- A jelszavak nyilvános kulcsú titkosítást használnak, és helyettesítik a jelszavak megjegyzését.
- Ellenállnak az adathalászatnak, és nem kerülnek nyilvánosságra incidensek esetén: a privát kulcs soha nem hagyja el az eszközt.
- Széleskörű kompatibilitás iOS, Android, Windows és modern böngészők rendszereivel; a főbb szolgáltatások is alkalmazzák.
- Szinkronizált és eszközhöz kapcsolt jelszók állnak rendelkezésre a kényelem és az irányítás egyensúlyának megteremtése érdekében.
Ha évek óta küzdesz a megjegyezhetetlen jelszókombinációkkal, nem vagy egyedül: a jelszavak jelentik az árat az online szolgáltatások eléréséért. A jó hír az, hogy a hozzáférési kulcsok készen állnak arra, hogy megváltoztassák ezt a rituálét , biztonságosabbá és kényelmesebbé téve a bejelentkezést anélkül, hogy bármit is meg kellene jegyezni.
E forradalom mögött erős iparági konszenzus áll: az Apple, a Google és a Microsoft, többek között, közös szabványt fogadott el a jelszavaktól való függőség megszüntetésére. A cél a csalások, az adatszivárgások és a súrlódások csökkentése egy modern titkosításon és a saját eszközön történő felhasználói ellenőrzésen alapuló rendszerrel.
Mi az a jelszó és hogyan működik?
A hozzáférési kulcs (vagy jelszó) nem álcázott jelszó, hanem egy kriptográfiai kulcspárokon alapuló hitelesítési módszer. Karakterlánc begépelése helyett biometrikus adatok (ujjlenyomat vagy arc) vagy helyi PIN-kód segítségével igazolja személyazonosságát az eszközével.
Amikor létrehoz egy szolgáltatáshoz tartozó jelszót, a mobiltelefonja vagy számítógépe két darabot generál: egy nyilvános kulcsot és egy privát kulcsot. A nyilvános kulcs a szolgáltatás szerverén tárolódik , míg a privát kulcs biztonságban marad az eszközén, és soha nem kerül megosztásra.
Aszimmetrikus titkosítás: két kulcs együttműködik
A rendszert nyilvános kulcsú titkosításnak nevezik. A privát kulcs aláírja a szerver által küldött kihívásokat , a nyilvános kulcs pedig ellenőrzi az aláírást. Ez lehetővé teszi a szolgáltatás számára, hogy ellenőrizze az Ön személyazonosságát anélkül, hogy bármilyen érzékeny információt ismerne vagy fogadna.
Fontos hangsúlyozni a következőket: a privát kulcs nem jut el a szerverre, és nem válik nyilvánossá. Csak lokálisan használják az efemer kihívás aláírására , ami döntő különbséget jelent a hagyományos jelszavakhoz képest.
Lépésről lépésre történő hitelesítési folyamat
Bejelentkezéskor a szolgáltatás egy kérést generál, és az eszközöd kéri az ellenőrzést (biometrikus adatokkal vagy PIN-kóddal). Ha helyesen azonosítod magad, az eszköz aláírja a kérést a privát kulcsoddal , és elküldi az aláírt választ. A szerver a tárolt nyilvános kulcs segítségével érvényesíti az aláírást, és hozzáférést biztosít.
Továbbá az újrafelhasználás megakadályozása érdekében ezek a kihívások korlátozott érvényességi idővel rendelkeznek, és a megfelelő domainhez vannak kötve. Ez a domainkötés megakadályozza az adathalász támadásokat , még akkor is, ha egy csaló megpróbál rávenni egy hamis, de ugyanúgy kinéző weboldal megvásárlására.
Hol tárolják a privát kulcsot?
A modern eszközök a privát kulcsot biztonságos, megerősített hardveres vagy szoftveres területeken tárolják. Az iPhone, iPad és Mac készülékek a Secure Enclave-et használják; az Android és Windows TPM-et vagy azzal egyenértékű megoldásokat ; a Samsung eszközök pedig a Knoxot. Ezek a „trezorok” elszigeteltek, hogy minimalizálják a rosszindulatú programok vagy a jogosulatlan hozzáférés kockázatát.
Sok esetben a jelszavakat biztonságosan szinkronizálják az eszközök között az egyes ökoszisztémákon belüli szolgáltatásokon (például az iCloudon vagy a Google Jelszókezelőn) keresztül. Ez a szinkronizálás megkönnyíti a bejelentkezést több megbízható eszközről a biztonság vagy a használhatóság veszélyeztetése nélkül.
Jelszó vs. jelszó: főbb különbségek
A hagyományos jelszavaktól való különbség egyértelmű. A Passkey-kkel nem kell gyenge titkokat létrehozni vagy megjegyezni , így a tipikus hibák (újrafelhasználás, gyenge kombinációk, hamis weboldalakon való gépelés stb.) eltűnnek.
