Stále více online služeb jako Amazon, Ebay a PayPal nabízí pro registraci uživatelům takzvané přístupové klíče. Pro mnoho uživatelů je to jasný zisk v oblasti komfortu a bezpečnosti. Tak to funguje.
Není to žádná legrace, snažit se zapamatovat si dobrá hesla. Písmena, čísla, speciální znaky: měl by to být divoký mix znaků. Každé heslo se navíc má používat pouze u jednoho poskytovatele. Společnosti jako Apple, Amazon a Ebay proto chtějí ustoupit od hesel a prosazují přechod na přístupové klíče. Jak moc jsou ale vhodné pro každodenní použití?
Alternativa hesla – myšlenka přístupového klíče
Základní myšlenka přístupových klíčů: alternativou místo hesla je ve smartphonu nebo počítači uložen digitální klíč. Na rozdíl od hesel zůstává tento soukromý klíč uložen pouze u uživatele. Amazon, Google a spol. ukládají na své servery pouze protějšek, takzvaný veřejný klíč. I když je v případě úniku dat vyloven, nelze z něj odvodit soukromý klíč. Pomocí digitálního handshake mohou dva fragmenty softwaru porovnat, zda je registrace autorizovaná.
Pro každý web se vytvoří nový pár klíčů. Podle IT výzkumníka Tibora Jagera je to také největší výhoda. ,,Mnoho útoků se zakládá na úniku hesel a jeví se tak nebezpečné, protože mnoho lidí používá stejné heslo pro mnoho stránek,“ říká profesor informatiky z University of Wuppertal. Hesla lze špehovat, uhodnout nebo, jak tomu bylo v posledních měsících na Booking.com, ukrást prostřednictvím phishingových útoků. „Pokud si pamatujete své vlastní heslo pro 300 webových stránek, nebudete s přístupovými klíči o moc bezpečnější,“ říká Jager. ,,Ale myslím, že to není možné.“
Přístupové klíče se nastavují snadněji než heslo – koneckonců se nemusí pamatovat. Vše, co potřebujete, je kód PIN, otisk prstu nebo sken obličeje k uložení a aktivaci přístupového klíče na zařízení.
Mobil jako univerzální ID karta
U online platební služby PayPal se funkce aktivuje pod „Můj profil“ v položce nabídky „Přihlášení a zabezpečení“. V aplikaci pro iPhone trvá vytvoření přístupového klíče několik sekund. Při přihlašování se také musíte identifikovat pomocí FaceID. Když restartujete aplikaci PayPal, stanete se během několika sekund také přihlášeni. To však není o moc rychlejší než klasické přihlášení heslem získaným z klíčenky.
U poskytovatelů, jako je Ebay, lze přístupový klíč smartphonu použít také k přihlášení na stolním počítači nebo notebooku. V tomto případě musíte nejprve spárovat telefon s počítačem přes Bluetooth a vyfotografovat QR kód z obrazovky počítače. Poté může prohlížeč používat i hardwarový klíč na telefonu. Výsledkem je, že přihlášení do prohlížeče funguje automaticky, když je smartphone blízko počítače.
Postup registrace není vždy stejný. Například u Amazonu je v nabídce „Můj účet“ položka „Přihlášení a zabezpečení“, kde lze vytvořit přístupové klíče. Na aukční platformě eBay je možnost registrace skryta pod položkou nabídky „Přihlásit se bezpečně“. Každý, kdo klikne na „Aktivovat“, si může vybrat, zda se klíč uloží přímo v zařízení nebo ve virtuální klíčence.
Pokud se například přihlásíte do Amazonu pomocí přístupového klíče na svém iPhonu nebo MacBooku, můžete si přístupové kódy stáhnout také do iPadu přes iCloud. Pro uživatele, kteří jsou online pouze s několika zařízeními, je nahrazení hesla výhodným přínosem. „Pokud používáte přístupové klíče pouze na jednom zařízení, funguje to skvěle,“ říká Jager.
Přístupové klíče dosáhnou svých limitů při změně zařízení
Má to ale háček: interakce mezi prohlížeči, chytrými telefony a počítači při výměně klíčů je stále nepřehledná mozaika. Přístupové klíče lze nyní také ukládat online, takže soukromé klíče jsou dostupné na více zařízeních. To se ale hodí pouze v případě, že se pohybujete v rámci eko Apple nebo Google.
Pokud ale přepínáte mezi iPhonem, Android tabletem a Windows PC, vždy narazíte na zeď. Pak už klíče nelze tak snadno vyměnit. Například z Windows nelze v současné době přenést přístupový klíč do smartphonů pomocí integrovaných nástrojů.
Facebook a Instagram nenabízejí přístupové klíče
Pokud však používáte mnoho různých zařízení, potřebujete podporu. Mnoho správců hesel, jako jsou 1Password, Dashlane, Keeper a NordPass, nyní ukládá nejen hesla, ale také přístupové klíče do virtuálních trezorů. Kdo ale svěří své přístupové údaje správci hesel, ztrácí určitou kontrolu. Protože se trezory umísťují na serverech – a při únikách dat se mohou přístupové klíče také odcizit. Jakmile útočníci zjistí hlavní heslo, trezor vyplivne všechny soukromé klíče.
Důležité společnosti jako Apple a Google nyní tuto technologii podporují a posouvají standard kupředu. Ale ne všichni se účastní. V současné době se uvedlo pouze 130 webových stránek, které nabízejí přístupové klíče. Uživatelé se mohou pomocí přístupových klíčů přihlásit mimo jiné k Amazon, Adobe, Ebay, Nintendo a Playstation Network. PayPal umožňuje přístupové klíče alespoň při přihlašování do Chromu na chytrých telefonech Android a iPhonech. TikTok a X, dříve Twitter, také v současné době zavádějí možnost passkey – ale zpočátku pouze pro uživatele iPhone.
Četné platformy v seznamu stále chybí. Na Facebooku a Instagramu přístupové klíče zcela chybí. V beta verzi WhatsApp se mohou zařízení Android přihlásit alespoň pomocí alternativy hesla.
Zdroj: spiegel, TowPoint
