziela dostępu.

Skutek błędnego założenia

Niezrozumienie tej architektury prowadzi do fałszywego przekonania, że skanowanie twarzy lub odcisku palca oznacza wysyłanie danych biometrycznych do właściciela strony. W rzeczywistości biometria służy wyłącznie do lokalnego odblokowania bezpiecznego modułu w telefonie lub komputerze. Serwis internetowy nigdy nie otrzymuje informacji o odcisku palca ani rysach twarzy.

Innym skutkiem jest lęk przed wyciekiem danych z serwisu. W przypadku włamania do bazy danych serwera, napastnicy zdobywają jedynie klucze publiczne. Dla hakera są one bezużyteczne, ponieważ nie pozwalają na zalogowanie się na konto ani na odtworzenie klucza prywatnego.

Lepsze podejście

Należy traktować passkey jako cyfrowy odpowiednik fizycznego klucza do drzwi. Weryfikacja tożsamości odbywa się automatycznie na poziomie sprzętowym. Klucze dostępu są na stałe powiązane z domeną internetową usługi (np. login.gov.pl). Nawet jeśli użytkownik wejdzie na idealną podróbkę strony tworzoną przez oszustów, przeglądarka internetowa nie wyśle podpisu kryptograficznego, ponieważ domena oszustów nie zgadza się z domeną przypisaną do klucza. ^[2]

Błąd 2: uznanie, że passkeys eliminują wszystkie zagrożenia

Klucze dostępu niemal całkowicie eliminują ryzyko przejęcia konta wynikające z wyłudzenia formularza logowania lub użycia prostego hasła. Nie są jednak bezwzględną ochroną przed wszystkimi wektorami ataków socjotechnicznych oraz technicznych.

Atakujący mogą ominąć ochronę zapewnianą przez passkeys poprzez kradzież aktywnej sesji użytkownika (session hijacking). Następuje to po zalogowaniu, kiedy w przeglądarce tworzone są pliki cookie sesji. Jeśli urządzenie zostanie zainfekowane złośliwym oprogramowaniem typu infostealer, złośliwy kod może wykraść te pliki i przekazać je przestępcom, dając im dostęp do konta bez konieczności przechodzenia procesu logowania.

Innym zagrożeniem jest fizyczny dostęp do nieodpowiednio zabezpieczonego urządzenia. Jeśli kod PIN służący do odblokowania ekranu smartfona lub laptopa jest zbyt prosty (np. 1234) i zostanie podpatrzony przez osoby trzecie, nieuprawniona osoba zyska możliwość logowania się kluczami dostępu zapisanymi na tym urządzeniu.

Wektor ataku może również wykorzystywać manipulację socjotechniczną. Przestępca podszywający się pod wsparcie techniczne może skłonić użytkownika do zatwierdzenia żądania logowania na dodatkowym urządzeniu lub zainstalowania oprogramowania do zdalnego pulpitu. Passkey weryfikuje tożsamość urządzenia i użytkownika, ale nie sprawdza intencji intruza sterującego komputerem zdalnie.

Aby skutecznie chronić konta po wdrożeniu passkeys, warto stosować zintegrowane zasady bezpieczeństwa:

• Używać złożonych haseł blokady ekranu (minimum 6 cyfr lub ciąg alfanumeryczny) zamiast domyślnych PIN-ów.
• Regularnie aktualizować system operacyjny oraz przeglądarki internetowe w celu ł
• Regularnie aktualizować system operacyjny oraz przeglądarki internetowe w celu łatania luk bezpieczeństwa.
• Chronić urządzenia przed złośliwym oprogramowaniem i nie instalować aplikacji z nieznanych źródeł.
• Sprawdzać aktywne sesje oraz zalogowane urządzenia w ustawieniach najważniejszych kont.
• Nie zatwierdzać niespodziewanych próśb o logowanie ani parowanie nowego urządzenia, nawet jeśli komunikat wygląda wiarygodnie.

Szczególną ostrożność trzeba zachować przy komunikatach o „pilnym potwierdzeniu konta”. Passkey nie ochroni osoby, która pod presją czasu sama zatwierdzi logowanie na urządzeniu atakującego lub udostępni ekran podczas zdalnej pomocy.

Dobrym nawykiem jest blokowanie urządzenia natychmiast po odejściu od biurka i używanie automatycznej blokady ekranu. Na komputerze współdzielonym lub publicznym nie powinno się zapisywać kluczy dostępu ani pozostawiać aktywnej sesji w przeglądarce.

