Dlaczego passkeys mają znaczenie (nawet jeśli masz już hasło)
Większość logowań do zapasów wciąż zaczyna się tak samo jak dwadzieścia lat temu: e-mail i hasło. To współdzielony sekret. Wpisujesz go, witryna go sprawdza, a każdy, kto go pozna, może udawać Ciebie. Strony phishingowe, ponownie użyte loginy z innych wycieków i malware infostealer działają dlatego, że sekret może opuścić Twoją głowę i podróżować przez sieć.
Data Breach Investigations Report 2026 firmy Verizon wciąż znajduje użycie skradzionych poświadczeń w około 36% naruszeń. Same poświadczenia pojawiają się jako skradzione dane w ponad jednej czwartej z nich. „Czynnik ludzki” (phishing, pomyłki, socjotechnika) jest obecny w mniej więcej trzech na pięć naruszeń. Hasła nie są jedyną drogą wejścia, ale wciąż są drogą pewną.
Czym passkey naprawdę jest
Passkey to poświadczenie FIDO2 / WebAuthn: para kluczy publiczny/prywatny tworzona na Twoim urządzeniu (albo w menedżerze haseł lub sprzętowym kluczu bezpieczeństwa) dla jednej konkretnej witryny. Witryna przechowuje klucz publiczny. Klucz prywatny nigdy nie opuszcza authenticatora. Gdy się logujesz, witryna wysyła jednorazowe wyzwanie. Twoje urządzenie odblokowuje klucz prywatny tak samo, jak odblokowujesz telefon lub laptop (Windows Hello, Face ID, PIN, dotknięcie klucza bezpieczeństwa) i podpisuje wyzwanie. Witryna sprawdza podpis. Koniec.
Nie ma hasła do zapamiętania, ponownego użycia ani wklejenia. Nie ma też sekretu w naszej bazie, który przydałby się, gdyby ktoś go skopiował. Zrzut klucza publicznego nie wpuszcza nikogo.
FIDO Alliance traktuje „passkey” jak rzeczownik pospolity, tak jak „hasło”. Zsynchronizowane passkeys podróżują z Twoim kontem Apple, Google lub menedżera. Passkeys powiązane z urządzeniem (w tym klucze bezpieczeństwa FIDO) zostają na jednym authenticatorze. Obie są passkeys. Wersja zsynchronizowana to ta, z której większość ludzi będzie korzystać na co dzień. Wersja powiązana z urządzeniem to surowsza opcja, gdy chcesz, żeby klucz prywatny nigdy nie opuszczał kawałka sprzętu.
Dlaczego phishing się odbija
Ważną cechą nie jest biometria. Jest nią wiązanie do origin. Gdy passkey jest
tworzona, przeglądarka zapisuje prawdziwą witrynę (identyfikator relying party, w praktyce domenę). Przy logowaniu
authenticator użyje tej passkey tylko wtedy, gdy żądanie pochodzi z tej samej domeny. Sobowtór pod
simpleinventorymanagement.example nie może użyć passkey zarejestrowanej dla
simpleinventorymanagement.com. Urządzenie odmawia. Nie masz nawet szansy „potwierdzić”
na fałszywej stronie.
To znaczy „odporność na phishing” w języku CISA i NIST: authenticator nie przekaże użytecznego sekretu witrynie podszywającej się pod Twoją. Brytyjskie National Cyber Security Centre porównało poświadczenia FIDO2 z hasłami i z tradycyjnym MFA (hasło plus SMS, kod z aplikacji lub powiadomienie push). Wobec phishingu typu adversary-in-the-middle tradycyjne MFA wciąż jest podatne. FIDO2 nie. Kody SMS i monity „zatwierdź to logowanie” można przekazać w czasie rzeczywistym. Passkey nie, bo podpis jest związany z prawdziwym origin.
Digital Identity Guidelines NIST (SP 800-63B-4) wymagają teraz, by usługi na poziomie zapewnienia 2 oferowały opcję odporną na phishing, a na poziomie 3 jej wymagają. CISA uznaje, że FIDO/WebAuthn (klucze bezpieczeństwa i passkeys) oraz karty PKI to metody, które naprawdę się kwalifikują. Powiadomienia push, kody e-mail i SMS już nie.
