Passkey ali koda iz aplikacije: 27 sekund razlike ni edino merilo

Če spletna storitev ponuja obe možnosti, je passkey praviloma boljša izbira za vsakdanjo prijavo: odporen je proti lažnim prijavnim stranem, kodo iz avtentikacijske aplikacije pa je mogoče vnesti tudi na ponarejeni strani. Indeks FIDO za leto 2026 pri sodelujočih storitvah navaja 93-odstotno uspešnost prijav s passkeyem proti 78 odstotkom pri geslih in tradicionalni večfaktorski prijavi ter okviren povprečni prihranek 27 sekund na prijavo glede na prijavo brez passkeya.

Ta časovni prihranek ni neposredno izmerjena razlika med passkeyem in kodo iz aplikacije. Koda TOTP ostaja uporabna, kadar storitev passkeya ne omogoča ali do njega na določeni napravi ne morete dostopati. Za izbiro so zato pomembni še načini prijave, ki jih storitev dejansko ponuja, mesto shranjevanja poverilnice in pot nazaj v račun po izgubi telefona.

Zakaj je passkey odpornejši proti lažni strani

Passkey uporablja par kriptografskih ključev: spletna storitev preveri odgovor z javnim ključem, zasebni ključ pa ostane pri uporabnikovem avtentikatorju. Smernice NIST za avtentikacijo pojasnjujejo, da WebAuthn prijavni odgovor veže na preverjeno domeno, medtem ko ročno vnesene enkratne kode niso vezane na konkretno prijavno sejo in zato niso odporne proti lažnemu predstavljanju. Ponarejena stran ne more preprosto uporabiti odgovora, namenjenega drugi domeni.

Pri TOTP aplikacija prikaže časovno omejeno kodo, ki jo uporabnik prepiše na stran. Napadalec lahko kodo, vneseno na lažni strani, pravočasno posreduje pravi storitvi; enaka omejitev ročnega vnosa velja za kodo iz sporočila SMS. Koda iz aplikacije kljub temu doda zaščito računu, ki uporablja geslo: samo ukradeno geslo napadalcu ne zadostuje. Razlika je v tem, da mora uporabnik pri prepisovanju kode še vedno pravilno prepoznati prijavno stran.

Kaj povesta hitrost in uspešnost prijave

Podatek o prihranjenem času je okvirno povprečje razlik, ki so jih izmerile sodelujoče storitve, ne rezultat enotnega preizkusa istega postopka pri vseh uporabnikih. Primerjalna skupina pri uspešnosti zajema gesla in tradicionalne večfaktorske načine, med njimi SMS in avtentikacijske aplikacije. Iz objavljenih številk zato ni mogoče izračunati, koliko časa bi posameznik prihranil prav z zamenjavo TOTP za passkey. V času prijave se lahko poznajo tudi vrstni red ponujenih možnosti in dodatni koraki, ki jih zahteva posamezna storitev.

Da brezgeselna prijava sama po sebi še ne zagotavlja krajšega postopka, kaže nadzorovani preizkus potisne brezgeselne prijave: pri 160 udeležencih je preizkušeni model z odobritvijo na telefonu in digitalnim podpisom dosegel manj napak ter višjo uspešnost kot preizkušena prijava z geslom, povprečno pa je trajal 11,99 sekunde namesto 8,09 sekunde. Raziskovalci so primerjali svoj potisni model z geslom, ne običajnega passkeya s TOTP. Rezultat je uporaben kot opozorilo, da sta hitrost in zanesljivost odvisni tudi od zasnove celotnega prijavnega postopka.

Izgubljeni telefon: kje je shranjena poverilnica?

Pri obnovitvi je odločilna razlika med sinhroniziranim passkeyem in passkeyem, vezanim na napravo. Po smernicah FIDO za sinhronizirane passkeye je prve mogoče uporabiti na drugi podprti napravi prek istega ponudnika poverilnic, pri drugih pa izguba naprave zahteva drug registriran avtentikator ali obnovitev računa. Sinhronizacija pomaga le, če uporabnik ohrani dostop do ponudnika in ga nova naprava podpira. Pri službenem računu je pomembno tudi, ali organizacija sploh dovoljuje izbranega ponudnika sinhronizacije.

