Kod, który trzeba przepisywać z telefonu, wkrótce odejdzie do przeszłości. Podobnie jak hasło, które trzeba zapamiętać, i SMS, na który trzeba czekać. W portalu EvoEX zaczyna się nowa era, a jej fundamentem jest PASSKEY.
Jeśli kiedykolwiek logowałeś się na swoje konto i po wpisaniu hasła rzucałeś się do telefonu, żeby otworzyć Google Authenticator i zdążyć przepisać sześciocyfrowy kod, zanim się zmieni, wiesz, jak niewygodny potrafi być „bezpieczny” proces logowania. Właśnie dlatego w portalu EvoEX wprowadzamy nowy sposób uwierzytelniania, który nie tylko upraszcza ten proces, ale też czyni go znacznie bezpieczniejszym niż wszystko, co było do tej pory.
Dlaczego to wszystko robimy
Passkey to tylko jeden element większego obrazu. EvoEX stworzył swój portal specjalnie dla klientów, z własną bazą sztucznej inteligencji w fundamencie, a cel jest prosty: wszystko, czego klient potrzebuje, znajduje się w jednym miejscu, a sam proces odbywa się jak najmniej zauważalnie.
Portal jest już teraz wygodny w użyciu dla naszych pracowników, a już wkrótce stanie się dostępny także dla klientów. Pomyślnie przeprowadziliśmy testy z użytkownikami demo i ulepszyliśmy system, na ile było to możliwe na tym etapie. Oczywiście klienci również będą mogli stale wpływać na kolejne zmiany, ale sam portal już teraz działa autonomicznie i rozumie, co ma robić.
System jest zsynchronizowany z bankiem i ma wbudowany własny moduł księgowy, który automatyzuje obsługę płatności, przypomnienia, umowy i obieg dokumentów. Klient nie musi już szukać informacji w różnych miejscach – wszystko jest w jednym miejscu.
Obecnie aktywnie pracujemy nad integracją systemu płatności. Celem jest, aby przy rachunku pojawił się przycisk „Zapłać”, który otwiera klientowi bank z już wprowadzonymi wszystkimi potrzebnymi danymi, a pozostaje tylko zatwierdzić płatność za pomocą Smart-ID lub innej metody uwierzytelniania, zależnie od konkretnego banku. Nie będzie już kopiowania danych ani ręcznego wpisywania numerów rachunków.
Dodatkowo w portalu zintegrowano również chatbota, stworzonego podczas rozmów weryfikacyjnych, a kolejne rozwiązania są w trakcie realizacji. Jesteśmy małą, młodą firmą IT, ale właśnie dlatego możemy sobie pozwolić myśleć krok dalej niż wiele większych firm z branży, bo nie musimy zmieniać starych procesów – tworzymy je od nowa.
Jednym z kroków w tym kierunku jest właśnie passkey. Oto jak i dlaczego go wdrażamy.
Jak logowanie działa obecnie
W większości portali, w tym także w naszym, proces logowania opierał się dotąd na dwóch krokach. Pierwszy to hasło, drugi to zazwyczaj jednorazowy kod, czyli OTP (One-Time Password).
Ten kod można otrzymać na dwa sposoby:
- Przez SMS – portal wysyła kombinację cyfr na telefon.
- Przez aplikację uwierzytelniającą – na przykład Google Authenticator lub Microsoft Authenticator, które generują w telefonie nowy kod co 30 sekund.
Ten model znany jest jako uwierzytelnianie dwuskładnikowe (2FA) i przez długi czas uchodził za złoty standard. Problem w tym, że i on nie jest niepodatny na ataki.
Dlaczego OTP nie jest już wystarczająco bezpieczne
Sam kod to tylko ciąg cyfr. Oznacza to, że można go ukraść tak samo jak każdą inną informację. Oszuści często tworzą fałszywe strony, które wyglądają dokładnie jak oryginalny portal (na przykład fałszywa strona logowania do banku), a użytkownik, nie podejrzewając niczego złego, sam wpisuje tam zarówno hasło, jak i kod OTP. Oszust w tej samej chwili wykorzystuje ten kod, aby zalogować się do prawdziwego systemu.
Innymi słowy, OTP chroni przed tym, że ktoś po prostu odgadnie twoje hasło, ale nie chroni przed phishingiem, ponieważ użytkownik sam dobrowolnie wpisuje kod, tylko w niewłaściwym miejscu.
