Jak nazywa się ten odporny na phishing, bezhasłowy klucz dostępu przechowywany na urządzeniu?

Klucz dostępu (passkey) działa dzięki kryptografii klucza publicznego – urządzenie generuje parę pasujących do siebie kluczy: klucz prywatny, który pozostaje zablokowany na telefonie lub komputerze, oraz klucz publiczny, który przechowuje strona internetowa. Podczas logowania strona wysyła wyzwanie, na które poprawnie odpowiedzieć może tylko klucz prywatny, więc żadne wspólne hasło nigdy nie wędruje przez internet, skąd mogliby je przechwycić hakerzy, ani nie powstaje baza haseł do wykradzenia.

Menedżer haseł po prostu przechowuje i automatycznie wypełnia tradycyjne hasła, co oznacza, że gdzieś nadal istnieje sekret, który można wykraść – to przydatne narzędzie, ale nie bezhasłowe poświadczenie, które standaryzuje sojusz FIDO. Jednorazowy kod PIN to tymczasowy kod wysyłany SMS-em lub przez aplikację, użyteczny jako dodatkowa weryfikacja, ale nadal jest to wspólny sekret, który można wyłudzić lub przechwycić.

Ponieważ klucz dostępu nigdy nie opuszcza urządzenia, nawet jeśli używana przez ciebie strona zostanie zhakowana, atakujący zdobędą tylko bezużyteczny klucz publiczny – dlatego wielkie firmy prześcigają się w zastępowaniu dziesięcioleci niebezpiecznych nawyków związanych z hasłami tym rozwiązaniem.