Passkeys. Co zmieniają w logowaniu i czego nie naprawiają
Passkeys mają jedną obietnicę, która nie jest marketingowym dymem: przestają działać klasyczne strony-pułapki na hasła. Przeglądarka i autentikator wiążą klucz z originem serwisu. Fałszywy host nie dostaje asercji przeznaczonej dla prawdziwego. To realna zmiana względem „wpisz hasło na stronie, która wygląda jak bank”.
Obietnica druga, że „hasła znikają i problem znika”, już tak czysta nie jest. Sync, odzyskiwanie konta i metody awaryjne zostają. Atakujący często idzie tam, nie w kryptografię WebAuthn.
Co passkey robi dobrze
Passkey to para kluczy w modelu FIDO2/WebAuthn. Prywatny zostaje w autentikatorze (sprzętowy klucz, secure enclave, TPM, albo magazyn menedżera). Publiczny trafia do serwisu. Przy logowaniu serwis wysyła challenge. Podpis powstaje lokalnie, po odblokowaniu PIN-em albo biometrią.
Odporność na phishing wynika z powiązania z originem. Zła domena nie powinna dostać ważnego podpisu dla dobrej domeny. Nie musisz „nie dać się nabrać na literówkę w URL”, żeby ten mechanizm zadziałał. To właśnie odróżnia passkeys od haseł i od wielu form SMS OTP, które da się przepchnąć przez stronę pośredniczącą w czasie rzeczywistym.
Reuse haseł spada, bo nie ma wspólnego ciągu znaków do wycieku z innej bazy. Credential stuffing na samym passkeyu nie działa jak na liście mail:hasło.
Dla kont, które wspierają wyłącznie passkey albo passkey jako drugi czynnik obok mocnego menedżera, poprzeczka dla zdalnego ataku idzie w górę. Dlatego warto je włączać tam, gdzie są dostępne: poczta, GitHub, bankowość jeśli dokończyła wdrożenie, Apple/Google/Microsoft ID.
Sync: wygoda przesuwa zaufanie
Poświadczenie przywiązane do urządzenia na kluczu sprzętowym (YubiKey i podobne) zostaje na kawałku plastiku. Zgubisz klucz, masz problem z dostępem, dopóki nie masz drugiego zarejestrowanego. Synced passkeys (Apple iCloud Keychain, Google Password Manager, menedżery haseł) kopiują poświadczenie między urządzeniami przez konto chmurowe.
To rozwiązuje adopcję. Nikt nie chce rejestrować osobnego klucza na każdym telefonie. Jednocześnie granica zaufania przesuwa się z „ten autentikator” na „konto, które potrafi dołączyć nowe urządzenie i odtworzyć magazyn”.
Jeśli ktoś przejmie konto Apple/Google albo zmusi Cię do ścieżki odzyskiwania, może dojść do materiału, który odszyfruje synced passkeys, albo do rejestracji własnego urządzenia w kręgu zaufania. Nie musi łamać algorytmu podpisu. Wystarczy najsłabszy proces wokół syncu. Badania i raporty z lat 2025-2026 (m.in. analizy wokół recovery i malware na stacjach z zalogowanym menedżerem) wracają do tej osi: kryptografia trzyma, konto syncu i endpoint bywają miękkie.
Dlatego w firmach do kont uprzywilejowanych często zaleca się poświadczenia przywiązane do urządzenia albo sprzętowe klucze, a sync zostawia się konsumentom. Inny threat model, nie snobizm.
Odzyskiwanie nadal boli
Konto bez hasła nadal potrzebuje drogi awaryjnej. Zgubiony telefon, wyczyszczony dysk, zmarły krewny z dostępem do maila. Serwisy doklejają kody recovery, SMS, mail reset, support. Każdy z tych kanałów wraca do starego świata: kto kontroluje skrzynkę albo SIM, ten często kontroluje reset.
Passkey nie naprawi helpdesku, który wiesza nowe poświadczenie po rozmowie z kimś, kto zna numer PESEL ofiary. Nie naprawi też „zapomniałem, wyślij link”. Jeśli ścieżka awaryjna jest słaba, atakujący woli ją niż phishing hasła, którego już nie ma.
Praktyczna higiena: zapisz kody recovery offline. Zarejestruj drugi autentikator. Utrzymuj osobną, twardą ścieżkę do konta pocztowego, bo poczta nadal jest kluczem do połowy resetów w internecie. Ranking menedżerów haseł ma sens nawet w świecie passkeys: wiele wdrożeń to hybrydy, a sync passkey żyje w tym samym ekosystemie co vault.
Czego passkeys nie sprzątną
Malware na odblokowanym komputerze z zalogowaną sesją nadal widzi dużo. Passkey nie zastępuje szyfrowania dysku ani aktualizacji. Nie zastępuje urzędowej tożsamości przy KYC. Nie sprawia, że cookie sesji po zalogowaniu robi się magicznie odporne na kradzież.
Nie każdy serwis wdraża WebAuthn tak samo. Część pozwala na passkey obok hasła i zostawia hasło jako wieczny plan B. Część woła passkey, a potem i tak pyta o SMS „dla pewności”. Szukaj ustawień, które wyłączają słabsze metody, kiedy naprawdę możesz.
Ataki na użytkowników będą celować w rejestrację: „zarejestruj nowy passkey”, fałszywe monity systemowe, socjotechnikę przy PIN-ie odzyskiwania. Czytanie promptów nie zniknęło. Zmienił się tekst na przycisku.
Co robię z tym ja
Włączam passkeys wszędzie, gdzie są stabilne. Trzymam hardware key jako kotwicę do kilku kont o wysokiej wartości. Nie zakładam, że sync w chmurze jest tym samym co klucz na biurku. Hasła w menedżerze zostają tam, gdzie passkey jeszcze nie dotarł.
Passkeys zmieniają najczęstszy atak dekady, phishing haseł, w coś znacznie droższego. Nie zamykają tematu tożsamości. Zostaje konto syncu, odzyskiwanie i urządzenie, na którym klikasz „Allow”. To wystarczająco dużo, żeby nie kupować nagłówka „hasła umarły, jesteśmy bezpieczni”.