Pri TOTP je od aplikacije in njenih nastavitev odvisno, ali se shranjene skrivnosti sinhronizirajo oziroma jih je mogoče prenesti na nov telefon. Sam protokol tega vprašanja ne reši. Zato razlike pri menjavi avtentikacijske aplikacije vplivajo na to, koliko dela povzroči izguba naprave. Prenos je lažji, dokler je stari telefon še na voljo; po njegovi izgubi postanejo pomembni vnaprej shranjene obnovitvene kode, drug avtentikator in postopek ponudnika storitve.

Rezervna pot je tudi varnostno vprašanje. Če račun ob passkeyu še vedno sprejema geslo in kodo SMS, lahko napadalec poskusi uporabiti to pot. Če storitev ponuja obnovitev prek elektronske pošte ali preverjanja identitete, je zaščita te poti del zaščite računa. Prednost passkeya pri običajni prijavi torej ne pove sama po sebi, kako zahteven bo povratek v račun ali kako dobro je zavarovan.

Zakaj podpora passkeyu še ne pomeni enake izkušnje

Možnost registracije je šele del zgodbe. Analiza 111 spletnih mest, na katerih so raziskovalci proučili iskanje, ustvarjanje, uporabo in odstranjevanje passkeyev, je ugotovila velike razlike med izvedbami ter ponavljajoče se težave za uporabnost in varnost. Storitev lahko passkey jasno ponudi že ob prijavi, druga pa uporabnika najprej vodi skozi geslo ali mu oteži upravljanje registriranih poverilnic.

Pri posameznem računu zato šteje, ali je mogoče dodati rezervni passkey, prepoznati in odstraniti starega ter se prijaviti z lastnim telefonom na drugi napravi. Pomembno je tudi, kaj storitev ponudi, kadar passkey ni dosegljiv. Te možnosti niso splošna lastnost tehnologije: določa jih izvedba ponudnika skupaj z napravami in upravljalnikom poverilnic, ki jih uporabljate.

Katera možnost ustreza računu?

• Osebni račun: passkey ima prednost, kadar ga storitev dobro podpira in imate dosegljivo rezervno pot. TOTP je smiseln, če passkey ni na voljo ali če pri konkretni storitvi še uporabljate geslo. Pri obeh možnostih je koristno vedeti, kako boste dostop obnovili po izgubi telefona.
• Službeni račun: odločitev naj sledi pravilom organizacije o upravljanih napravah, dovoljenem shranjevanju in rezervnih avtentikatorjih. Passkey na službenem varnostnem ključu in passkey v osebnem sinhroniziranem računu pomenita različni poti upravljanja ter obnove.
• Skupna ali tuja naprava: osebnega passkeya ne shranjujte trajno nanjo, če se lahko prijavite s passkeyem na svojem telefonu ali z lastnim varnostnim ključem. Če na skupni napravi vnesete kodo TOTP, po uporabi zaključite prijavno sejo; časovno omejena koda sama ne odjavi računa.

Pri izbiri ima odpornost proti lažni strani največjo varnostno težo, uporabnost pa določa celotna pot do računa: običajna prijava, uporaba na drugih napravah in obnovitev dostopa. Če je passkey dobro izveden in je rezervna pot urejena, združi močnejšo zaščito z manj prepisovanja. Kjer teh pogojev ni, ostane koda iz aplikacije smiselna možnost ob geslu.

Preberite tudi:

• Google ali Microsoft Authenticator: menjava telefona razkrije pravo razliko
• Proton Pass ali Bitwarden: odprta koda ne izenači varnostnega modela
• Sentry ali Datadog: isti incident lahko ustvari dva različna računa