Dacă în ultimul an ai încercat să te loghezi undeva și telefonul ți-a cerut amprenta în loc de parolă, ai folosit deja un passkey. Google, Apple, Microsoft, Amazon, PayPal și o mulțime de alte servicii le-au activat treptat, adesea fără prea multe explicații, iar mulți utilizatori le folosesc fără să știe cum se numesc.
Merită înțeles ce se întâmplă de fapt, pentru că nu e doar o formă mai comodă de a introduce parola. E o schimbare de mecanism care elimină, dintr-o dată, cea mai productivă categorie de atacuri.
Ce este, fără jargon
Când creezi un passkey, dispozitivul tău generează o pereche de chei criptografice. Una, publică, pleacă la serviciul respectiv și e stocată în contul tău. Cealaltă, privată, rămâne pe telefon, pe calculator sau pe o cheie fizică de securitate și nu pleacă de acolo niciodată.
La logare, serverul trimite o provocare matematică. Dispozitivul o semnează cu cheia privată, după ce tu ai confirmat cu amprentă, cu fața sau cu PIN-ul dispozitivului. Serverul verifică semnătura cu cheia publică și te lasă înăuntru.
Consecința importantă: nu există niciun secret care să circule și pe care cineva să-l fure. Chiar dacă baza de date a serviciului e spartă, atacatorii obțin chei publice, care singure nu valorează nimic.
De ce contează mai mult decât pare
Phishingul devine inutil. Un passkey e legat criptografic de domeniul pentru care a fost creat. Dacă ajungi pe o pagină care imită perfect banca, dispozitivul pur și simplu nu va găsi nicio cheie potrivită pentru acel domeniu și nu va oferi nimic. Nu depinde de cât de atent ești tu în ziua aceea – și asta e diferența esențială față de orice sfat despre verificat adresa din bara browserului.
Dispare și problema parolelor refolosite. Fiecare passkey e unic pentru un singur serviciu, generat automat, imposibil de memorat și de reutilizat din greșeală.
Nu mai funcționează nici atacurile prin coduri interceptate. Un cod din SMS poate fi cerut la telefon de un escroc convingător, așa cum se întâmplă în cazurile de vishing sau la preluarea conturilor de WhatsApp prin codul de verificare. Un passkey nu poate fi dictat la telefon, pentru că nu are o formă pe care să o poți rosti.
Partea mai puțin comodă
Nimic nu e gratis, iar passkeys au și ele fricțiuni reale.
- Sincronizarea între ecosisteme e încă imperfectă. Un passkey creat pe iPhone ajunge, prin brelocul iCloud, pe celelalte dispozitive Apple. Dacă treci pe Android, situația se complică. Managerele de parole independente au început să rezolve problema, dar nu peste tot.
- Recuperarea depinde de contul pe care se sincronizează cheile. Practic, contul Google sau Apple devine punctul central de securitate al vieții tale digitale. Merită protejat corespunzător.
- Suportul e neuniform. Multe servicii permit passkeys ca metodă suplimentară, dar păstrează parola ca alternativă – ceea ce înseamnă că vechiul punct slab rămâne acolo, doar mai ascuns.
- Pe un dispozitiv partajat lucrurile devin ciudate. Un passkey stocat pe laptopul de la birou e legat de contul de sistem de acolo.
Ultimul punct merită subliniat, pentru că el anulează o bună parte din beneficiu. Dacă serviciul acceptă și parolă, un atacator va încerca pur și simplu ruta veche. Câteva servicii permit acum dezactivarea completă a parolei după ce ai configurat cel puțin două passkeys – e opțiunea care aduce câștigul real.
Cum le configurezi rezonabil
Începe cu conturile care contează cel mai mult: e-mailul principal, contul Google sau Apple, apoi banking și rețelele sociale. E-mailul e prioritatea absolută, pentru că prin el se resetează toate celelalte parole.
Creează cel puțin două passkeys pentru fiecare cont important – de exemplu unul pe telefon și unul pe laptop, sau o cheie fizică de securitate ținută acasă. Un singur passkey pe un singur telefon înseamnă că un telefon pierdut devine o problemă serioasă.
Păstrează codurile de rezervă generate de servicii. Le tipărești și le pui undeva fizic. Sună demodat, dar e exact soluția potrivită pentru situația în care nu ai acces la niciun dispozitiv.
Nu șterge parola veche în prima zi. Lasă ambele metode active câteva săptămâni, verifică dacă totul funcționează de pe toate dispozitivele tale, și abia apoi treci contul în regim exclusiv passkey, dacă serviciul permite.
Și verifică periodic ce dispozitive au chei active pentru conturile tale, la fel cum verifici sesiunile deschise – un dispozitiv vândut sau pierdut poate rămâne autorizat luni întregi.
Tranziția va mai dura ani, iar în tot acest timp vei jongla cu ambele sisteme. Dar direcția e clară, și e prima dată în vreo trei decenii când soluția propusă e simultan mai sigură și mai comodă decât ce înlocuiește. De obicei alegeai una dintre cele două.
