Google otwiera przed nami zupełnie nową przyszłość – taką, w której w Internecie nie będziemy musieli posługiwać się dziesiątkami różnych haseł. Wystarczy, że użyjemy urządzenia z weryfikacją biometryczną. Początki są skromne, ale obiecują wiele.
Klucze dostępu – jak to działa?
Osobiście korzystam z menedżera haseł, żeby zarządzać swoimi hasłami w sieci. Tego jest po prostu za dużo – nie byłbym w stanie zapamiętać haseł do wszystkich usług i witryn, do jakich się loguję. To tworzy pewne niedogodności. Na przykład, mój menedżer haseł jest płatny. I choć zapewnia o wiele większe bezpieczeństwo, to jego poziom też ma swój „sufit”.
Od dłuższego czasu najwięksi giganci z Doliny Krzemowej pracują nad rozwiązaniem problemu haseł. Najbardziej obiecującym jest technologia kluczy dostępu. To inny rodzaj logowania, którego celem jest usunięcie wad klasycznych zestawów liter, cyfr i znaków specjalnych, wprowadzanych z klawiatury.
Klucz dostępu to unikalny zestaw danych służący do identyfikacji użytkownika i jego konta. Taka paczka informacji może być łatwo udostępniana między urządzeniami. Obecnie klucze dostępu tworzone są w standardzie WebAuthn.
Klucze dostępu to tak naprawdę bardzo długie ciągi sekwencje znaków. Nie są jednak przeznaczone do samodzielnego przepisywania w pola tekstowe podczas logowania. Zamiast tego, to nasze urządzenie i serwer sieciowy mają za zadanie je „uzupełnić” i sprawdzić, czy do siebie pasują.
Gdy użytkownik loguje się po raz pierwszy za pomocą technologii kluczy dostępu, na używanym urządzeniu generowana jest para kluczy. Jeden klucz przechowywany jest lokalnie (na przykład na smartfonie) i nie jest udostępniany nigdzie indziej. Drugi przechowywany jest na serwerach usługi i stanowi „zamek” dla pierwszego klucza. Podczas logowania następuje porównanie danych dwóch kluczy. Jeśli klucz z urządzenia „otwiera zamek” zestawu danych z serwera, dane logowania są udostępniane. Potwierdzenia przesłania danych dokonuje się za pomocą weryfikacji biometrycznej, na przykład na smartfonie.
Jest wiele plusów takiego podejścia. Nasz klucz prywatny nie opuszcza urządzenia. Tylko serwer docelowy udostępnia sekwencję, którą uzupełnić może jedynie nasz klucz dostępu. Dzięki temu, nawet jeśli hakerom uda się zdobyć dane z serwera jakiejś firmy, z której usług korzystamy, i tak nie będą w stanie zalogować się na nasze konto bez danych z naszego urządzenia.
Klucze dostępu chronią nas też przed… naszą własną głupotą. Nie jesteśmy w stanie wpisać nigdzie danych klucza dostępu – nie może on opuścić naszego urządzenia. Dlatego powszechne metody phishingu się tutaj nie sprawdzą. Hakerzy zyskają dosłownie nic, próbując skłonić nas do zalogowania się do fałszywego formularza internetowego, udającego na przykład stronę bankową. Logowanie się nie powiedzie, bo klucz dostępu nie będzie miał w tym wypadku nic do uwierzytelnienia.
Oczywiście klucze dostępu mają też swoje wady. Ponieważ trzymane są lokalnie na prywatnie używanych urządzeniach, trudniej będzie zalogować się na wybrane konto w wypadku kradzieży sprzętu. Ponadto udostępnianie naszych haseł innym osobom – na przykład, żeby ktoś zrobił coś za nas zdalnie z naszego konta – będzie szło jak po grudzie.
Google Passkeys – rewolucja dostępna od zaraz
Google już od dłuższego czasu testuje możliwości kluczy dostępu. Zintegrowano je na przykład z przeglądarką Chrome na systemach Android, Windows 11 i macOS. Teraz program został rozszerzony o osobiste hasła kont Google.
Proces włączania kluczy dostępu nie jest specjalnie złożony. Każdy może go skonfigurować, korzystając z weryfikacji dwuetapowej na wybranym przez siebie urządzeniu: komputerze, telefonie lub tablecie. Można też autoryzować dostęp z wielu sprzętów, więc nie będzie konieczne wieczne trzymanie przy sobie smartfona, by mieć dostęp do swojego konta Google.
Jak skonfigurować Passkeys?
Korzystanie z kluczy dostępu może sprawić, że bardzo niechętnie będziemy wpisywać hasła w usługach innych niż Google ;) Skoro już zostaliście ostrzeżeni przed ewentualnymi konsekwencjami, to przejdźmy do konfiguracji Passkeys dla konta Google:
- Otwieramy przeglądarkę internetową na naszym urządzeniu na stronie kluczy dostępu Google – g.co/passkeys.
- Wprowadzamy swój adres Gmail oraz hasło.
- Klikamy na polecenie „Włącz klucze”.
- Gotowe! Otrzymujemy komunikat potwierdzający możliwość logowania się przy użyciu odcisku palca, wizerunku twarzy, blokady ekranu czy fizycznego klucza bezpieczeństwa.
Utworzenie kluczy dostępu możliwe jest na komputerach z systemem Windows 10 lub macOS Ventura lub nowszych, a także smartfonach i tabletach z systemem iOS 16 lub Android 9 lub nowszych. Istnieje też opcja utworzenia fizycznego klucza uwierzytelniania, ale musi on wspierać protokół FIDO2.
Nasz komputer lub urządzenie mobilne musi mieć zainstalowaną wspieraną przeglądarkę: Chrome (v.109 lub nowszą), Safari (v.16 lub nowszą) lub Edge (v.109 lub nowszą).
Dodatkowo wymaga się, by sprzęt był chroniony blokadą ekranu, a także miał włączony Bluetooth – w wypadku, gdy będziemy użyć klucza dostępu podczas logowania się na innym komputerze.
Pozostaje życzyć tylko miłego użytkowania kluczy dostępu!