Egy másik lényeges különbség az érték helye. A jelszavakat általában szervereken tárolják (vagy származtatják) , és adatvédelmi incidensek esetén kiszivároghatnak; a jelszavak esetében a szerver csak a nyilvános kulccsal rendelkezik, amely a felhasználó privát kulcsa nélkül használhatatlan.
Létrehozás és menedzsment
Egy erős jelszó létrehozása bonyolult: hosszúnak, egyedinek és minden fiókhoz véletlenszerűnek kell lennie. A Passkeys segítségével nem kell semmit tervezned: az eszközöd generálja a kulcspárt , és az máris használható a szokásos feloldási módszereddel.
Adathalászat elleni védelem
A hamisítási támadások megpróbálják rávenni Önt, hogy hamis weboldalakon adja meg hitelesítő adatait. A jelszavak használatával nem kell semmilyen titkos adatot megadnia, és az aláírás a legitim domainhez kapcsolódik , így egy csaló weboldal nem tudja ellopni azt, amit nem ad meg.
Résekben való kitettség
Ha egy szolgáltatást biztonsági rés ér, és az adatbázisa kiszivárog, a jelszavak használatával a katasztrófa átterjedhet más fiókokra is, ahol újra felhasználtad őket. A jelszavak esetében a szerveren csak a nyilvános kulcs található meg, amely értéktelen a privát megfelelője nélkül , amelyet magadnál tartasz.
Jelenlegi kompatibilitás
A jelszavak mindenhol működnek. A hozzáférési kulcsok már széles körben elterjedtek, de még nem jutottak el minden platformra . Ezért léteznek együtt a jelszavakkal és a 2FA-val, bár az elterjedésük hónapról hónapra növekszik.
A jelszavak előnyei
Az előnyök listája meggyőző. A legfontosabb: „alapértelmezett” biztonság a memóriára való támaszkodás nélkül . Nem kell karakterláncokat megjegyezni, nincs újrafelhasználás és nincsenek elgépelések.
- Adathalászat és billentyűleütés-figyelés elleni védelem: Nem gépelsz be jelszavakat, így egy hamis oldal vagy egy billentyűleütés-figyelő sem jut semmihez.
- Nagyobb magánélet: A biometrikus adatok nem hagyják el az eszközt, és a privát kulcsot soha nem osztják meg..
- Valódi kényelem: Biometrikus adatok vagy helyi PIN-kódok váltják fel a jelszavak unalmát, kevesebb súrlódással és kevesebb bejelentkezési megszakítással.
- Költséghatás: kevesebb visszaállítás és kevesebb 2FA "javítás" Ez csökkenti a műszaki és támogató csapatok terheit.
Mindezek mellett a jelszavak egyfajta integrált többtényezős hitelesítést kínálnak: valamit, amivel rendelkezel (az eszközöd), és valamit, amit ismersz (biometrikus adatok vagy PIN-kód). Ez a kombináció alapértelmezés szerint jár hozzá, a legtöbb esetben nem igényel további lépéseket a felhasználótól.
Hátrányok és jelenlegi korlátok
Nem minden tökéletes. Az adaptáció még nem teljes, és egyes szolgáltatások nem támogatják őket , így bizonyos esetekben továbbra is jelszavakat kell használnia.
Egy másik kritikus pont a helyreállítás. Ha elveszíti az összes eszközét, és nincs biztonsági mentése/szinkronizálása , a hozzáférés visszaszerzéséhez alternatív módszerekre vagy a szolgáltató támogatására lehet szükség.
Emellett ökoszisztéma-függőség is fennáll. Sok jelszó szinkronizálódik iCloudon, Google Password Manageren vagy hasonló megoldásokon keresztül , amelyek nem feltétlenül illeszkednek minden környezethez vagy szabályzathoz.
Végül, a különböző rendszerek kezelése bonyolult lehet, ha nem használ kompatibilis kezelőt. Előfordul, hogy szüksége lesz az eredeti eszközre vagy egy szinkronizációs hídra a másik platformra való bejelentkezéshez.
A technikai alapok kiforrottak, a kompatibilitás pedig széleskörű. Az Apple rendszereken az iOS 16 és újabb verziók, valamint a macOS Ventura 13+ már támogatják a Face ID és Touch ID funkciókkal integrált jelszavakat.
Android fronton az Android 9 (Pie) vagy újabb rendszerű eszközök kompatibilisek , a Google Password Manager pedig kezeli az ugyanazon felhasználó eszközei közötti szinkronizálást.
Windows rendszerben a Windows 10 és 11 integrálja a jelszókat a Windows 11-be a Windows Hello segítségével , amely egyesíti a helyi PIN-kóddal, ujjlenyomattal vagy arcfelismeréssel történő ellenőrzést a kompatibilis eszközökön.
