Passkey: így lépj be jelszó nélkül, biztonságosabban

A jelszó a digitális életünk leggyengébb láncszeme. Elfelejtjük, újrahasznosítjuk, adathalász oldalakon megadjuk, a szolgáltatóktól pedig időről időre milliószámra szivárognak ki. A passkey (magyarul gyakran azonosítókulcs vagy jelkulcs) erre a problémára ad választ: úgy léphetsz be vele, ahogy a telefonodat feloldod, ujjlenyomattal, arcfelismeréssel vagy PIN-kóddal, és közben nincs semmi, amit el lehetne lopni tőled egy hamis oldalon.

Ebben az útmutatóban elmagyarázzuk, hogyan működik a passkey, miért biztonságosabb a jelszónál, hogyan állítsd be a legfontosabb fiókjaidnál, és melyek azok a buktatók, amelyekre érdemes előre felkészülnöd. Ha a fiókjaid védelme általában is érdekel, a Biztonság rovatban további gyakorlati útmutatókat találsz.

Mi a baj a jelszavakkal?

A jelszó megosztott titok: te is ismered, és a szolgáltató is tárolja valamilyen formában. Ebből három alapvető gyengeség következik.

• Kiszivároghat. Ha feltörik a szolgáltató adatbázisát, a jelszavad (vagy annak visszafejthető lenyomata) a támadókhoz kerül. Hogy az e-mail-címed szerepel-e ismert adatszivárgásban, azt a Have I Been Pwned oldalon ellenőrizheted.
• Kicsalható. Az adathalász oldal pontosan úgy néz ki, mint az igazi, és ha beírod a jelszavad, azzal át is adtad. Egy jó jelszó ez ellen semmit sem ér.
• Újrahasznosítjuk. Kevesen jegyeznek meg több tucat egyedi jelszót, ezért ugyanaz a jelszó több helyen is szerepel. Elég, ha egyetlen helyről kiszivárog, és a támadók automatizáltan végigpróbálják a többi szolgáltatásnál is.

A kétlépcsős azonosítás sokat segít, de nem mindegyik formája egyformán erős. Az SMS-ben kapott kódot el lehet téríteni, és egy ügyes adathalász oldal a hatjegyű kódot is ugyanúgy elkéri és valós időben továbbítja, mint a jelszót. A passkey lényege, hogy ezt a támadási módot a működéséből adódóan kizárja.

Hogyan működik a passkey?

A passkey mögött nyilvános kulcsú titkosítás áll. Amikor egy fiókhoz passkey-t hozol létre, az eszközöd egy összetartozó kulcspárt generál:

• a privát kulcs az eszközödön (vagy a jelszókezelődben) marad, és soha nem hagyja el azt olvasható formában;
• a nyilvános kulcsot a szolgáltató kapja meg és tárolja.

Belépéskor a szolgáltató egy véletlenszerű kihívást küld. Az eszközöd, miután ujjlenyomattal, arcfelismeréssel vagy PIN-kóddal igazoltad, hogy te vagy az, a privát kulccsal aláírja ezt a kihívást. A szolgáltató a nála lévő nyilvános kulccsal ellenőrzi az aláírást, és ha stimmel, beenged.

Ebből három fontos dolog következik:

1. A szolgáltatónál nincs mit ellopni. A nyilvános kulcs önmagában semmire sem jó, belépni nem lehet vele. Egy adatszivárgás így nem fedi fel a belépési adataidat.
2. A passkey a weboldal címéhez kötött. A böngésző és az operációs rendszer csak annak az oldalnak ajánlja fel a passkey-t, amelyhez létrejött. Egy megtévesztően hasonló című hamis oldal egyszerűen nem kapja meg, akármilyen jól néz ki. Ettől adathalászatnak ellenálló a megoldás.
3. A biometrikus adatod nem megy sehova. Az ujjlenyomatod vagy az arcod csak arra szolgál, hogy az eszközöd helyben feloldja a privát kulcsot. A szolgáltató ebből semmit nem lát.

