Niekde v priečinku poznámok v mobile má väčšina z nás dokument, ktorý by sme nechceli ukázať ani najlepšiemu kamarátovi. Zoznam hesiel. Varianty toho istého slova s pridaným výkričníkom, rokom narodenia starej mamy, menom psa, ktorý už dávno nie je medzi nami. Tvárili sme sa, že to je bezpečnosť. V skutočnosti to bola len kolektívna dohoda, že si všetci budeme navzájom klamať do očí a nazveme to systémom.
Passkeys prichádzajú s ponukou, ktorá znie takmer príliš dobre: žiadne heslo si nemusíte pamätať, pretože žiadne neexistuje. Namiesto reťazca znakov, ktorý si má zapamätať váš mozog, si navzájom "podajú ruku" dve matematické kľúče — jeden zostáva bezpečne uzamknutý vo vašom telefóne alebo počítači, druhý sedí na serveri danej služby. Prihlásenie sa deje odtlačkom prsta, tvárou alebo PIN kódom zariadenia. Heslo, ktoré by mohol niekto ukradnúť, jednoducho neexistuje. Nedá sa vyphishovať to, čo nikdy neopustilo váš telefón.
Prečo teraz a prečo naozaj
Sľuby o "konci hesiel" tu boli už predtým. Pamätáte si na tokeny, na SMS kódy, na tie plastové kľúčenky s meniacimi sa číslicami, ktoré firmy rozdávali zamestnancom a ktoré sa strácali rýchlejšie než dáždniky? Passkeys sú iné v jednej podstatnej veci — stoja za nimi súčasne Apple, Google aj Microsoft, teda tri firmy, ktoré sa bežne nedokážu zhodnúť ani na tom, aký kábel má nabíjať telefón. Keď sa zhodnú na bezpečnostnom štandarde, je to signál, že hovoríme o niečom, čo má šancu prežiť viac než jeden marketingový cyklus.
Realita je taká, že heslá boli od začiatku chybný nápad, len sme si na chybu tridsať rokov zvykali. Ľudský mozog nie je stavaný na to, aby si pamätal náhodné reťazce znakov, a tak sme namiesto skutočnej bezpečnosti vyprodukovali generácie hesiel typu "Heslo1" a excelové tabuľky zdieľané cez firemný Slack. Passkeys presúvajú bremeno tam, kam patrí — na zariadenie, ktoré vie počítať oveľa spoľahlivejšie ako človek po tretej káve.
Najslabším článkom kybernetickej bezpečnosti nikdy nebol softvér. Bol to človek, ktorý si musel niečo zapamätať.
Čo sa zmení v praxi, a čo (ešte) nie
Prihlásenie do Googlu, Amazonu či bankovej aplikácie dnes čoraz častejšie vyzerá takto: kliknete na "prihlásiť sa", telefón vás požiada o odtlačok prsta, a ste vnútri. Žiadne zabúdanie, žiadne "zabudli ste heslo?", žiadne čakanie na e-mail s odkazom, ktorý medzitým spadne do spamu. Pre bežného používateľa je to rýchlejšie aj príjemnejšie, aj keď prvé prihlásenie cez passkey vie pôsobiť mierne nedôverčivo — človek má pocit, že niečo prehliadol, že to nemôže byť také jednoduché.
Prechod ale nebude univerzálny ani okamžitý. Menšie e-shopy, lokálne firmy, staršie systémy verejnej správy — tam heslá prežijú ešte roky, jednoducho preto, že implementácia passkeys niečo stojí a vyžaduje si aktualizáciu infraštruktúry, ktorú nie každý IT tím má v tento štvrťrok v pláne. Existuje aj otázka, čo sa stane, keď stratíte telefón, v ktorom sú vaše passkeys uložené — odpoveďou má byť synchronizácia cez cloud (iCloud Keychain, Google Password Manager), čo znamená, že dôvera sa presúva k týmto gigantom o niečo viac, než mnohým je momentálne príjemné.
Nostalgia po niečom, čo nikto nemal rád
Je zvláštne lúčiť sa s niečím, čo nás celé roky otravovalo. Nikto nebude spomínať na heslá s nostalgiou tak, ako spomíname na Nokiu 3310 alebo skladacie mapy pred navigáciami v mobile. Heslá boli tá otravná povinnosť, ktorú sme si navykli tolerovať, pretože sme nevideli alternatívu. Teraz, keď alternatíva existuje a funguje, jediné, čo väčšine z nás zostane, je zoznam poznámok plný starých hesiel, ktoré si už nikdy nebudeme musieť pamätať — len ho zmazať zabudneme, presne tak, ako sme zabúdali všetko ostatné.