Passkeys: γιατί είναι πιο ανθεκτικά στο phishing από τους κωδικούς

Η ασφάλεια ενός λογαριασμού δεν εξαρτάται μόνο από το πόσο «δυνατός» είναι ο κωδικός. Οι κωδικοί μπορούν να κλαπούν με phishing, να επαναχρησιμοποιηθούν ή να διαρρεύσουν. Τα passkeys αλλάζουν τη λογική της σύνδεσης: αντί να πληκτρολογείς ένα κοινό μυστικό που μπορεί να αντιγραφεί, η συσκευή χρησιμοποιεί κρυπτογραφικά κλειδιά και επιβεβαίωση με PIN, δακτυλικό αποτύπωμα ή αναγνώριση προσώπου. Τι αλλάζει στην πράξη Με ένα passkey, το ιδιωτικό κλειδί παραμένει στη συσκευή ή στο ασφαλές οικοσύστημα του χρήστη. Η υπηρεσία διατηρεί το αντίστοιχο δημόσιο κλειδί. Κατά τη σύνδεση, η συσκευή αποδεικνύει ότι διαθέτει το ιδιωτικό κλειδί χωρίς να το αποκαλύπτει. Αυτό είναι σημαντικό απέναντι στο phishing. Μια πλαστή σελίδα μπορεί να σε πείσει να γράψεις έναν κωδικό, αλλά δεν μπορεί εύκολα να χρησιμοποιήσει ένα passkey που έχει δημιουργηθεί για διαφορετικό πραγματικό domain. Η CISA κατατάσσει τις μεθόδους FIDO και WebAuthn στις ανθεκτικές στο phishing μορφές πολυπαραγοντικού ελέγχου. Passkey δεν σημαίνει «χωρίς ασφάλεια» Η εμπειρία μοιάζει απλούστερη, επειδή δεν χρειάζεται να θυμάσαι κωδικό. Στην πραγματικότητα, η ταυτοποίηση παραμένει ισχυρή: βασίζεται στη συσκευή και σε τοπικό έλεγχο, όπως βιομετρικό στοιχείο ή PIN. Η υπηρεσία δεν λαμβάνει το δακτυλικό αποτύπωμα ή την εικόνα του προσώπου· αυτά χρησιμοποιούνται τοπικά για να ξεκλειδώσουν το κλειδί. Τι πρέπει να ελέγξεις πριν το ενεργοποιήσεις 1. Ρύθμισε ασφαλές PIN και κλείδωμα οθόνης σε όλες τις συσκευές. 2. Ενημέρωσε λειτουργικό σύστημα και browser. 3. Έλεγξε πώς συγχρονίζονται τα passkeys στο οικοσύστημά σου. 4. Πρόσθεσε δεύτερη συσκευή ή άλλο εγκεκριμένο τρόπο ανάκτησης. 5. Αφαίρεσε παλιές ή άγνωστες συσκευές από τον λογαριασμό. 6. Μην εγκρίνεις αιτήματα σύνδεσης που δεν ξεκίνησες εσύ. Passkeys, εφαρμογή αυθεντικοποίησης ή SMS; Οποιαδήποτε πολυπαραγοντική προστασία είναι συνήθως καλύτερη από τον κωδικό μόνο. Δεν έχουν όμως όλες οι μέθοδοι την ίδια αντοχή. Τα SMS μπορεί να επηρεαστούν από υποκλοπή ή μεταφορά αριθμού. Οι κωδικοί μιας εφαρμογής αυθεντικοποίησης είναι ισχυρότεροι, αλλά ο χρήστης μπορεί ακόμη να τους πληκτρολογήσει σε πλαστή σελίδα. Οι λύσεις FIDO/passkey σχεδιάζονται ώστε η επιβεβαίωση να συνδέεται με τη σωστή υπηρεσία. Το σχέδιο ανάκτησης είναι μέρος της ασφάλειας Η μεγαλύτερη πρακτική ανησυχία είναι τι συμβαίνει αν χαθεί ή χαλάσει η συσκευή. Πριν αντικαταστήσεις τον κωδικό με passkey, βεβαιώσου ότι γνωρίζεις τη διαδικασία ανάκτησης της υπηρεσίας. Φύλαξε recovery codes όπου προσφέρονται, χρησιμοποίησε δεύτερη αξιόπιστη συσκευή και ενημέρωσε τα στοιχεία επικοινωνίας. Για επιχειρήσεις Η υιοθέτηση δεν πρέπει να γίνει μόνο ως αλλαγή κουμπιού στην οθόνη σύνδεσης. Χρειάζονται καταγραφή των κρίσιμων λογαριασμών, πολιτική για χαμένες συσκευές, διαδικασία αποχώρησης εργαζομένων και έλεγχος των λογαριασμών διαχειριστή. Οι πιο ευαίσθητοι λογαριασμοί—email, οικονομικά συστήματα, cloud και διαχείριση ιστοσελίδων—είναι καλή αφετηρία. Το συμπέρασμα είναι απλό: τα passkeys δεν καταργούν την ανάγκη για προσοχή, αλλά αφαιρούν ένα από τα πιο εύκολα θύματα του phishing, τον πληκτρολογούμενο κωδικό. Η σωστή μετάβαση συνδυάζει passkeys, ενημερωμένες συσκευές και καθαρό σχέδιο ανάκτησης. Πηγή τεκμηρίωσης: CISA, “More than a Password” και επίσημες οδηγίες για phishing-resistant MFA.