A technológia nem egyetlen cég találmánya. A hátterében a FIDO2 szabványcsalád áll, amelynek része a böngészők által megvalósított WebAuthn szabvány. A FIDO Alliance az az iparági szövetség, amely a szabványokat gondozza, és amelynek az Apple, a Google és a Microsoft is tagja. Ennek köszönhető, hogy a passkey ma már minden nagy platformon működik.

Szinkronizált és eszközhöz kötött passkey

A passkey-knek két fő fajtája van, és érdemes érteni a különbséget, mert a kényelmet és a biztonságot is ez határozza meg.

Szinkronizált passkey

Ez a hétköznapi felhasználók számára ajánlott változat. A privát kulcs végponttól végpontig titkosítva szinkronizálódik az eszközeid között egy jelszókezelőn keresztül: Apple-eszközökön az iCloud-kulcskarikán, androidos telefonon és Chrome-ban a Google Jelszókezelőn, Windowson a Microsoft megoldásán vagy egy független jelszókezelőn keresztül. Ha elveszted a telefonod, a passkey-eid nem vesznek el vele, mert az új készüléken a fiókodba belépve visszakapod őket.

Eszközhöz kötött passkey

Ilyenkor a privát kulcs egyetlen fizikai eszközön él, és azt soha nem hagyja el. Tipikus példa a hardveres biztonsági kulcs, például a YubiKey, amelyet USB-n vagy NFC-n keresztül csatlakoztatsz. Ez a legerősebb védelem, mert a kulcsot távolról semmilyen módon nem lehet megszerezni, cserébe ha elveszted, a rajta lévő passkey is odavan. Ezért biztonsági kulcsból mindig legalább kettőt érdemes regisztrálni, és az egyiket biztos helyen tartani.

A legtöbb embernek a szinkronizált passkey a jó választás. Hardverkulcsra elsősorban akkor van szükség, ha kiemelten védendő fiókjaid vannak, vagy a munkahelyed előírja.

Belépés másik eszközön: a QR-kódos módszer

Gyakori kérdés, mi történik, ha a passkey a telefonodon van, de egy idegen vagy közös számítógépen szeretnél belépni. Erre szolgál az eszközök közötti hitelesítés. A számítógép böngészője ilyenkor egy QR-kódot mutat, amelyet a telefonod kamerájával beolvasol, majd a telefonon ujjlenyomattal vagy arcfelismeréssel jóváhagyod a belépést.

A háttérben a két eszköz Bluetooth segítségével ellenőrzi, hogy valóban egymás közelében vannak. Ez azért fontos, mert így egy távoli támadó hiába küld neked QR-kódot, a te telefonod nem lesz az ő gépe közelében, a belépés tehát nem jön létre. A passkey közben nem másolódik át a számítógépre, a telefonod csak az adott belépést hagyja jóvá.

A fejlesztőknek és az érdeklődőknek szóló passkeys.dev részletes, naprakész áttekintést ad arról, melyik operációs rendszer és böngésző pontosan mit támogat.

Beállítás a Google-fiókodnál

A Google-fiók az egyik legjobb hely a kezdéshez, mert jellemzően ehhez kötődik a levelezésed, és rajta keresztül sok más szolgáltatás jelszava is visszaállítható.

1. Lépj be a Google-fiókodba, és nyisd meg a Biztonság menüpontot.
2. Keresd meg az azonosítókulcsokra és biztonsági hardverkulcsokra vonatkozó beállítást.
3. Válaszd az azonosítókulcs létrehozását, és kövesd az utasításokat: az eszközöd ujjlenyomatot, arcfelismerést vagy képernyőzár-kódot kér.
4. Ismételd meg a többi eszközödön is, vagy hagyd, hogy a Google Jelszókezelő szinkronizálja a kulcsot.

Androidos telefonon a Google bizonyos esetekben automatikusan is létrehoz passkey-t a fiókodhoz. A részleteket és a hibaelhárítási tippeket a Google súgójának azonosítókulcsokról szóló oldala tartalmazza. A jelszavad a passkey létrehozása után is megmarad tartalék belépési módként, de a Google ezentúl alapértelmezetten a passkey-t kéri.