Mi a helyzet a böngészőkkel? A Google Chrome 109+, az Apple Safari 16+ és a Microsoft Edge 109+ támogatja, míg a Firefox korlátozottabb és folyamatosan fejlődő módon kínálja.
A már felkapott szolgáltatások listája folyamatosan bővül. A kiemelkedő nevek között szerepel az Apple, a Google, a Microsoft, az Amazon, a PayPal, a Best Buy és az Adobe , számos platform és kiskereskedő mellett.
- Az elektronikus kereskedelem: Amazon, Walmart, Best Buy, Target, Shopify, Kayak.
- Szociális hálózatok: X (Twitter), LinkedIn, TikTok.
- Pénzügyek és kifizetések: Coinbase, Robinhood, Stripe, PayPal, Affirm.
- Fejlesztés és adattárak: GitHub, Bitbucket; valamint olyan szolgáltatások támogatása, mint a Dropbox.
Sok más platform jelenleg is bevezetése vagy tesztelése alatt áll. Ha a fiók frissítésekor a „Hozzáférési kulcs létrehozása” opciót találja, az azt jelenti, hogy a szolgáltatás már támogatja azt, legalábbis jelszó alternatívájaként.
Jelszótípusok: szinkronizált és eszközhöz kapcsolt
Nem minden jelszó egyforma. A több eszközön használható (szinkronizált) jelszók a végfelhasználói kényelmet helyezik előtérbe , és biztonságosan replikálódnak a megbízható eszközök között ugyanazon ökoszisztémán belül.
Ezzel szemben vannak olyan jelszavak, amelyek egyetlen eszközhöz kapcsolódnak, és nem másolhatók. Ez a megközelítés vonzó a szigorú szabályzatokkal rendelkező vállalatok számára , ahol a hordozhatóságot feláldozzák az ellenőrzés és a biztonság javára.
Speciális biztonság: lejárati kihívás, domainkötés és többtényezős hitelesítés
A nyilvános kulcsú titkosítás mellett a protokoll további védelmet is biztosít. Az aláírt kihívások azonnal lejárnak, hogy megakadályozzák az újrafelhasználást , és a megfelelő domainhez vannak társítva, megakadályozva, hogy egy hamis weboldal „érvényesítse” az aláírásokat.
A biometrikus azonosítás, vagy PIN-kód, a kirakós második darabja: e helyi lépés nélkül a privát kulcs nem használható . Ez azt jelenti, hogy még ha valaki a kezében is tartja az eszközt, nem tud hitelesíteni az Ön ellenőrzése nélkül.
Összefoglalva, egyfajta egylépéses, többtényezős hitelesítésről beszélünk. Az eredmény egy erős hitelesítés, kevesebb súrlódással, mint a hagyományos felhasználónév+jelszó+2FA kombinációk.
Bevált gyakorlatok, jelszó-helyreállítás és együttélés
Ha elveszíted a telefonodat vagy a számítógépedet, ne ess pánikba. A legtöbb platform helyreállítási mechanizmusokat kínál : egy másik, korábban összekapcsolt eszközt, biztonsági kódokat vagy alternatív módszereket.
Érdemes engedélyezni a jelszómásolást és a szinkronizálást, ha lehetséges. Ha több rendszert használ, érdemes olyan jelszókezelőt választani, amely támogatja a jelszókat, hogy azok platformfüggetlenül hozzáférhetőek és biztonságosak legyenek.
Mivel nem minden szolgáltatás váltott, egy ideig továbbra is jelszavakat kell használnia. Ahol nem állnak rendelkezésre jelszók, használjon erős jelszavakat és 2FA-t vagy MFA-t (lehetőleg hitelesítési alkalmazásokkal SMS helyett) a kockázatok csökkentése érdekében.
Azt se felejtsd el, hogy a biometrikus adatokat az eszközödön dolgozzák fel. A szolgáltató nem kapja meg az ujjlenyomatodat vagy arcod azonosítóját , csak a helyi ellenőrzés sikeres teljesítésének megerősítését, így védve az adatvédelmedet.
Szabványok és intézményi támogatás
Ez nem csupán egyetlen gyártó varázslata. A jelszavak a W3C FIDO2 és WebAuthn szabványain alapulnak , amelyeket a FIDO Alliance a vezető gyártókkal együttműködve népszerűsít.
Ez a nyílt keretrendszer lehetővé teszi, hogy a böngészők, operációs rendszerek és szolgáltatások ugyanazt a nyelvet beszéljék. Ennek köszönhetően az élmény konzisztens, és a biztonság harmadik felek által is ellenőrizhető.
