Passkeys chránia účty lepšie než silné heslá

Slováci stále používajú slabé a predvídateľné heslá, upozornil Techbyte s odkazom na CRIF Cyber Observatory 2025. Problémom však nie je len krátke heslo, ale najmä jeho opakovanie vo viacerých službách, phishing a úniky databáz. Bezpečnejšou cestou sú passkeys, teda prihlasovanie bez zadávania hesla, ktoré už podporujú veľké technologické platformy.

Staré odporúčanie, aby si človek vytvoril dlhé a zložité heslo, stále platí, ale samo osebe už nerieši najväčšie riziko. Ak rovnaké heslo unikne z e-shopu, útočník ho vie automaticky skúšať pri e-maile, sociálnych sieťach alebo ďalších službách. Práve preto sú opakovane používané heslá nebezpečnejšie než jedno slabé heslo v málo dôležitej službe.

Slovenský technologický portál Techbyte opísal problém slabých a predvídateľných hesiel s odkazom na CRIF Cyber Observatory 2025. Pre bežného používateľa z toho vyplýva jednoduché poradie: najprv treba chrániť účty, cez ktoré sa dajú obnovovať všetky ostatné prístupy. Najdôležitejší je e-mail, potom banka, sociálne siete, cloudové úložisko a najpoužívanejšie e-shopy.

Passkey je prihlasovací údaj, pri ktorom používateľ nezadáva heslo do webovej stránky. Služba namiesto toho overí zariadenie používateľa pomocou kryptografie s verejným a súkromným kľúčom. Súkromný kľúč ostáva v zariadení alebo v správcovi prihlasovacích údajov a webová stránka dostane iba dôkaz, že používateľ má správny kľúč.

Dôležitý rozdiel je v tom, že passkey je viazaný na konkrétnu doménu. Americký National Institute of Standards and Technology uvádza, že WebAuthn a FIDO2 poskytujú phishing-resistant autentifikáciu práve cez väzbu na overenú doménu verifikátora. Pri falošnej prihlasovacej stránke preto passkey nefunguje tak, ako funguje bežné heslo, ktoré človek môže omylom napísať kamkoľvek.

To je aj dôvod, prečo passkeys riešia inú slabinu než klasické dvojfaktorové overenie cez SMS alebo jednorazový kód z aplikácie. NIST upozorňuje, že heslá nie sú replay-resistant a manuálne zadávané jednorazové kódy sa nepovažujú za phishing-resistant. Útočník vie používateľa presvedčiť, aby mu kód prepísal do falošnej stránky, alebo ho vie zachytiť v reálnom čase.

Technický základ nie je nový experiment. World Wide Web Consortium a FIDO Alliance oznámili, že WebAuthn sa stal oficiálnym webovým štandardom už 4. marca 2019. Apple, Google a Microsoft potom 5. mája 2022 oznámili rozšírenú podporu štandardu FIDO, aby sa prihlasovanie bez hesla dalo používať naprieč zariadeniami a platformami.

Nasadenie už nie je okrajové. Google na svojom bezpečnostnom blogu 2. mája 2024 uviedol, že passkeys boli použité na viac než 1 miliardu autentifikácií v rámci viac než 400 miliónov Google účtov. To znamená, že bežný používateľ sa s nimi najčastejšie stretne práve pri účtoch Google, Apple, Microsoft alebo pri ďalších veľkých online službách.

Britské National Cyber Security Centre od 23. apríla 2026 odporúča používať passkeys všade tam, kde sú dostupné. V samostatnom materiáli NCSC uvádza, že passkeys sú vždy rovnako bezpečné alebo bezpečnejšie než dvojstupňové overenie postavené na najsilnejšom hesle. Rovnaký materiál tvrdí, že prihlásenie cez passkey môže byť až 8-krát rýchlejšie než kombinácia používateľského mena, hesla a kódu.

Prechod na passkeys však treba urobiť tak, aby človek nestratil prístup pri strate mobilu alebo notebooku. NCSC vysvetľuje, že passkeys vytvára, ukladá a spravuje credential manager v zariadení, ktorý zároveň zabezpečuje synchronizáciu a zálohu medzi dôveryhodnými zariadeniami. V praxi to môže byť vstavaný správca od Apple, Google alebo Microsoftu, prípadne samostatný správca hesiel, ak používateľ často strieda operačné systémy.

Prvý krok nie je rušiť všetky heslá naraz. Rozumnejší postup je vybrať si jeden hlavný správca hesiel alebo prihlasovacích údajov, skontrolovať v ňom hlavné účty a zapnúť passkey tam, kde to služba ponúka. Pri službách bez podpory passkeys odporúča NIST zapnúť multifaktorové overenie a používať jedinečné heslá.

Za približne 20 minút sa dá znížiť riziko krádeže účtov najmä pri najdôležitejších službách. Praktický postup môže vyzerať takto:

• najprv zabezpečiť hlavný e-mail, pretože cez neho sa obnovujú heslá v ďalších službách,
• zapnúť passkey pri Google, Apple, Microsoft alebo inom hlavnom účte, ak ho služba ponúka,
• pri banke, sociálnych sieťach a cloude skontrolovať dvojfaktorové overenie,
• v správcovi hesiel nahradiť opakované heslá jedinečnými,
• uložiť záložné kódy na bezpečné miesto mimo hlavného telefónu.

Záložné kódy sú dôležité najmä preto, že passkey často funguje cez telefón alebo počítač, ktorý človek bežne používa. Ak zariadenie stratí, potrebuje druhú cestu späť do účtu. Tou môže byť druhé dôveryhodné zariadenie, bezpečne uložené recovery kódy, záložný e-mail alebo hardvérový bezpečnostný kľúč.

Používateľ by si zároveň nemal vytvárať chaos medzi viacerými správcami. Ak má iPhone, Mac a iPad, dáva zmysel vstavaný ekosystém Apple. Ak používa Android, Windows a pracovný počítač, praktickejší môže byť správca, ktorý funguje naprieč platformami. Dôležité je, aby mal správca silné hlavné heslo, zapnuté viacfaktorové overenie a aby používateľ vedel, ako obnoví prístup pri strate zariadenia.

Passkeys neznamenajú, že všetky riziká zmiznú. Útočníci sa môžu pokúšať o podvody pri obnove účtu, presviedčať používateľa, aby schválil nečakanú výzvu, alebo zneužiť slabý recovery e-mail. Preto treba pri každej zmene prihlasovania skontrolovať aj telefónne čísla, záložné adresy a zariadenia, ktoré majú k účtu prístup.

Pre slovenských používateľov bude najbližším praktickým testom to, ako rýchlo passkeys zavedú služby, ktoré používajú denne vrátane bánk, poisťovní a veľkých e-shopov. Dovtedy ostáva najlepšou obranou kombinácia jedinečných hesiel v správcovi, zapnutého viacfaktorového overenia a passkeys všade tam, kde už sú dostupné.