Hesla končí, přichází passkeys. Microsoft chce změnit návyky miliardy uživatelů

Microsoft potvrzuje plány na zrušení hesel pro miliardu uživatelů. „Éra hesel končí,“ říká společnost a varuje, že to útočníci vědí, což je důvod, proč podle firmy „zoufale zrychlují útoky spojené s hesly, dokud ještě mohou“.

Microsoft plánuje postupné zavádění bezpečnějšího přihlašování pomocí přístupových klíčů, takzvaných passkeys, pro všechny své uživatele v roce 2025. To znamená, že se lidé budou muset dříve či později přizpůsobit novému způsobu autentifikace, kde se místo tradičních hesel použijí speciální přístupové klíče. Ty vážou přístup k účtu na konkrétní fyzické zařízení a nejsou sdíleny mimo zařízení.

„Klíče umožňují rychlejší přihlášení pomocí obličeje, otisku prstu nebo PINu, ale navíc nejsou náchylné ke stejným typům útoků jako hesla,“ uvedla firma v blogovém příspěvku. „Chceme, aby se uživatelé sžili s myšlenkou, že přístupové klíče budou novým standardem,“ dodává softwarový gigant.

Uživatelé se pomocí svých účtů Microsoft a hesel přihlašují k službám, jako je Microsoft 365, OneDrive, Skype, ale i do samotných počítačů.

Microsoft postupně usiluje o úplné odstranění hesel, protože pokud uživatelé mají současně heslo i přístupový klíč, účet zůstává náchylný k phishingovým útokům. Společnost již v roce 2022 nabídla možnost odstranit hesla a nyní uvádí, že „miliony uživatelů se této možnosti chopily a hesla ze svých účtů odstranily“.

Microsoft zdůrazňuje, že přihlášení pomocí přístupových klíčů je třikrát rychlejší než přihlášení tradičním heslem a až osmkrát rychlejší než kombinace hesla a tradičního vícefaktorového ověření pomocí SMS. Uživatelé navíc mají podle firmy u přístupových klíčů třikrát vyšší úspěšnost přihlášení než u hesel (98 procent oproti 32 procentům).

Jak to vlastně funguje?

Takzvané passkeys vážou přístup k účtu na konkrétní fyzické zařízení, které je chráněno biometrickými údaji a/nebo PINem. Nikdy nejsou sdíleny mimo zařízení. Pokud zařízení nemá k dispozici čtečky a senzory na čtení biometrických údajů, postačí PIN. Tato metoda je považována za bezpečnější než dvoufaktorové ověření, jelikož většina dvoufaktorových ověření spoléhá na SMS zprávy, které mohou být zachyceny škodlivými aplikacemi.

Passkeys neboli přístupové kódy používají asymetrickou šifrovací technologii, která zahrnuje veřejný a soukromý klíč. Uživatel uloží soukromý klíč na zařízení, které používá (například telefon nebo počítač), zatímco veřejný klíč je uložen na serveru.

Při pokusu o přihlášení se zařízení uživatele připojí k serveru a použije soukromý klíč k vytvoření šifrované odpovědi, která se porovná s veřejným klíčem na serveru. Tento proces ověření nevyžaduje přenos hesla, což zvyšuje bezpečnost.

Microsoft apeluje na uživatele, aby klíče k přístupu používali všude, kde jsou dostupné, protože nabízejí rychlé a bezpečné přihlášení, které je odolné vůči tradičním hackerským metodám.

Společnost podle údajů na svém blogu aktuálně blokuje sedm tisíc útoků na hesla za sekundu, což je téměř dvojnásobek oproti loňskému roku. Také zaznamenala meziročně 146procentní nárůst phishingových útoků typu AitM, což je forma kyberútoku, kdy útočník zachytí data od odesílatele k příjemci a poté od příjemce zpět k odesílateli.

Přesto společnost přinesla optimistickou zprávu: „Nikdy jsme neměli lepší řešení těchto rozšířených útoků než přístupové klíče (passkeys).“ A v nedávném příspěvku na svém firemním blogu Microsoft popisuje, jak plánuje přesvědčit miliardu uživatelů, aby si oblíbili přístupové klíče.

Jak přesvědčit zbytek?

Přístupové klíče si získávají čím dál větší oblibu. Podle FIDO Alliance, mezinárodní organizace pro bezpečnější autentizaci, se od roku 2022 povědomí o této technologii zvýšilo z 39 procent na 57 procent v roce 2024. Uživatelé si je oblíbili především díky jejich snadnému použití a bezpečnosti.

„Většina uživatelů, kteří o přístupových klíčích vědí, tuto technologii aktivně využívá,“ uvedla FIDO Alliance. Současně se s rozvojem alternativních metod snižuje celkové využívání hesel.

Microsoft však přiznává, že nejtěžším úkolem bude přesvědčit posledních třicet až čtyřicet procent uživatelů, kteří se drží starších metod.

Aby společnost přesvědčila zarputilé zastánce hesel k přechodu na passkeys, zaměřuje se na zjednodušení procesu registrace a přihlašování. Passkeys proto Microsoft integroval do Windows Hello a aplikace Microsoft Authenticator.

V současnosti Microsoft umožňuje uživatelům ukládat passkeys v cloudu pro snadný přístup napříč zařízeními. Tento přístup umožňuje uživatelům přihlásit se na různých zařízeních, aniž by museli znovu nastavovat passkey pro každé z nich.

Cloudový model má zjednodušit a zpřístupnit používání passkeys napříč různými platformami. To však není ve všech případech nutně závislé na třetích stranách – Microsoft ve své iniciativě spolupracuje i s dalšími technologickými firmami, aby zajistil širší podporu passkeys napříč různými službami a zařízeními.

Teď bude záležet na Microsoftu, jak úspěšně implementuje tuto cloudovou synchronizaci a jak zajistí bezpečnost dat během jejich přenosu a ukládání. Aby celá operace týkající se miliardy uživatelů nebyla prakticky vzato zbytečná.