Czym jest Passkey i dlaczego to inny poziom
Passkey to nowy sposób logowania, który całkowicie zastępuje zarówno hasło, jak i kod OTP. Zamiast pamiętać czy wpisywać cokolwiek, użytkownik po prostu potwierdza swoją tożsamość za pomocą wbudowanych narzędzi telefonu lub komputera, takich jak rozpoznawanie twarzy, odcisk palca lub kod PIN urządzenia.
Technicznie każdy passkey składa się z dwóch części: klucza publicznego, który jest przechowywany na serwerze portalu, i klucza prywatnego, który nigdy nie opuszcza urządzenia użytkownika. Te dwie części działają razem tylko dla jednej konkretnej strony internetowej i to właśnie zmienia całą grę.
Passkey jest w pełni odporny na phishing
Ulubiony trik oszustów, czyli fałszywa strona naśladująca prawdziwą, po prostu nie działa przeciwko passkey. Passkey jest kryptograficznie powiązany z konkretną domeną. Jeśli użytkownik trafi na fałszywą stronę, której adres choćby minimalnie różni się od prawdziwego, urządzenie od razu to rozpozna i nawet nie zaproponuje logowania za pomocą passkey. Fizycznie nie da się „podpiąć” swojego passkey do niewłaściwej witryny.
Nie ma już czego ukraść
Tradycyjne hasła są przechowywane w bazie danych portalu, więc w razie ataku, gdy hakerzy uzyskają dostęp do bazy, hasła wszystkich użytkowników zostają skradzione naraz. W przypadku passkey na serwerze przechowywany jest tylko klucz publiczny, który sam w sobie jest dla atakującego bezwartościowy. Klucz prywatny pozostaje wyłącznie na telefonie lub komputerze użytkownika. Nawet najpoważniejsze włamanie na serwer nie ujawni żadnych danych dostępowych użytkowników.
Wyeliminowanie czynnika ludzkiego
Ile razy słyszałeś o kimś, kto używa tego samego słabego hasła w pięciu różnych kontach? Passkey rozwiązuje ten problem automatycznie. Dla każdej witryny tworzony jest unikalny klucz o niezrównanej długości i złożoności, którego użytkownik nawet nie widzi, więc nie może go ani zapomnieć, ani przypadkowo komuś ujawnić.
Czy passkey ma też słabe strony?
Szczerze mówiąc, tak, przynajmniej teoretycznie. Większość kluczy passkey jest synchronizowana przez konto Apple iCloud lub Google użytkownika, aby po zmianie telefonu dostęp nie przepadł. Oznacza to, że bezpieczeństwo passkey jest tak mocne, jak mocne jest samo konto Google lub Apple użytkownika.
Drugą potencjalną słabą stroną jest proces odzyskiwania konta. Jeśli użytkownik kiedyś straci dostęp do wszystkich swoich urządzeń, portal musi zaoferować jakiś mechanizm odzyskiwania, na przykład link wysłany e-mailem. Dlatego również po stronie portalu proces odzyskiwania konta jest projektowany z równie wysokim poziomem bezpieczeństwa, aby nie tworzyć nowej luki tam, gdzie passkey już ją wyeliminował.
Jak to będzie działać na starszych komputerach z Windows
Często pojawia się pytanie, czy passkey zadziała także na komputerze bez kamery do rozpoznawania twarzy lub czytnika linii papilarnych. Odpowiedź brzmi: tak, i istnieje kilka rozwiązań:
- PIN lub hasło do Windows – używany jest ten sam kod, którym użytkownik odblokowuje swój komputer.
- Telefon jako klucz – portal wyświetla kod QR, użytkownik skanuje go telefonem (na przykład przez Face ID), a oba urządzenia przez Bluetooth potwierdzają, że znajdują się blisko siebie.
- Chmurowy portfel w przeglądarce – na przykład Google Password Manager, w którym passkey jest przechowywany na koncie Google, a nie w samym systemie Windows.
- Fizyczny klucz bezpieczeństwa – urządzenia takie jak YubiKey, które działają nawet na starszych komputerach bez biometrii czy Bluetooth.
Podsumowanie
Passkey to nie tylko nieco wygodniejszy sposób logowania, ale zasadniczo inny i bezpieczniejszy model podejścia. Eliminuje dokładnie te rodzaje ataków, przed którymi hasło wraz z kodem OTP nadal było bezbronne. W portalu EvoEX idziemy tym kierunkiem świadomie, bo bezpieczeństwo to nie miejsce, w którym warto oszczędzać kosztem wygody, a dzięki passkey nie trzeba już wybierać między jednym a drugim.