Beállítás Apple-eszközökön

Az Apple-nél a passkey-ek az iCloud-kulcskarikában tárolódnak, és azon keresztül szinkronizálódnak az iPhone-od, iPaded és Maced között. Ehhez két dolognak kell teljesülnie: az iCloud-kulcskarikának bekapcsolva kell lennie, az Apple-fiókodon pedig kétlépcsős azonosításnak kell működnie.

Magát a passkey-t nem egy központi menüben hozod létre, hanem az adott weboldalon vagy alkalmazásban: amikor a szolgáltatás felajánlja a passkey mentését, a rendszer Face ID-val vagy Touch ID-val megerősítést kér, és elmenti. Belépéskor a billentyűzet fölött vagy egy felugró ablakban ajánlja fel. Az elmentett passkey-eket a Jelszavak alkalmazásban tekintheted át és törölheted.

A részletes leírást az Apple támogatási oldalán találod. Az újabb rendszerverziók azt is lehetővé teszik, hogy az iCloud-kulcskarika helyett vagy mellett egy független jelszókezelő tárolja a passkey-eidet.

Beállítás Microsoft-fióknál és Windowson

A Microsoft az elmúlt években kifejezetten a jelszó nélküli belépés felé tereli a felhasználóit. A Microsoft-fiókodhoz a fiók biztonsági beállításai között, a speciális biztonsági beállításoknál adhatsz hozzá új bejelentkezési módot, ahol az arcfelismerést, ujjlenyomatot, PIN-kódot vagy biztonsági kulcsot kell választanod.

Windows 11-en a passkey-ek a Windows Hello segítségével jönnek létre és oldhatók fel, vagyis arcfelismeréssel, ujjlenyomattal vagy a gép PIN-kódjával. Az elmentett passkey-eket a Gépház fiókbeállításai között tudod kezelni. A lépésről lépésre szóló útmutatót a Microsoft támogatási oldala írja le. Ha még Windows 10-et használsz, érdemes elolvasnod, milyen lehetőségeid vannak a támogatás vége után, mert egy biztonsági frissítéseket nem kapó rendszeren a legjobb belépési módszer is kevesebbet ér.

Fontos tudni, hogy a Windows Hello által az adott gépen létrehozott passkey alapesetben ahhoz a géphez kötődik. Ha több eszközön is használni szeretnéd, vagy hozz létre mindegyiken külön passkey-t, vagy használj szinkronizáló jelszókezelőt.

Passkey és a jelszókezelők

Ha vegyesen használsz eszközöket, például androidos telefont, windowsos gépet és egy iPadet, a platformok saját megoldásai kényelmetlenek lehetnek, mert mindegyik a saját ökoszisztémáján belül szinkronizál a legjobban. Ilyenkor egy független jelszókezelő a praktikus választás: az minden eszközödön és böngésződben ugyanazt a tárolót éri el.

A nagyobb jelszókezelők ma már a jelszavak mellett passkey-eket is tudnak tárolni és szinkronizálni. Ilyen például a nyílt forráskódú Bitwarden, de a legtöbb ismert versenytársa is. Az Android és az iOS újabb verziói rendszerszinten engedik, hogy harmadik féltől származó jelszókezelő legyen a passkey-ek szolgáltatója.

Ha ezt az utat választod, a jelszókezelőd a legfontosabb fiókod lesz, ezért annak a védelmére különösen figyelj: legyen hosszú, egyedi mesterjelszava, és legyen rajta erős kétlépcsős azonosítás, lehetőleg hardverkulccsal vagy hitelesítő alkalmazással.

Hasznos tudni, hogy a FIDO Alliance dolgozik egy olyan szabványon, amely a passkey-ek biztonságos átvitelét teszi lehetővé a különböző jelszókezelők között. Amíg ezt minden szereplő meg nem valósítja, számíts rá, hogy szolgáltatóváltáskor a passkey-eket nem mindig tudod egyszerűen magaddal vinni, és előfordulhat, hogy az új helyen újra létre kell hoznod őket.

Hol használhatsz már passkey-t?

A nagy technológiai cégek fiókjain kívül egyre több webáruház, közösségi oldal, fizetési szolgáltató és fejlesztői platform támogatja a passkey-t. A FIDO Alliance közösségi gyűjtése, a Passkeys Directory kereshető listát vezet a passkey-t támogató szolgáltatásokról.

