Passkeys: jak se přihlásit bez hesla a neztratit přístup

Co se při přihlášení pomocí passkey děje?

Přístupový klíč tvoří dvojice kryptografických klíčů. Web dostane veřejnou část; soukromou část uchovává vaše zařízení nebo správce přístupových údajů. Při přihlášení web pošle výzvu, kterou zařízení po vašem potvrzení podepíše. Server ověří odpověď pomocí veřejného klíče.

Podstatné je, že webu neposíláte společné tajné heslo, které by mohl někdo vylákat a znovu použít. Přístupový klíč je navázaný na příslušnou službu; napodobenina její přihlašovací stránky na cizí doméně nemůže jednoduše získat přihlášení stejným způsobem jako vyplněné heslo.

Otisk prstu přitom není vaše nové heslo uložené na webu. Slouží k místnímu potvrzení, že zařízení smí klíč použít. Biometrické údaje neopouštějí zařízení. Pokud biometriku nechcete nebo ji telefon nepodporuje, lze podle zařízení použít PIN či jiný podporovaný zámek.

Tento princip zároveň vysvětluje, proč nestačí znát přihlašovací e-mail. K dispozici musí být odpovídající klíč a možnost odemknout jeho použití.

Kde se přístupový klíč ukládá?

Při nabídce „Vytvořit přístupový klíč“ mohou být na jednom počítači dostupné různé možnosti. Sledujte, zda dialog nabízí Google Password Manager, Apple Passwords, jiného správce, Windows Hello nebo bezpečnostní klíč. Název webu říká, pro koho klíč vytváříte; název správce říká, kdo ho uchová.

Google Password Manager umožňuje synchronizovat uložené passkeys přes Google účet. K jejich zpřístupnění na dalším zařízení může být potřeba PIN správce nebo zámek původního Androidu. Nestačí tedy automaticky předpokládat, že znalost hesla ke Google účtu vyřeší celý přenos.

Naproti tomu místní passkey uložená ve Windows Hello podle dokumentace Chrome nemá tuto synchronizaci. Ztráta počítače nebo přeinstalace systému může znamenat ztrátu klíče. To není důvod tuto možnost nepoužívat; je to důvod založit další přihlášení předem.

Jak začít na osobním Google účtu?

Pro konkrétní příklad použijme vlastní Android se zámkem obrazovky a osobní Google účet. Systém a prohlížeč udržujte aktualizované. U pracovních a školních účtů může pravidla určovat správce organizace.

1. Otevřete správu přístupových klíčů. Přejděte na myaccount.google.com/signinoptions/passkeys. Zkontrolujte, že pracujete se správným účtem.
2. Prohlédněte existující klíče. Android mohl klíč pro přihlášený Google účet vytvořit automaticky. Nový přidejte volbou Vytvořit přístupový klíč, pokud ho potřebujete.
3. Přečtěte si ukládací dialog. Ověřte nabízené zařízení či správce a potvrďte zámkem obrazovky.
4. Vyzkoušejte přihlášení. Na dalším vlastním zařízení otevřete nové soukromé okno bez přihlášeného účtu a použijte novou metodu. Poslední funkční přihlášení si zatím ponechte.

Google může použití nového klíče z bezpečnostních důvodů odložit až o sedm dní. Když ho při přihlášení hned nenabídne, nemažte kvůli tomu dosavadní metody.

Vytvořením klíče na Google účtu se samo neodstraní původní heslo ani ostatní prostředky obnovy. Ty dál chrání případnou alternativní cestu dovnitř. Proto má stále smysl zabezpečit hlavní e-mail včetně obnovovacích kontaktů.

Jak se telefonem přihlásit na notebooku?

Telefon s passkey může potvrdit přihlášení v Chrome na notebooku, aniž byste klíč nejprve kopírovali do notebooku. Telefon musí být po ruce; pro tuto cestu zapněte Bluetooth na obou zařízeních a připojte je k internetu.

1. Na oficiální přihlašovací stránce Google v notebooku zadejte účet.
2. Zvolte Zkusit jiný způsob → Použít přístupový klíč, případně možnost telefonu nebo jiného zařízení.
3. QR kód na notebooku naskenujte telefonem.
4. V telefonu potvrďte použití klíče otiskem, rozpoznáním obličeje nebo PINem.
5. Zkontrolujte, že se účet otevřel v prohlížeči notebooku.

Klíč při tomto postupu zůstává v telefonu či jeho správci. Notebook získá přihlášenou relaci. Příště proto nemusí mít vlastní samostatný klíč jen proto, že jste se na něm jednou přihlásili.

Skenujte pouze kód z přihlášení, které jste sami zahájili. A na počítači, který sdílíte, nepřidávejte na závěr nový místní klíč jen proto, že to služba nabídne. Úspěšné přihlášení s pomocí telefonu a uložení přístupu do společného počítače jsou dva různé kroky.

Co udělat před výměnou nebo ztrátou telefonu?

Při plánované výměně máte velkou výhodu: starý telefon ještě funguje. Nové zařízení nastavte, zpřístupněte na něm zvoleného správce a vyzkoušejte přihlášení k důležitým službám. Nespoléhejte jen na to, že nový telefon zobrazuje stejnou tapetu a aplikace.

U každého zásadního účtu si odpovězte na tři otázky:

• Vidím v novém zařízení klíč a mohu ho použít?
• Umím se přihlásit i bez starého telefonu?
• Mám náhradní cestu pro případ, že přijdu také o účet správce?

Pokud přecházíte mezi různými správci nebo platformami, ověřte jejich konkrétní podporu přenosu. Není-li vhodný přenos dostupný, přihlaste se starým způsobem a vytvořte pro danou službu další klíč v novém úložišti, pokud to služba dovoluje. Starý odeberte až po funkční zkoušce nového.

Při ztrátě telefonu použijte zbývající klíč, dostupnou alternativní metodu nebo oficiální obnovu účtu. Podle situace navazuje postup při ztrátě ověřovacího telefonu. Nestačí jen koupit stejný model telefonu: potřebujete se znovu dostat k synchronizovanému úložišti nebo použít jiný registrovaný přístup.

Po návratu k účtu z jiného zařízení zrušte přístup ze ztraceného telefonu. U Google odstraňte ručně vytvořený klíč v části Přístupové klíče a bezpečnostní klíče a zkontrolujte přihlášená zařízení. Automatický klíč Androidu se odstraňuje odhlášením příslušného zařízení v přehledu zařízení účtu; projděte všechny relace se stejným názvem. Podle typu klíče postupujte podle návodu Google pro odebrání klíče.

Chrání passkeys před každým napadením účtu?

Chrání přihlašování před důležitou skupinou útoků: zejména před vylákáním opakovaně použitelného hesla na podvodném webu. Neodstraňují však všechny ostatní cesty. Útočník může zneužít slabou obnovu účtu, škodlivý program nebo už přihlášený prohlížeč.

Také člověk, který dokáže odemknout vaše zařízení, může podle jeho nastavení potvrdit použití klíče. PIN proto nesdělujte jiným lidem a passkeys nevytvářejte v jejich uživatelském prostředí.

U služeb bez podpory passkeys používejte jedinečné heslo a vhodné dvoufázové ověření. Přechod může probíhat účet po účtu; není nutné čekat, až bude novou metodu podporovat každý web.

Často kladené otázky