Godinama smo slušali o važnosti kompleksnih lozinki, njihovom redovitom mijenjanju i korištenju softvera za upravljanje njima. No, usprkos svemu, lozinke ostaju najveća slabost u svijetu digitalne sigurnosti. Teško se pamte, a relativno lako kradu, te su glavni uzrok uspješnih hakerskih napada. Sada je stigla tehnologija koja ima za cilj sve to promijeniti – Pristupni ključevi (eng. passkeys).
Ako ste u zadnje vrijeme kreirali korisnički račun na servisima poput Googlea, Applea ili PayPala, vjerojatno vam je ponuđena opcija "Create a passkey". Iako se može činiti kao još jedna prolazna tehnologija, radi se o fundamentalnoj promjeni u načinu na koji se prijavljujemo na digitalne servise, odnosno promjeni koja je sigurnija, brža i jednostavnija od bilo koje lozinke.
Što je zapravo pristupni ključ?
Najjednostavnije rečeno, pristupni ključ je digitalni ključ koji zamjenjuje vašu lozinku. To nije nešto što pamtite ili upisujete. Umjesto toga, on je sigurno pohranjen izravno na vašem uređaju: telefonu, računalu i sl.
Tehnički, temelji se na kriptografiji javnog ključa. Kada kreirate pristupni ključ za neku web stranicu, vaš uređaj generira jedinstveni par kriptografskih ključeva:
-
Privatni ključ: Ostaje sigurno zaključan na vašem uređaju (npr. u Secure Enclave čipu na iPhoneu ili TPM čipu na Windows računalu). Ovaj ključ nikada ne napušta vaš uređaj i predstavlja vašu tajnu.
-
Javni ključ: Šalje se web stranici ili servisu (npr. Googleu) i tamo se pohranjuje. On je, kao što mu ime kaže, javan i beskoristan bez svog privatnog para.
Kako funkcionira prijava pomoću pristupnog ključa?
Iako pozadinska tehnologija zvuči komplicirano, korisničko iskustvo je iznimno jednostavno. Proces prijave odvija se u nekoliko koraka, a traje svega sekundu:
-
Pokretanje prijave: Na web stranici odaberete prijavu pomoću pristupnog ključa.
-
Izazov: Web stranica šalje jedinstveni, jednokratni "izazov" vašem uređaju.
-
Potvrda identiteta: Vaš uređaj od vas traži da potvrdite svoj identitet – najčešće putem biometrije (otisak prsta, skeniranje lica) ili upisivanjem PIN-a uređaja.
-
Digitalni potpis: Nakon vaše potvrde, uređaj koristi privatni ključ kako bi digitalno "potpisao" izazov koji je dobio od web stranice.
-
Verifikacija: Potpisani izazov šalje se natrag web stranici, koja ga pomoću vašeg javnog ključa provjerava. Ako se potpisi podudaraju, prijava je uspješna.
Cijeli proces odvija se u pozadini. Za vas kao korisnika, prijava izgleda ovako: kliknete "Login", prislonite prst na senzor i prijavljeni ste.
Zašto su pristupni ključevi superiorni lozinkama?
Prednosti su ogromne i rješavaju gotovo sve probleme vezane uz lozinke:
-
Otpornost na phishing: Pristupni ključ je kriptografski vezan za točno određenu domenu web stranice. Čak i ako vas prevarant navede da posjetite lažnu stranicu koja savršeno imitira pravu, vaš uređaj neće dopustiti korištenje ključa jer se domene ne podudaraju. Phishing kakvog poznajemo postaje gotovo nemoguć.
-
Sigurnost od curenja podataka: Budući da serveri čuvaju samo vaš javni ključ, čak i ako dođe do masovnog hakerskog napada na neku tvrtku, vaši podaci za prijavu su sigurni. Privatni ključ, koji je jedini bitan, ostaje siguran na vašem uređaju.
-
Jednostavnost i brzina: Nema više pamćenja, upisivanja ili resetiranja zaboravljenih lozinki. Prijava je brza i intuitivna kao otključavanje telefona.
Sinkronizacija i korištenje na više uređaja
Što ako kreirate ključ na telefonu, a želite se prijaviti na računalu? Velike tehnološke tvrtke (Apple, Google, Microsoft) koje stoje iza ovog standarda (FIDO Alliance) riješile su i taj problem.
Pristupni ključevi se automatski sinkroniziraju putem vašeg ekosustava, primjerice, putem iCloud Keychaina ili Google Password Managera. Ključ kreiran na iPhoneu bit će odmah dostupan na vašem Macu i iPadu.
Za prijavu na uređaju izvan vašeg ekosustava (npr. prijava na Google račun s iPhonea na Windows računalu u hotelu), proces je također jednostavan. Na zaslonu računala pojavit će se QR kod. Skenirate ga svojim telefonom, na telefonu potvrdite identitet otiskom prsta i prijava na računalu je odobrena putem Bluetooth veze.
Je li ovo kraj za lozinke?
Iako je tehnologija spremna i podržana od strane najvećih igrača, prijelaz će potrajati. Potrebno je da sve web stranice i aplikacije implementiraju podršku za pristupne ključeve. Međutim, proces je u punom zamahu. Pristupni ključevi predstavljaju najznačajniji korak naprijed u digitalnoj sigurnosti u posljednjem desetljeću. Vrijeme je da počnete prihvaćati budućnost bez lozinki.
