Parolele sunt moarte? Ce sunt Passkeys și de ce toată lumea vorbește despre ei

Am fost cu toții acolo. Încercați să vă conectați la contul dvs. bancar cu numele de utilizator și parola dvs. doar pentru a fi întâmpinați cu o eroare generică „parolă incorectă”. Verificați dublu managerul de parole, încercați câteva variații, dar după prea multe încercări eșuate, sistemul vă blochează. Acum sunteți înconjurat într-un proces obositor de reautentificare care implică întrebări de securitate pe care abia vă amintiți-vă și un formular de resetare a parolei care vă informează în mod inteligent, „Parola nouă nu poate fi aceeași cu cea veche”. Continuați să vă aruncați dispozitivul în frustrare.

Ce este un pasaj?

Un pasKkey este un înlocuitor sigur, ușor de utilizat pentru parole. Folosește securitatea încorporată a dispozitivului (cum ar fi ID-ul Face, amprenta sau un PIN) pentru a vă conecta pe un site sau un serviciu, fără a vă cere să vă amintiți sau să tastați nimic.

Passkey este apoi stocat pe un element securizat al telefonului sau al computerului dvs., ceea ce înseamnă că site -ul web sau serviciul la care accesați nu va trebui să stocheze parole pe serverele lor – reducând riscul de încălcări sau hacks.

În termeni practici, ați putea spune că pașii de pasi îmbină conceptul de parolă și 2FA (autentificare cu doi factori) într-o acțiune lină, dar mult mai sigură și mai puțin enervantă.

Ca pas opțional și recomandat, puteți stoca Passkeys într -un manager de parole securizat, cum ar fi Proton Pass, 1Password, Dashlane sau Bitwarden. Acest lucru vă permite să sincronizați și să accesați Passkeys pe mai multe dispozitive.

Creând un paskei

Crearea unui pasKkey este ușoară, iar procesul este similar pe majoritatea platformelor. Pentru a ilustra, iată cum am configurat un paskey pentru Amazon.com și am folosit un manager de parole pentru a -l stoca …

În primul rând, mă conectez la contul meu Amazon și navighez la secțiunea de conectare și securitate pentru a accesa opțiunea PassKey.

În continuare, fac clic pe „Adăugați un pasKkey”, care creează un pasKkey special pentru Amazon. Așa cum se arată în ecranul de ecran, am creat anterior un pasKkey care este stocat în brelocul meu iCloud. Puteți crea mai multe pasaje pentru același site web și le puteți stoca în locuri diferite.

Pentru că folosesc Proton Pass și am instalat extensia browserului, adăugând un pasKKEY deschide automat Proton Pass pentru a -l genera și stoca. Dacă nu aș fi instalat Proton Pass, browserul meu web (Chrome, Firefox, etc.) ar fi păstrat în schimb Passkey.

Proton Pass va salva acum acest paskei specific pentru Amazon, sincronizat cu numele meu de utilizator. Întrucât acest lucru este pentru Amazon, funcționează și pentru conturile Amazon Web Services (AWS).

De ce sunt necesare Passkeys?

Conform cercetărilor lui Nordpass, cea mai populară parolă rămâne „123456” din 2023 și 2024. A doua cea mai populară? „123456789.” Alte parole comune sunt de obicei șiruri de numere secvențiale sau variații pe „Qwerty”. După șase ani de același studiu, Nordpass concluzionează că obiceiurile de parolă ale majorității oamenilor nu s -au schimbat în mod semnificativ.

Passkeys sunt mai sigure, deoarece elimină vulnerabilitățile bazate pe parole, înlocuind parolele cu chei criptografice care protejează utilizatorii de atacuri de phishing, furtul de acreditare și încălcările de date. Pasurile de pas sunt protejate de un singur factor biometric, cum ar fi amprenta sau fața dvs. și nu sunt trimise parole pe internet sau stocate pe servere externe.

Unde pot folosi Passkeys?

Deși nu toate serviciile au implementat autentificarea Passkey, cele mai populare site -uri au. Unele dintre cele majore care o susțin includ Amazon, Google, Apple, Github, Adobe, Uber, Microsoft, Nintendo, PlayStation Network, Ebay și Dropbox, precum și multe rețele sociale.

Instituțiile financiare (băncile) rămân în urma unor mari tehnologii în adoptarea Passkeys, cu toate că companii precum PayPal, Revolut și Robinhood îl susțin deja. Dashlane oferă un director util, bazat pe comunitate, al site-urilor web care au implementat funcționalitatea de conectare a Passkeys.

Puteți crea deja pasaje folosind dispozitive Google, Microsoft sau Apple. Mulți manageri de parole – cum ar fi Proton Pass, Dashlane, 1Password, Bitwarden și LastPass – acceptă, de asemenea, crearea Passkey. După cum am menționat anterior, utilizarea unui manager de parole permite ca Passkeys să se sincronizeze pe dispozitive.

De asemenea, este important să ne amintim că Passkeys sunt unice pentru fiecare site web. Passkey -ul pe care îl utilizați pentru a vă conecta în contul dvs. Google nu este același cu cel folosit pentru Amazon. Acestea fiind spuse, un sfat util util este să creezi un pasKey pentru contul dvs. Google și apoi să utilizați autentificarea Google pentru a vă conecta la alte servicii (dacă există opțiunea). În acest fel, puteți utiliza doar Google Passkey, în timp ce puteți accesa mai multe site -uri web.

