Najsilnejšie heslo je heslo, ktoré nemáte

Kedy prestane byť sila hesla problémom? Zdanlivo paradoxná, no v skutočnosti veľmi konkrétna odpoveď znie: vtedy, keď heslo prestane existovať. V tomto článku vysvetlíme, prečo je aj veľmi silné heslo stále slabým miestom, čo presne znamená „passwordless" prihlasovanie, ako fungujú passkeys, a či sa dá bezheslové prihlásenie reálne nasadiť už dnes.

Prečo je aj silné heslo stále problém

Heslo, nech je akokoľvek dlhé a zložité, patrí do kategórie „niečo, čo poznáte" — a všetko, čo poznáte, sa dá niekomu inému aj vyzradiť. Sila hesla chráni len pred jedným konkrétnym typom útoku: uhádnutím alebo systematickým skúšaním kombinácií (tzv. brute-force). Nechráni ale pred phishingom, pri ktorom heslo jednoducho zadáte na falošnú stránku, ani pred únikom dát u poskytovateľa služby, kde heslo uniká spolu s heslami tisícov iných používateľov.

Práve preto zostáva aj to najsilnejšie heslo v jadre stále rovnaký princíp: zdieľané tajomstvo, ktoré musí cestovať medzi vami a serverom služby. A čokoľvek, čo cestuje, sa dá cestou zachytiť, odpozerať alebo vylákať.

Čo znamená „passwordless" prihlasovanie

Passwordless prihlasovanie namiesto zadávania tajného reťazca znakov overuje vašu identitu kombináciou dvoch iných vecí: niečoho, čo fyzicky vlastníte (vaše zariadenie), a niečoho, čo ste alebo poznáte len vy (biometria alebo PIN kód uzamknutý priamo na tomto zariadení).

Kľúčový rozdiel oproti heslu je jednoduchý: neexistuje žiadny tajný reťazec znakov, ktorý by cestoval cez internet a dal sa cestou ukradnúť, odpozerať alebo vylákať phishingom.

Ako fungujú passkeys

Najrozšírenejšia technológia stojaca za passwordless prihlásením sa volá passkey a vychádza zo štandardu FIDO2/WebAuthn, postaveného na kryptografii s verejným a súkromným kľúčom. Princíp je nasledovný:

• Pri registrácii vaše zariadenie vygeneruje pár kľúčov — súkromný zostáva bezpečne uzamknutý priamo vo vašom zariadení a chránený biometriou alebo PIN kódom, verejný sa odošle a uloží na strane služby.
• Pri prihlásení služba pošle jedinečnú „výzvu", ktorú vaše zariadenie podpíše súkromným kľúčom — až po tom, čo ho odomknete odtlačkom prsta, tvárou alebo PIN kódom.
• Služba následne overí podpis pomocou uloženého verejného kľúča. Ak sedí, ste prihlásení — bez toho, aby kdekoľvek existoval prenášaný tajný reťazec.

Aké metódy sa dnes bežne používajú

• Windows Hello — odomknutie počítača a následné prihlásenie do firemných služieb tvárou, odtlačkom prsta alebo PIN kódom viazaným na konkrétne zariadenie.
• Passkeys v prehliadači alebo operačnom systéme — uložené a synchronizované napríklad cez Apple iCloud Keychain alebo Google Password Manager, dostupné naprieč zariadeniami tej istej platformy.
• Prihlásenie telefónom cez Microsoft Authenticator — namiesto hesla stačí prihlásenie potvrdiť priamo na telefóne.
• Hardvérové bezpečnostné kľúče (napríklad YubiKey s podporou FIDO2) — fyzické zariadenie, ktoré sa pripojí k počítaču alebo priloží k telefónu.

Dá sa to reálne nasadiť?

Áno — čoraz viac služieb vrátane Microsoft 365 passwordless prihlásenie priamo podporuje, napríklad cez Windows Hello for Business, Microsoft Authenticator alebo bezpečnostné kľúče s podporou FIDO2.

Nasadenie si vyžaduje kompatibilné zariadenie (biometrický senzor alebo bezpečnostný kľúč) a podporu zo strany danej služby — nie každá webová stránka či aplikácia to zatiaľ ponúka. Prechod sa navyše nemusí robiť naraz: heslo môže zostať ako záložná metóda, kým sa firma alebo jednotlivec postupne neprejde na passwordless prihlásenie vo väčšine bežne používaných služieb.

Na čo nezabudnúť: čo si treba bezpečne odložiť

Passwordless prihlásenie odstraňuje riziko odcudzenia hesla, no vytvára nové riziko — stratu fyzického zariadenia. Bez pripravenej zálohy sa strata telefónu môže zmeniť z bežného nepohodlia na úplné zablokovanie prístupu. Preto je pred prechodom dobré vopred si odložiť alebo nastaviť:

• Záložné (recovery) kódy — väčšina služieb ich pri nastavení passkey alebo passwordless metódy ponúkne pre prípad straty zariadenia; uložte ich na bezpečné miesto mimo daného zariadenia, nie do e-mailu ani na plochu počítača.
• Druhý, záložný spôsob prihlásenia — registrujte passkey aspoň na dvoch zariadeniach (napríklad telefón aj počítač), alebo majte pripravený hardvérový bezpečnostný kľúč ako zálohu, aby strata jedného zariadenia neznamenala stratu prístupu.
• Prístup k účtu, cez ktorý sa passkeys synchronizujú — ak passkeys synchronizujete cez iCloud Keychain, Google Password Manager alebo podobnú službu, uistite sa, že máte funkčný spôsob obnovy tohto konta samotného; inak by ste jeho stratou prišli o všetky uložené passkeys naraz.
• Firemný postup obnovy prístupu — v prostredí Microsoft 365 by IT oddelenie malo mať jasne definovaný proces, ako overiť identitu zamestnanca a obnoviť mu prístup pri strate zariadenia s passkey; bez neho hrozí buď zdĺhavé čakanie, alebo naopak príliš jednoduchá obnova, ktorú by mohol zneužiť útočník.

Výhody a limity

Odpoveď na otázku, kedy sila hesla nebude problém, je teda prekvapivo jednoduchá: vtedy, keď heslo prestane existovať. Passwordless prihlasovanie nie je len ďalší stupeň silnejšieho hesla — je to iný princíp overenia identity, ktorý odstraňuje samotnú vec, ktorá sa dá ukradnúť.