Passkey omogućava prijavljivanje otiskom prsta ili prepoznavanjem lica, bez unošenja lozinke.
Lozinke su godinama bile osnovna zaštita naših naloga, ali danas sve češće predstavljaju bezbjednosni rizik. Hakeri ih kradu iz baza podataka, prodaju na mračnom vebu i koriste za upade u tuđe naloge.
Dobra vijest je da već postoji mnogo bezbjedniji način prijavljivanja, koji pritom ne zahtijeva pamćenje komplikovanih karaktera i brojeva.
Riječ je o tehnologiji passkey, koju podržava sve više sajtova i aplikacija. Umjesto unošenja lozinke, dovoljno je da potvrdite identitet na svom telefonu ili računaru, najčešće otiskom prsta, prepoznavanjem lica ili PIN-om.
Kako passkey štiti vaše naloge
Za razliku od klasičnih lozinki, passkey ne ostavlja tajnu koju hakeri mogu da ukradu iz baze podataka neke kompanije.
Ova tehnologija koristi dva kriptografska ključa. Javni ključ čuva sajt ili aplikacija, dok privatni ostaje na vašem uređaju, u menadžeru lozinki ili u Apple-ovom iCloud Keychain-u. Kada potvrdite identitet, sistem provjerava da li se ključevi podudaraju i omogućava prijavljivanje, bez slanja privatnog ključa sajtu.
Passkey tehnologiju razvila je organizacija FIDO Alliance, a njena prednost nije samo jednostavnije prijavljivanje. Ovi ključevi ne mogu da se pogode poput običnih lozinki, niti mogu da se iskoriste na lažnim sajtovima koji imitiraju originalne.
Čak i kada hakeri uspiju da provale u bazu podataka neke kompanije, tamo neće pronaći privatne ključeve korisnika. To znatno smanjuje vrijednost ukradenih podataka i otežava preuzimanje naloga.
Ipak, passkey nije zaštita od baš svakog napada.
Trevor Hiligos, istraživač bezbjednosti i direktor za analizu prijetnji u kompaniji SpyCloud, upozorava da hakeri imaju način da zaobiđu čak i ovu tehnologiju. Umjesto krađe lozinke, koriste zlonamjerni softver kako bi preuzeli kolačiće iz internet pregledača.
Kolačići omogućavaju sajtovima da zapamte da ste već prijavljeni, a ako haker ukrade onaj koji potvrđuje aktivnu sesiju, može da pristupi nalogu bez ponovnog unošenja lozinke ili provjere identiteta.
"Možete da koristite passkey, menadžer lozinki, 'imepsa2023' ili šta god želite. To zapravo nije važno, jer je autentifikacija već obavljena pomoću tog kolačića", objašnjava Hiligos. "Kriminalci oponašaju već autentifikovanu sesiju. Zato sajt vidi samo važeći kolačić".
Takvi kolačići mogu da ostanu aktivni od nekoliko sekundi do nekoliko godina. To znači da napadač, nakon njihove krađe, potencijalno može neprimjetno da pristupi elektronskoj pošti, ličnim podacima ili novcu.
Jedno podešavanje može dodatno da vas zaštiti
Hiligos ističe da vlasnici sajtova moraju bolje da zaštite korisničke sesije od ovakvih napada. Korisnicima u međuvremenu savjetuje da koriste passkey gdje god je dostupan, a na ostalim servisima jake i jedinstvene lozinke.
Pojedini sajtovi nude i mogućnost podešavanja trajanja korisničke sesije, što može da smanji rizik od zloupotrebe ukradenih kolačića.
Kada se pojavi prozor sa podešavanjima privatnosti, nemojte odmah kliknuti na "Accept". Potražite odjeljke "Cookies" ili "User Data" i, ukoliko postoji takva opcija, izaberite najkraće trajanje sesije. Na taj način kolačići mogu automatski da isteknu nakon određenog vremena ili zatvaranja pregledača.
(Smartlife/Mondo)