Cum funcționează Passkeys (explicație tehnică)

Passkeys (cunoscut din punct de vedere tehnic ca autentificare web sau WebAuthn) sunt o tehnologie care permite autentificarea acredităților fără a fi stocate pe servere. Acestea fac parte din proiectul FIDO2, care are ca scop înlocuirea permanentă a parolelor ca metodă de autentificare.

Conceptul de bază se bazează pe infrastructura cheie publică (PKI). În loc să stocheze un nume de utilizator și o parolă, Passkeys sunt generate pe un autentificator controlat de utilizator.

Acest autentificator ar putea fi smartphone -ul dvs. (ID -ul față, amprenta digitală), sistemul dvs. de operare (de exemplu, Windows Hello), browserul dvs. sau o cheie de securitate fizică, cum ar fi o cheie de la Yubikey sau Google Titan.

Crearea unui PassKey este un proces în 3 etape:

• Utilizatorul face clic pe un buton de pe un client (cum ar fi Google) pentru a crea un PassKey. Aceasta trimite o solicitare către server, care răspunde cu un șir de provocare generat la întâmplare.

• Clientul apelează API -ul WebAuthn împreună cu provocarea serverului de a crea o pereche de cheie privată/publică. Această pereche de chei este generată și stocată în siguranță pe dispozitiv într -un element securizat, cum ar fi un cip de tip Platform de încredere (TPM) sau CHIGHAIN ICLOUD ICLOUD. În funcție de client, utilizatorului i se solicită un pin sau autentificare biometrică (de exemplu, ID -ul față, Windows Hello sau amprentă).

• Clientul trimite cheia publică, ID -ul de acreditare și provocarea semnată (folosind cheia privată) înapoi la server. Pentru autentificările viitoare, utilizatorul se autentifică prin intermediul dispozitivului său, care semnează o nouă provocare și o trimite către server. Serverul validează acest lucru prin potrivirea ID -ului de acreditare și a cheii publice la provocarea semnată. Dacă verifică, utilizatorul este conectat cu succes.

Întrebări frecvente

Ce se întâmplă dacă îmi pierd dispozitivul?

Pasajeile necesită autentificare biometrică pe telefon. Chiar dacă telefonul dvs. este furat, Passkeys nu poate fi accesat fără datele dvs. biometrice.

Pot împărtăși un paskei cu altcineva?

Scopul Passkeys este de a oferi autentificare personală, legată de identitate-nu acreditări partajate. Dar tehnic, da, există modalități de a împărtăși Passkeys.

De exemplu, Apple permite partajarea Passkeys prin AirDrop în anumite condiții. De asemenea, puteți partaja Passkeys conectându -vă la același manager de parole.

Pasajele pot împiedica încercările de phishing?

Absolut. Phishingul urmărește de obicei să fure nume de utilizator, parole sau date sensibile. Pasajele nu transmit acreditări, ceea ce le face inutile unui atacator, chiar dacă este interceptat.

Ce se întâmplă dacă cineva împiedică serverul sau baza de date?

Cel mult, un atacator ar putea avea acces la cheile publice stocate în baza de date. Deoarece acestea nu pot fi utilizate pentru a-ți ingineria cheia privată, contul tău rămâne sigur. Dacă este nevoie, puteți revoca pur și simplu vechiul pasionat și puteți genera unul nou.

Ce zici de utilizarea unui manager de parole?

În timp ce managerii de parole sunt un pas bun de la amintirea parolelor, se bazează în continuare pe stocarea de acreditări pe un server. Chiar și opțiunile open-source precum Keepass necesită o bază de date cu parole. În schimb, Passkeys oferă o soluție mai sigură și mai simplificată, eliminând nevoia de a gestiona sau de a stoca mai multe acreditări.

Există scenarii în care nu sunt necesare Passkeys?

Da. În timp ce Passkeys oferă o alternativă mai sigură și mai ușor de utilizat la parolele tradiționale, acestea nu sunt necesare-sau chiar ideale-în fiecare scenariu. Iată câteva exemple:

• Conturi de securitate scăzută

  Dacă un cont nu stochează informații sensibile (de exemplu, un cont Forum de aruncare sau un site de știri local), o parolă puternică poate fi în continuare „suficient de bună”.

• Conturi partajate

  Pasajele sunt legate de tine și de dispozitivul tău. Așadar, pentru conturile partajate între mai multe persoane (cum ar fi un cont Netflix partajat sau o autentificare de afaceri), parolele tradiționale încă funcționează mai flexibil – deocamdată.

• Sisteme de întreprindere sau moștenire

  Sistemele corporative mai vechi, VPN -urile sau instrumentele interne pot să nu suporte deloc focurile de pas – unele industrii se mișcă lent când vine vorba de adoptarea unei noi tehnologii de autentificare.

• Entități non-persoană (NPE)

  Dezvoltatorii care folosesc sisteme sau scripturi automate, este posibil să fie nevoie să se autentifice unui server pentru a efectua sarcini precum scanarea sau procesarea datelor. În astfel de cazuri, pasajele nu sunt practice. Acest lucru s -ar putea extinde și la software -ul care trebuie să utilizeze autentificarea pentru apeluri API sigure.

În plus, există medii în care adopția Passkey nu se potrivește încă. Dacă vă aflați pe un dispozitiv care nu are sincronizare de rezervă în cloud sau pasionați, cum ar fi un smartphone mai vechi sau un computer public, poate fi dificil sau imposibil să utilizați eficient Passkeys.

Așadar, în timp ce Passkeys sunt viitorul autentificării, există încă motive valide pentru a rămâne cu parole în anumite contexte – deocamdată.