Nem kell mindent egyszerre átállítanod. Észszerű sorrend a következő:

1. Az elsődleges e-mail-fiókod. Ezen keresztül állítható vissza szinte minden más fiókod jelszava, ezért ez a legértékesebb célpont.
2. A jelszókezelőd, ha támogatja.
3. Pénzügyi és fizetési szolgáltatások.
4. Közösségi és üzenetküldő fiókok, amelyekkel visszaélve a nevedben csalhatnak.
5. Minden más, ahogy éppen használod: ha egy oldal belépéskor felajánlja a passkey létrehozását, fogadd el.

Helyreállítás: mi van, ha elveszik a telefonod?

Ez a leggyakoribb aggodalom, és jogos. A válasz attól függ, milyen passkey-t használsz.

Szinkronizált passkey esetén a kulcsaid a fiókodhoz (Apple-, Google- vagy jelszókezelő-fiókhoz) tartoznak, nem a készülékhez. Új telefonon belépsz a fiókodba, igazolod magad, és a passkey-eid visszatérnek. A kritikus pont tehát az, hogy ehhez a fiókhoz hozzá tudj férni akkor is, ha egyetlen eszközöd sincs kéznél.

Ezért az alábbiakat még azelőtt tedd meg, hogy baj lenne:

• Állíts be helyreállítási lehetőségeket a fő fiókjaidnál: tartalék e-mail-címet, telefonszámot, illetve ahol van, helyreállítási kapcsolattartót vagy helyreállítási kulcsot.
• Mentsd el a tartalékkódokat. A legtöbb szolgáltató egyszer használatos biztonsági kódokat ad; ezeket nyomtasd ki vagy írd le, és tartsd biztos helyen, ne a telefonodon.
• Legyen legalább két eszközöd vagy módszered. Egy passkey a telefonon és egy a laptopon, vagy egy tartalék hardverkulcs a fiókban.
• Ne töröld a régi belépési módot, amíg az újat ki nem próbáltad egy másik eszközről vagy privát böngészőablakból.

Ha ellopják a telefonod, a tolvaj a passkey-eiddel önmagában nem tud mit kezdeni, mert azok feloldásához az ujjlenyomatod, az arcod vagy a képernyőzár-kódod kell. Emiatt viszont különösen fontos, hogy a telefonod zárkódja ne legyen könnyen kitalálható vagy leleshető: aki ismeri a kódot és megszerzi a készüléket, az a passkey-eidhez is hozzáfér. A telefonodat a gyártó távoli keresés és törlés funkciójával le is tilthatod.

Buktatók és korlátok

A passkey nagy előrelépés, de nem varázspálca. Érdemes tisztában lenned a gyenge pontjaival.

• A jelszó sokszor megmarad. A legtöbb szolgáltató a passkey mellett továbbra is engedi a jelszavas belépést. Amíg ez így van, a fiókod annyira védett, amennyire a leggyengébb belépési módja. A megmaradó jelszó ezért legyen hosszú, egyedi, jelszókezelőben tárolt, és legyen mellette kétlépcsős azonosítás.
• A helyreállítás a gyenge láncszem. Ha a fiók visszaállítható egy e-mailben küldött linkkel vagy SMS-kóddal, a támadó ezt az utat fogja megpróbálni. Nézd át, milyen helyreállítási módok vannak beállítva, és töröld azokat, amelyeket nem használsz.
• Platformfüggőség. Ha minden passkey-ed egyetlen cég ökoszisztémájában van, a platformváltás körülményes lehet. Független jelszókezelővel ez elkerülhető.
• Megosztott fiókok. Családi streaming- vagy közös céges fióknál a passkey megosztása nehézkesebb, mint egy jelszóé, bár több jelszókezelő kínál megosztási lehetőséget.
• Egyenetlen megvalósítás. Minden szolgáltató máshogy nevezi és máshova rejti a beállítást, és előfordul, hogy egy oldal csak bizonyos böngészőkben kínálja fel.
• Megtévesztés továbbra is létezik. A passkey-t nem lehet kicsalni tőled, de rá lehet beszélni arra, hogy te magad hagyj jóvá egy belépést, vagy hogy egy csaló eszközét add hozzá a fiókodhoz. Ha valaki telefonon vagy üzenetben arra kér, hogy olvass be egy QR-kódot vagy hagyj jóvá egy kérést, amit nem te indítottál, az csalás.

