Passkeys ar putea fi ceea ce pune capăt parolelor pentru totdeauna.
Iată cum funcționează, unde le poți folosi și de ce îți protejează conturile.
Sunt sătul de parole. Ele sunt în același timp ușor de ghicit și greu de reținut, iar menținerea lor departe de infractori e o provocare.
Pentru a rezolva această problemă, Fast Identity Online (FIDO) Alliance a dezvoltat passkeys, o tehnologie de autentificare diferită.
Passkeys elimină necesitatea de a introduce adresa de e-mail sau parola în câmpurile de autentificare de pe internet.
Passkeys oferă numeroase avantaje; de exemplu, nu pot fi ghicite sau partajate.
De asemenea, passkeys rezistă unor atacuri de tip phishing deoarece sunt unice pentru site-urile pentru care au fost create și nu funcționează pe clone frauduloase.
Cel mai important, în era breșelor de securitate aproape constante, passkeys nu pot fi furate prin spargerea serverelor sau a bazelor de date ale companiilor, ceea ce le face mult mai puțin valoroase pentru infractori.
Poți folosi passkeys în diverse aplicații și site-uri web chiar acum, dar ce sunt ele de fapt?
Ar trebui să le folosești? Sunt cu adevărat mai sigure decât metodele tradiționale de autentificare? Hai să discutăm despre asta.
Un passkey reprezintă un mod de autentificare în aplicații și site-uri web fără a folosi un nume de utilizator și o parolă.
Este o pereche de chei criptografice generate de dispozitivul tău. O cheie publică și o cheie privată se combină pentru a crea passkey-ul care deblochează contul tău.
Aplicațiile sau site-urile web stochează cheia ta publică unică. Cheia ta privată rămâne doar pe dispozitivul tău.
După autentificarea identității tale de către dispozitiv, cele două chei se combină pentru a-ți acorda accesul la cont.
Ghidul nostru pentru configurarea și utilizarea passkeys îți arată cum să faci acest lucru în practică.
În mod obișnuit, dispozitivul sau software-ul care generează passkeys folosește un instrument de autentificare biometrică, precum FaceID sau TouchID, pentru a-ți verifica identitatea.
Dacă un gestionator de parole este sursa passkey-ului, te poți autentifica în aplicație folosind o parolă principală puternică în loc de autentificarea biometrică.
Passkeys sunt unice pentru fiecare aplicație sau site și sunt stocate în seiful gestionatorului de parole sau în portcheiul dispozitivului tău.
De asemenea, passkeys pot fi sincronizate între dispozitive, ceea ce le face o alegere convenabilă.
Poți folosi passkeys pentru autentificarea pe multe site-uri web, inclusiv Best Buy, eBay, Google, Kayak și PayPal.
Compania de gestionare a parolelor 1Password pune la dispoziție un site comunitar unde utilizatorii pot raporta site-urile care acceptă autentificarea prin passkeys.
În prezent, unele dintre site-urile de pe acea listă mai solicită un nume de utilizator și o parolă tradițională pentru crearea inițială a contului, dar poți configura un passkey pentru autentificările viitoare accesând meniul de setări.
Este încurajator că aplicațiile și companiile importante adoptă atât de rapid passkeys, însă s-ar putea să dureze până când site-urile gestionate de persoane fizice sau companii mici să țină pasul.
Unele site-uri nici măcar nu suportă încă autentificarea multi-factor, așa că ar putea trece ceva timp până când noile standarde de securitate FIDO vor elimina complet parolele.
“Ai passkeys? Minunat. Dar infractorii vor găsi modalități de a ocoli acest gen de protecții și trebuie să discutăm despre cum putem depăși asta.”
Trevor Hilligoss, vicepreședintele SpyCloud Labs la SpyCloud
Permisiunea utilizatorilor de a se autentifica cu un passkey nu e singura actualizare pe care proprietarii de site-uri trebuie să o facă pentru a asigura securitatea.
În 2024, am discutat cu Trevor Hilligoss, cercetător în domeniul securității și vicepreședinte la SpyCloud Labs. El mi-a spus că adoptarea pe scară largă a passkeys este “minunată”, dar proprietarii de site-uri trebuie să remedieze și alte vulnerabilități de securitate.
Hilligoss a subliniat că infractorii pot ocoli ușor un passkey furând cookie-urile validate ale browserului utilizatorilor prin intermediul unor programe malware.
“Poți folosi un passkey, poți folosi un gestionator de parole, poți folosi ‘numelecâineluitău2023’, orice. Nu contează foarte mult, pentru că autentificarea a avut deja loc prin utilizarea acelui cookie”, a spus Hilligoss.
“Infractorii imită o sesiune deja autentificată. Astfel, din perspectiva site-ului, se vede doar un cookie valid.”
Hilligoss a spus că odată ce un site, cum ar fi serviciul tău de e-mail, validează cookie-ul, infractorul nu mai are nevoie de acreditările tale sau să-și confirme identitatea.
Cookie-ul validat, care rămâne în browser pentru o perioadă ce poate varia de la câteva secunde până la câțiva ani, le permite infractorilor să-ți acceseze conturile neobservați și să-ți fure datele sau banii.
Sarcina le revine proprietarilor de site-uri de a găsi o soluție pentru preluarea abuzivă a cookie-urilor.
Hilligoss mi-a spus că restul dintre noi ne putem proteja de amenințarea preluării cookie-urilor prin folosirea passkeys sau a parolelor puternice și unice oriunde avem ocazia.
El a precizat că unele site-uri permit utilizatorilor să aleagă când expiră token-urile de sesiune.
Știi ferestrele pop-up pentru confidențialitatea datelor? Nu apăsa imediat “Acceptă”. În schimb, mergi la secțiunile “Cookie-uri” sau “Date despre utilizator” și alege cea mai scurtă durată disponibilă pentru sesiune.
Astfel, cookie-urile tale vor expira automat sau de îndată ce închizi fereastra browserului.
Mulți dintre gestionatorii de parole pe care i-am evaluat pot stoca și genera passkeys pentru tine.
Un gestionator de parole îți facilitează accesul atât la acreditările vechi, cât și la noile passkeys atunci când te autentifici.
Dacă nu folosești un gestionator de parole, nu e prea târziu să începi.
Utilizatorii Android și iOS pot stoca passkeys folosind aplicația încorporată Apple Passwords sau Google Password Manager, iar toate preferatele noastre apar în acest articol dedicat celor mai bune gestionatoare de parole pentru fiecare tip de utilizator.