Kulcsfontosságú mérföldkő volt, hogy a NIST elismerte a szinkronizált jelszavakat az SP 800-63B kiegészítésében. Ez az intézményi jóváhagyás ösztönzi azok elterjedését olyan szabályozott ágazatokban, mint a banki szolgáltatások és az egészségügy, ahol az adathalászat és a csalás kritikus aggodalomra ad okot.
Fejlesztőknek: gondtalan integráció
Digitális termékek fejlesztése esetén nincs szükség a titkosítás újragondolására. A modern identitásszolgáltatók már kínálnak használatra kész jelszavakat a bejelentkezési folyamataikban.
Ha részletes vezérlésre van szüksége a háttérben, a WebAuthn könyvtárak különböző nyelveken érhetők el a kihívásokkal való ellenőrzés és a nyilvános kulcsok tárolásának kezeléséhez. Mobilon az Apple Authentication Services és a Google Identity Services megkönnyíti a natív élmény integrálását.
Léteznek dedikált platformok is, amelyek SDK-kat, testreszabást és elemzéseket kínálnak a jelszóprojektek felgyorsításához. Az olyan megoldások, mint az OwnID, leegyszerűsítik a telepítést mindössze néhány sornyi kóddal , miközben fenntartják a megfelelőséget és a zökkenőmentes felhasználói élményt.
Használati esetek és gyakorlati forgatókönyvek
Az e-kereskedelemben a gyors és biztonságos bejelentkezés csökkenti a kosárelhagyást. A pénzügyekben az adathalászat elleni védelem és az integrált MFA különösen értékes a csalás kockázata miatt.
Vállalatoknál az eszközhöz kapcsolt jelszók biztosítják a belső hozzáférés feletti ellenőrzést. SaaS és fogyasztói platformok esetén a szinkronizált jelszók jobb egyensúlyt kínálnak a biztonság és a kényelem között , csökkentve az „elfelejtettem a jelszavamat” hibajegyek számát.
Preguntas frecuentes
Biztonságosabbak a hozzáférési kulcsok, mint a jelszavak?
Igen. Adathalászat ellen védettek, nem kitalálhatók, és nem kerülnek nyilvánosságra incidensek esetén, mivel a privát kulcs soha nem hagyja el az eszközt.
Feltörhetők?
Nincs bolondbiztos biztonsági megoldás, de a kialakítás minimalizálja a támadási felületeket. Még ha egy szervert megtámadnak is, csak a nyilvános kulcsot szerzik meg , ami a privát kulcspár és a helyi ellenőrzés nélkül haszontalan.
Mindenhol dolgoznak?
Még nem. A lefedettség gyorsan növekszik, de egyes szolgáltatásokhoz továbbra is jelszavakat kell használni . Engedélyezze a 2FA-t, ahol nem állnak rendelkezésre jelszók.
Mi történik, ha elveszítem a telefonomat?
Aktiválja a helyreállítást biztonsági mentési eszközök vagy kódok használatával. Ha szinkronizálja a jelszavakat a megbízható felhőjével, visszaállíthatja azokat egy új eszközön a fiókjával.
Szükségem van jelszókezelőkre?
Nem kötelező, de hasznos, ha több rendszert használsz, vagy egy hordozhatóbb példányt szeretnél. Néhány jelszókezelő már tárolja mind a jelszavakat, mind a hozzáférési kulcsokat, hogy mindent központosítson.
Használhatom a jelszavamat, ha engedélyezem a hozzáférési kulcsokat?
Sok szolgáltatásban igen, kompatibilitási okokból. Ha van rá lehetőséged, akkor adj elsőbbséget a jelszónak , és hagyd meg a jelszót örökölt módszerként, amíg továbbra is együtt léteznek.
Milyen biometrikus adatokat használnak és küldenek a szerverre?
A készülék feloldásához már használt biometrikus adatokat (ujjlenyomat vagy arcfelismerés) használjuk. Ezeket az információkat nem osztjuk meg; csak a sikeres ellenőrzés helyi megerősítésére használjuk .
A jelszavak alapvető problémáinak megoldására jöttek létre: kiküszöbölik a memorizálásuk szükségességét, védelmet nyújtanak az adathalászat ellen, és csökkentik az adatvédelmi incidensek hatását, miközben zökkenőmentes élményt nyújtanak a saját eszközödön. Az Apple, a Google, a Microsoft és a nyílt szabványok, mint például a FIDO2/WebAuthn támogatásával egyre inkább elterjednek a rendszerek, böngészők és főbb szolgáltatások (e-kereskedelem, hálózatépítés, pénzügy és fejlesztés) széles körében. Bár a jelszavakkal együtt léteznek, a jelszavak engedélyezése, ahol elérhető, és a kétfaktoros hitelesítés (2FA) fenntartása másutt jelenleg a legésszerűbb módja a biztonság fokozásának a dolgok bonyolítása nélkül.