Jeżeli telefon lub laptop zostanie zgubiony, priorytetem jest zdalne zablokowanie albo wymazanie urządzenia, a następnie sprawdzenie sesji i metod logowania do kluczowych usług. Dotyczy to przede wszystkim konta e-mail, ponieważ często służy ono do odzyskiwania dostępu do pozostałych kont.

Passkeys ograniczają jedną z najgroźniejszych klas ataków, ale nie zastępują podstawowej higieny cyfrowej. Bezpieczne urządzenie, rozsądne procedury odzyskiwania konta i kontrola aktywnych sesji pozostają równie istotne jak sam klucz dostępu.

Błąd 3: wdrażanie passkeys bez planu odzyskiwania konta

Passkey jest wygodny tak długo, jak długo użytkownik ma dostęp do urządzenia, menedżera haseł lub konta, z którym klucz został zsynchronizowany. Problem pojawia się przy zgubieniu telefonu, awarii laptopa, wymianie sprzętu albo utracie dostępu do konta Apple, Google czy Microsoft używanego do synchronizacji kluczy. ^[4]

Dlaczego to szkodzi

Brak procedury odzyskiwania może doprowadzić do sytuacji, w której właściciel konta nie potrafi udowodnić swojej tożsamości szybciej niż osoba atakująca. Dotyczy to szczególnie poczty elektronicznej, bankowości, kont zakupowych, usług chmurowych i serwisów, w których zapisano dokumenty lub dane firmowe.

Najczęstszy błąd polega na pozostawieniu tylko jednego sposobu logowania: passkey zapisanej na jednym telefonie. Gdy urządzenie zostanie uszkodzone tuż przed podróżą, a konto wymaga dodatkowego potwierdzenia, odzyskanie dostępu może wymagać wielodniowej procedury albo kontaktu z obsługą serwisu.

Jak rozpoznać problem

Warto zadać sobie trzy proste pytania:

• Czy zaloguję się do konta, jeśli nie mam obecnego telefonu?
• Czy mam dostęp do adresu e-mail i numeru telefonu używanych do odzyskiwania?
• Czy wiem, gdzie znajdują się kody zapasowe lub drugi klucz dostępu?

Jeżeli odpowiedź na któreś z nich brzmi „nie wiem”, konfiguracja nie jest jeszcze kompletna. Sam fakt, że passkey synchronizuje się między urządzeniami, nie zwalnia z przygotowania alternatywy. Synchronizacja zależy bowiem od dostępu do konkretnego ekosystemu i poprawnie zabezpieczonego konta głównego.

Lepsze rozwiązanie: odzyskiwanie bez jednego punktu awarii

Dla najważniejszych usług warto skonfigurować co najmniej dwie niezależne drogi odzyskania dostępu. Nie muszą to być dwa hasła. Bezpieczniejszy zestaw może obejmować passkey na głównym urządzeniu, drugi klucz na zapasowym komputerze lub fizycznym kluczu sprzętowym oraz kody odzyskiwania przechowywane poza telefonem.

Kody zapasowe należy traktować jak klucze do sejfu. Nie powinny trafiać do galerii zdjęć, niezaszyfrowanych notatek ani wiadomości wysłanej do samego siebie. Lepszym rozwiązaniem jest wydruk przechowywany w bezpiecznym miejscu albo zapis w zaufanym, szyfrowanym menedżerze haseł.

Przykład: osoba korzysta z passkey do poczty, ale ma ją wyłącznie na telefonie. Przed oddaniem telefonu do serwisu powinna sprawdzić, czy może zalogować się z komputera, czy ma aktualny adres odzyskiwania i czy kody awaryjne są dostępne. Dopiero wtedy wymiana urządzenia nie stanie się kryzysem dostępowym.

Po zmianie numeru telefonu, adresu e-mail lub głównego urządzenia dobrze jest od razu zaktualizować metody odzyskiwania. Stary numer należący już do innej osoby nie powinien pozostać przypisany do żadnego ważnego konta.

Błąd 4: pozostawienie starych haseł i słabych metod logowania bez kontroli

Dodanie passkey do konta nie zawsze oznacza usunięcie hasła. W wielu serwisach klucz dostępu działa obok dotychczasowego hasła, kodów SMS, pytań pomocniczych albo starego adresu e-mail do odzyskiwania. Bez przeglądu tych metod bezpieczeństwo konta może nadal zależeć od najsłabszego elementu.

Dlaczego to szkodzi

Atakujący nie musi przełamywać passkey, jeśli może skorzystać ze starego, powtarzanego hasła lub przejąć konto przez słabo chronioną procedurę odzyskiwania. Dotyczy to zwłaszcza kont zakładanych wiele lat temu, do których użytkownik loguje się rzadko.