Stuffing, zrzuty i „użyłem unikalnego hasła”
Nawet unikalne, długie hasło zawodzi, gdy wpiszesz je na złej witrynie albo gdy malware na laptopie odczyta je, gdy piszesz. Credential stuffing działa, bo ludzie ponownie używają haseł na różnych witrynach; wyciek gdzie indziej staje się logowaniem tutaj. Logi infostealerów w niedawnych raportach Verizon wciąż pokazują firmowe e-maile pomieszane z prywatnymi na niezarządzanych urządzeniach. Żaden z tych ataków nie daje klucza prywatnego, którego dałoby się użyć w naszej domenie.
Ankieta konsumencka FIDO Alliance na World Passkey Day 2025 wykazała, że 36% osób miało przynajmniej jedno konto przejęte z powodu haseł. To nie powód do paniki. To powód, by przestać robić z sekretu logowania coś, co da się kogoś podstępem skłonić do wpisania.
Czym to nie jest
- To nie magia wobec w pełni przejętego laptopa. Jeśli malware już działa jako Ty, może nadużyć tego, co potrafisz odblokować, w tym niektórych magazynów zsynchronizowanych passkeys. Passkeys podnoszą poprzeczkę wobec zdalnego phishingu. Nie zastępują higieny urządzenia.
- To nie powód, by rezygnować z SSO. Jeśli Twoja firma wymaga SAML, to wciąż wygrywa. Passkeys są dla kont, które logują się tu bezpośrednio. Nie obchodzą wymagania SSO na zweryfikowanej domenie.
- To nie drugi składnik na hasło. Passkey to logowanie podstawowe. Zachowaj 2FA przez aplikację uwierzytelniającą, którą już obsługujemy, jeśli chcesz drugi krok przy logowaniu hasłem. Nie traktuj passkey jako tego drugiego kroku.
- To nie jest nieodwracalne. Zostaw hasło (a w firmie SSO), żeby zgubiony telefon był niedogodnością, nie blokadą. Zarejestruj więcej niż jedną passkey, jeśli możesz: laptop plus telefon, albo klucz sprzętowy jako zapas.
Gdzie passkeys mieszczą się obok SSO
Logowanie jednokrotne SAML wciąż jest właściwym ruchem, gdy firma już żyje w Okta, Entra ID lub Google Workspace. IdP staje się drzwiami wejściowymi: offboarding to jeden przełącznik, a polityka MFA mieszka w jednym miejscu. Passkeys pomagają wszystkim innym, i pomagają właścicielowi, który jeszcze nie jest za IdP: osobie, która w przeciwnym razie ponownie użyłaby hasła w aplikacji magazynowej, która trzyma koszty dostawców, stany i historię zamówień.
Zapasy to dane operacyjne. Skradzione logowanie to nie tylko „ktoś zobaczył stan”. To ktoś, kto może korygować stany, realizować zamówienia albo po cichu czytać, co kupujesz i ile płacisz. Uczynienie tego logowania odpornym na phishing to ten sam instynkt, co zamykanie magazynu na klucz. Różnica jest taka, że fałszywy magazyn w internecie nie otworzy zamka wytrychem.
Jak zacząć
- Zaloguj się jak zwykle, a następnie otwórz Passkeys w ustawieniach konta.
- Dodaj passkey na urządzeniu, którego naprawdę używasz. Nadaj jej nazwę, którą później rozpoznasz.
- Dodaj drugą, jeśli możesz (telefon i laptop, albo klucz sprzętowy).
- Przy następnej wizycie użyj „Zaloguj się passkey” albo pozwól przeglądarce zaproponować jedną w polu e-mail.
Nadal masz swoje hasło. To dodatkowe drzwi, nie wyburzenie starych. O pozostałych sposobach, w jakie chronimy konta i połączenia SI, zobacz stronę bezpieczeństwa.