Passkeys: autentificarea fără parolă, pe scurt

Un passkey e o cheie de autentificare care stă pe telefonul sau laptopul utilizatorului și se deblochează cu amprenta, fața sau codul ecranului. Omul nu mai scrie nicio parolă, iar site-ul nu mai păstrează nicio parolă care să poată fi furată. Din octombrie 2023, Google le propune implicit pentru conturile personale, așa că mulți dintre utilizatorii tăi au deja măcar un passkey, chiar dacă nu știu cum se numește.

Ce e, de fapt, un passkey

Passkey-urile sunt construite pe standardele FIDO și folosesc criptografia cu chei publice. La crearea contului, dispozitivul generează o pereche de chei:

• cheia privată rămâne pe dispozitiv (sau în managerul de parole care o sincronizează criptat);
• cheia publică ajunge pe serverul aplicației.

La autentificare, serverul trimite o provocare, dispozitivul o semnează cu cheia privată după ce utilizatorul confirmă cu amprenta sau PIN-ul, iar serverul verifică semnătura cu cheia publică. Google o spune simplu în documentație: site-ul păstrează doar cheia publică. Dacă baza de date e spartă, atacatorul nu are ce folosi ca să intre în conturi.

De ce contează phishing-ul

Parola merge oriunde o scrii, inclusiv pe o pagină falsă care arată exact ca a ta. Un passkey nu: e legat de site-ul sau aplicația pentru care a fost creat. Google precizează în documentație că passkey-urile merg doar pe site-urile și în aplicațiile la care au fost înregistrate. Pe un domeniu fals, telefonul pur și simplu nu oferă cheia.

Pentru o aplicație de servicii, asta înseamnă mai puține conturi furate și mai puține mesaje de tipul „nu mai pot intra, cineva mi-a schimbat parola”.

Unde funcționează deja

• Apple: passkey-urile se sincronizează prin iCloud Keychain între dispozitivele Apple, criptate de la un capăt la altul. Apple spune că „nici Apple nu le poate citi” și că iPhone-ul poate fi folosit ca să te autentifici și pe dispozitive care nu sunt Apple.
• Google: pe 10 octombrie 2023, passkey-urile au devenit opțiunea implicită pentru conturile Google personale. Parola rămâne disponibilă, dar utilizatorii primesc invitații să creeze un passkey.
• Standardul e comun. FIDO Alliance descrie passkey-urile fie ca sincronizate între dispozitivele omului, fie legate de un singur dispozitiv sau de o cheie de securitate fizică.

Pe scurt, un utilizator obișnuit cu un telefon recent are deja tot ce trebuie. Partea care lipsește, de cele mai multe ori, e la aplicație.

Ce înseamnă pentru aplicația ta

Dacă aplicația are cont de utilizator, passkey-urile se pot adăuga fără să schimbi tot. Câteva decizii de luat:

1. Nu scoți parola de azi pe mâine. Ghidul web.dev pentru autentificare spune clar că, în perioada asta, site-urile trebuie să accepte și utilizatori cu parolă, și utilizatori cu passkey.
2. Folosește completarea automată. Pe web există varianta numită „conditional UI”: câmpul de utilizator primește autocomplete="username webauthn", iar passkey-ul apare în lista de sugestii a browserului, lângă parolele salvate. Omul nu trebuie să învețe un buton nou.
3. Propune passkey-ul după o autentificare reușită, nu la primul ecran. Cineva care tocmai a intrat cu parola e cel mai dispus să accepte „data viitoare intră cu amprenta”.
4. Gândește recuperarea contului. Ce face cineva care și-a pierdut telefonul și nu are passkey-ul sincronizat? Fără un drum de rezervă (mail confirmat, alt dispozitiv), mutăm problema din „am uitat parola” în „am pierdut telefonul”.
5. Lasă loc pentru mai multe passkey-uri pe cont: unul pe telefon, unul pe laptopul de la birou.

Când merită acum

Merită mai ales dacă:

• aplicația ține date sensibile sau plăți;
• utilizatorii intră des și se plâng de parole uitate;
• ai mulți utilizatori pe telefon, unde scrisul unei parole lungi e cel mai neplăcut.

Pentru o aplicație internă cu zece angajați care intră cu contul firmei, prioritățile pot fi altele. Pentru o aplicație publică nouă, are sens să fie gândită de la început cu passkey-uri, chiar dacă la lansare păstrează și parola.

Dacă pregătești o aplicație și vrei autentificarea făcută ca lumea, vezi ce facem la App Dev. Despre ecranul de înregistrare în general: Ecranul de înregistrare: unde pleacă cei mai mulți utilizatori.