Przykładowo: użytkownik tworzy passkey do sklepu internetowego, ale pozostawia hasło używane wcześniej również w innych serwisach. Jeśli to hasło wycieknie z innej usługi, napastnik może spróbować zalogować się tradycyjną metodą, o ile sklep nadal ją akceptuje.

Jak rozpoznać problem

Wejdź do ustawień bezpieczeństwa konta i sprawdź, jakie metody logowania są faktycznie aktywne. Szukaj między innymi:

• haseł, których nie zmieniano od dawna;
• numerów telefonów, z których już nie korzystasz;
• starych adresów e-mail do odzyskiwania;
• nieznanych urządzeń lub aplikacji z dostępem do konta;
• kodów SMS ustawionych jako jedyna metoda awaryjna;
• pytań pomocniczych z odpowiedziami możliwymi do odgadnięcia na podstawie mediów społecznościowych.

Lepsze rozwiązanie: porządkowanie metod dostępu

Jeśli serwis pozwala całkowicie wyłączyć logowanie hasłem po skonfigurowaniu passkey, można rozważyć tę opcję dla kont o wysokiej wartości. Trzeba jednak zrobić to dopiero po przetestowaniu alternatywnego logowania i odzyskiwania dostępu.

Gdy hasło musi pozostać aktywne, powinno być unikalne, długie i zapisane w menedżerze haseł. Nie należy używać go jako „hasła awaryjnego” w kilku usługach. Awaryjne nie znaczy mniej ważne — często właśnie ta metoda staje się celem ataku.

Warto też ograniczyć liczbę metod odzyskiwania do tych, które są aktualne i rzeczywiście kontrolowane. Dwa dobrze zabezpieczone kanały są zwykle lepsze niż pięć zapomnianych opcji pozostawionych „na wszelki wypadek”.

Błąd 5: ignorowanie różnic między kontem prywatnym, służbowym i współdzielonym

Passkeys dobrze sprawdzają się w codziennym użyciu, ale sposób ich wdrożenia powinien zależeć od rodzaju konta. Inne wymagania ma prywatna skrzynka pocztowa, inne konto pracownika w firmie, a jeszcze inne konto używane przez kilka osób w małej organizacji lub gospodarstwie domowym.

Konto prywatne: wygoda jest ważna, ale nie kosztem odzyskiwania

W przypadku kont prywatnych kluczowy jest dostęp z własnych urządzeń oraz możliwość odzyskania konta po ich wymianie. Największą wartość mają tu passkeys dla poczty, konta Apple, Google lub Microsoft, bankowości, portali zakupowych i menedżera haseł.

Dobrym rozwiązaniem jest posiadanie przynajmniej jednego zapasowego sposobu dostępu, który nie zależy od aktualnie używanego telefonu. Może to być drugi osobisty komputer, fizyczny klucz bezpieczeństwa albo bezpiecznie przechowywane kody odzyskiwania.

Konto służbowe: potrzebne są zasady firmy

Na koncie firmowym nie powinno się samodzielnie zapisywać kluczy dostępu na prywatnych urządzeniach, jeśli polityka organizacji tego nie dopuszcza. Pracodawca musi wiedzieć, kto ma dostęp, jak odebrać uprawnienia po zmianie stanowiska oraz jak odzyskać konto pracownika po utracie sprzętu.

W środowisku służbowym ważne są rozwiązania zarządzane centralnie: firmowe urządzenia, kontrola zgodności sprzętu, możliwość cofnięcia dostępu i rejestrowanie zmian metod logowania. Passkey może być bardzo dobrym mechanizmem uwierzytelniania, ale nie zastępuje zarządzania tożsamością w organizacji.

Przykład: pracownik zapisuje passkey do firmowej poczty w prywatnym menedżerze haseł, a następnie odchodzi z firmy. Nawet jeśli hasło do skrzynki zostanie zmienione, organizacja powinna upewnić się, że wszystkie zarejestrowane klucze dostępu oraz aktywne sesje zostały usunięte.

Konto współdzielone: nie udostępniaj jednego klucza wszystkim

Wspólne konto do panelu sklepu, mediów społecznościowych firmy czy domowej usługi streamingowej często prowadzi do niebezpiecznej praktyki: kilka osób korzysta z tych samych danych logowania. Przy passkeys problem nie znika — może jedynie przyjąć formę dodawania wielu prywatnych urządzeń bez kontroli.