Kell-e még kétlépcsős azonosítás?

A passkey önmagában két tényezőt egyesít: valamit, ami a birtokodban van (az eszköz a privát kulccsal), és valamit, ami te vagy vagy amit tudsz (biometria vagy PIN). Ezért passkey-es belépésnél a szolgáltatók jellemzően nem kérnek külön második lépcsőt, és ez nem jelent gyengébb védelmet.

Az amerikai szabványügyi intézet digitális azonosításról szóló NIST SP 800-63B iránymutatása külön kategóriaként kezeli az adathalászatnak ellenálló hitelesítést, és a passkey ebbe a körbe tartozik, szemben az SMS-ben vagy alkalmazásban kapott kódokkal. Az amerikai kiberbiztonsági ügynökség, a CISA többtényezős azonosításról szóló útmutatója szintén az adathalászatnak ellenálló módszereket ajánlja elsőként.

A kétlépcsős azonosításra ott van továbbra is szükség, ahol a jelszavas belépés megmaradt. Ilyenkor a sorrend a biztonság szempontjából: hardverkulcs vagy passkey, utána hitelesítő alkalmazás, és csak végső esetben SMS. Az SMS is jobb a semminél, de ha van más lehetőség, azt válaszd.

Az otthoni hálózatod védelme ugyanennyire fontos: a routered beállításairól és a korszerű Wi-Fi titkosításról a Wi-Fi 7 router vásárlási útmutatónkban olvashatsz.

Gyakori kérdések

A szolgáltató megkapja az ujjlenyomatomat?

Nem. A biometrikus azonosítás kizárólag az eszközödön történik, és csak a privát kulcs feloldására szolgál. A szolgáltató egy kriptográfiai aláírást kap, semmi mást.

Mi van, ha az eszközömön nincs ujjlenyomat-olvasó?

Akkor a képernyőzár PIN-kódjával vagy jelszavával oldod fel a passkey-t. Ez a kód az eszközön marad, nem megy át a hálózaton, ezért nem ugyanaz, mint egy weboldalon megadott jelszó.

Használhatom ugyanazt a passkey-t több weboldalon?

Nem, és ez szándékos. Minden fiókhoz külön kulcspár jön létre, így a szolgáltatások nem tudnak a passkey alapján összekapcsolni téged, és egy kulcs kompromittálódása nem érinti a többit.

Mit tegyek, ha egy oldal nem támogatja?

Használj hosszú, egyedi, jelszókezelő által generált jelszót, és kapcsold be a kétlépcsős azonosítást, lehetőleg hitelesítő alkalmazással.

Törölhetem a jelszavamat, ha már van passkey-em?

Ahol a szolgáltató engedi, igen, de csak akkor tedd meg, ha legalább két független belépési módod van (például két eszközön lévő passkey vagy egy tartalék hardverkulcs), és a helyreállítási lehetőségeket is beállítottad.

Összefoglalva

A passkey a jelszó helyére lépő, nyilvános kulcsú titkosításon alapuló belépési mód. A privát kulcs nálad marad, a szolgáltató csak a nyilvános párját ismeri, a belépést pedig az eszközöd feloldásával hagyod jóvá. Nincs mit megjegyezni, nincs mit kicsalni, és egy szolgáltatói adatszivárgás sem fedi fel a belépési adataidat.

A teendő egyszerű: kezdd az e-mail-fiókoddal és a jelszókezelőddel, állítsd be előre a helyreállítási lehetőségeket, tarts legalább két független belépési módot, és ahol a jelszó megmarad, ott gondoskodj róla, hogy erős legyen. A passkey nem old meg minden biztonsági problémát, de a leggyakoribb támadási módot, az adathalászatot nagyon hatékonyan kizárja, és közben a mindennapi belépést is gyorsabbá teszi.