Lepszym rozwiązaniem jest utworzenie osobnych kont dla poszczególnych osób i nadanie im odpowiednich ról. W panelu sklepu jedna osoba może zarządzać zamówieniami, inna fakturami, a administrator pełnym dostępem. Dzięki temu można odebrać uprawnienia konkretnej osobie bez zmiany dostępu wszystkim pozostałym.

Jeśli usługa nie obsługuje kont indywidualnych, należy ustalić właściciela konta, listę dopuszczonych urządzeń oraz procedurę odebrania dostępu. W takim przypadku szczególnie istotne jest usuwanie kluczy dostępu po zakończeniu współpracy.

Co sprawdzić przed decyzją: praktyczna checklista przejścia na passkeys

Przejście na klucze dostępu nie musi odbywać się jednego dnia. Najrozsądniej zacząć od kilku najważniejszych kont, przetestować logowanie na używanych urządzeniach, a następnie uporządkować starsze metody dostępu.

• Wybierz priorytetowe konta. Zacznij od poczty e-mail, konta używanego do odzyskiwania innych usług, menedżera haseł i usług finansowych.
• Sprawdź zgodność urządzeń. Upewnij się, że telefon, komputer i przeglądarka obsługują passkeys oraz że wiesz, gdzie są nimi zarządzane.
• Dodaj zapasowy sposób dostępu. Skonfiguruj drugi klucz, fizyczny klucz bezpieczeństwa albo pobierz kody odzyskiwania.
• Przetestuj odzyskiwanie. Zanim usuniesz starą metodę logowania, sprawdź, czy potrafisz zalogować się z drugiego urządzenia.
• Przejrzyj stare hasła. Usuń hasła, których serwis nie wymaga, albo zastąp je unikalnymi hasłami przechowywanymi w menedżerze.
• Zweryfikuj dane odzyskiwania. Usuń nieaktualne numery telefonu i adresy e-mail, a pozostaw tylko kontrolowane kanały.
• Sprawdź listę zarejestrowanych kluczy. Usuń passkeys przypisane do sprzedanych, zgubionych lub służbowych urządzeń, do których nie masz już prawa dostępu.
• Rozdziel dostęp prywatny i zawodowy. Nie mieszaj firmowych kluczy dostępu z prywatnymi kontami bez wyraźnej zgody i zasad organizacji.
• Nie współdziel jednego konta bez potrzeby. Tam, gdzie to możliwe, twórz osobne konta i role dla poszczególnych użytkowników.
• Zapisz procedurę awaryjną. Ustal, co zrobisz po utracie urządzenia: z jakiego konta się zalogujesz, gdzie są kody odzyskiwania i kto może pomóc w przypadku konta służbowego.

Jak wykonać checklistę bez chaosu

Nie trzeba od razu zmieniać ustawień we wszystkich serwisach. Lepiej podzielić konta na trzy grupy: krytyczne, ważne i pozostałe. Do krytycznych należą przede wszystkim skrzynka e-mail, konto główne w ekosystemie urządzeń oraz usługi finansowe. To od nich najlepiej zacząć.

1. Dodaj passkey i nie usuwaj jeszcze starej metody. Najpierw potwierdź, że nowe logowanie działa na podstawowym urządzeniu.
2. Sprawdź dostęp z drugiego miejsca. Zaloguj się na zapasowym komputerze albo przy użyciu drugiego zatwierdzonego klucza.
3. Zweryfikuj ustawienia odzyskiwania. Upewnij się, że adres e-mail, numer telefonu i kody awaryjne są aktualne.
4. Dopiero potem ogranicz stare metody. Usuń niepotrzebne hasło, numer lub urządzenie wyłącznie wtedy, gdy masz sprawdzoną alternatywę.
5. Zapisz datę przeglądu. Przy ważnych kontach dobrze jest wracać do listy metod logowania po zmianie telefonu, pracy, numeru telefonu lub dostawcy poczty.

Praktyczna zasada jest prosta: passkey powinien ułatwiać bezpieczne logowanie, a nie tworzyć sytuację, w której utrata jednego urządzenia odcina dostęp do całego cyfrowego życia. Dlatego przed każdą zmianą warto odpowiedzieć konkretnie na dwa pytania: „z czego zaloguję się, jeśli tego urządzenia nie będzie?” oraz „które stare metody nadal pozwalają wejść na konto?”.

Źródła

• [1] FIDO Alliance / National Cyber Security Centre – Passkeys are more secure than traditional ways to log in ↑
• [2] Google for Developers – Passkeys | Google for Developers ↑
• [3] Microsoft Support – What are passkeys and why they matter ↑
• [4] FIDO Alliance – Passkeys | FIDO Alliance ↑