Na notebooku vybrat firemní účet, na zařízení schválit přihlášení a pokračovat v práci: passkey může usnadnit každodenní práci. Ve firmě k tomu patří plán povolených zařízení, náhrad a obnovy přístupu.
Co se při přihlášení skutečně děje
Passkey je přihlašovací prostředek založený na standardech FIDO a páru kryptografických klíčů. Služba zná veřejný klíč. Odpovídající soukromý klíč používá autentizátor, například v telefonu, počítači nebo bezpečnostním klíči. Při přihlášení odpoví na výzvu služby digitálním podpisem. Nepotřebuje k tomu přihlašovací heslo sdílené s webem.
WebAuthn označuje standardizované rozhraní pro toto přihlášení na webu; FIDO2 zahrnuje základní mechanismy. Pro zaměstnance je nejdůležitější viditelný postup: ověřit účet a cíl, následně schválit pomocí PIN zařízení nebo vhodného biometrického ověření. Nabízené možnosti závisí na službě, operačním systému, prohlížeči a poskytovateli passkey.
Proč se to liší od hesla s jednorázovým kódem
Heslo a ručně opsaný kód z SMS či aplikace může vyžádat falešná přihlašovací stránka a předat je dál. WebAuthn váže přihlašovací prostředek na určenou službu. Přihlášení pomocí passkey je tak odolné proti phishingu. Automaticky tím ale není zabezpečeno napadené koncové zařízení, odcizená relace nebo slabý postup obnovy.
Místní schválení na zařízení není druhým heslem webu. Splnění požadované vícefaktorové autentizace či její síly se posuzuje podle skutečné metody a pravidel. Libovolný stisk tlačítka na jakémkoli klíči není dostatečným popisem. Zdroje: FIDO Alliance: vysvětlení passkey (externí odkaz).
Vázané na zařízení, nebo synchronizované: rozhodující rozdíl
Passkey vázané na zařízení zůstávají na konkrétním autentizátoru. Může jít o vhodně podporovaný telefon nebo bezpečnostní klíč FIDO2. Nový klíč či náhradní telefon tuto přihlašovací možnost nemá jen proto, že patří stejné osobě. Je nutné zaregistrovat další povolený autentizátor nebo použít připravenou obnovu přístupu.
Synchronizované passkey se mohou přes poskytovatele passkey dostat na další oprávněná zařízení stejné osoby. Důležitý je proto jeho účet, ochrana a obnova. Podporovaná zařízení a způsoby přenosu závisí na poskytovateli. Nelze z toho odvodit libovolný export mezi všemi platformami ani automatické převzetí do firemní správy.
| Varianta | Co následuje při výměně zařízení? | Co vyjasnit před provozem |
|---|---|---|
| Passkey vázaná na zařízení | Zaregistrovat nový autentizátor nebo použít určený postup obnovy. | Nezávisle připravit náhradu a odpovědnost. |
| Synchronizovaná passkey | Dostupná na podporovaném zařízení přes příslušného poskytovatele; záleží na jeho obnově přístupu. | Určit povolený účet poskytovatele, zařízení a ochranu účtu. |
| Přihlášení mezi zařízeními | Použít stávající autentizátor na jiném zařízení neznamená jeho kopírování. | Otestovat podporovanou kombinaci a bezpečnou relaci na cílovém zařízení. |
Telefon může přihlásit bez kopírování passkey
Jeden hypotetický pracovní postup: zaměstnankyně otevře schválený firemní portál na notebooku v zasedací místnosti. Její povolený telefon potvrdí přihlášení. Podporovaná metoda mezi zařízeními využije autentizátor v telefonu. Je třeba ji odlišit od synchronizace nebo trvalé registrace na notebooku.
Takový postup může vyžadovat ověření blízkosti a další technické předpoklady. Testuje se se skutečně používanými zařízeními a prohlížeči. Na sdíleném počítači je navíc nutný správný účet, vhodná délka relace a následné odhlášení. Telefon v dosahu tyto organizační kroky nenahrazuje.
Vědomě rozlišovat osobní a spravovaná zařízení
Pokud se firemní přístup synchronizuje výhradně v osobním účtu platformy, může firemní obnova záviset na soukromém účtu konkrétní osoby. Předem se proto určí, kteří poskytovatelé, zařízení a typy passkey jsou povoleny pro jednotlivé skupiny. Spravované zařízení usnadňuje některé požadavky; jeho správa ale automaticky neznamená možnost přečíst každý soukromý klíč.
Podle ověřené dokumentace podporuje Microsoft Entra ID synchronizované passkey i passkey vázané na zařízení a může uplatnit požadavky na skupiny pomocí profilů passkey. Neznamená to schválení každé kombinace: registrace, stávající oprávnění, podpora zařízení a pravidla musí být sladěny. Zdroje: Microsoft: passkey a profily v Entra ID (externí odkaz).
Náhradu a odchod z firmy řešit před plošným zavedením
Pilot zahrnuje vedle úspěšného přihlášení i ztracený telefon, vadný bezpečnostní klíč a zablokovaný účet poskytovatele. Podle potřeb ochrany se připraví nezávisle zaregistrovaný náhradní autentizátor nebo řízená obnova. Výměna zařízení není vhodnou chvílí teprve hledat odpovědnou osobu a potřebné doklady.
Při odchodu se firemní přístup zablokuje u služby identit nebo v cílovém systému a příslušně se odeberou registrované metody. Kopie v osobním synchronizačním účtu tím nemusí zmizet ze soukromého zařízení; rozhodující je, že ji firemní přístup již nepřijímá. Stávající relace a další přihlašovací cesty se zohledňují samostatně. Nelze z toho odvodit plošné vzdálené mazání soukromých zařízení.
Co se děje s otisky prstů a údaji obličeje
Při přihlášení WebAuthn služba nedostává biometrické charakteristiky, například otisk nebo šablonu obličeje. Ověření probíhá místně v autentizátoru; služba dostane kryptografický důkaz a předepsané informace o ověření. Ani PIN zařízení se nepřenáší jako heslo webu. Přesné zpracování v zařízení a u poskytovatele passkey přesto patří do výběru zařízení a poskytovatele.
Zdroje: W3C: místní biometrické ověření ve WebAuthn (externí odkaz). Neznamená to obecné tvrzení, že zapojený cloudový poskytovatel nezpracovává vůbec žádné údaje účtu či metadata.
Začít zvládnutelným pilotem
DAXS pomáhá vybrat vhodné služby a zařízení, dohodnout role a obnovu přístupu a připravit pilot se zdokumentovanými výsledky. Ověřuje se běžné přihlášení, náhrada, sdílená pracoviště a odchod z firmy. Teprve potom se rozhodne, které metody budou nasazeny plošně.
Projednat zavedení passkey · Naplánovat pracovní prostředí a identity · Uspořádaně spravovat společné firemní přístupy
Časté otázky
Mohu passkey zařízení jednoduše zkopírovat na nový telefon?
Právě to u passkey vázaných na zařízení není zamýšleno. Synchronizované passkey mohou být dostupné na podporovaných zařízeních příslušného účtu poskytovatele. Konkrétní postup výměny se předem testuje.
Musí každý používat vlastní soukromý telefon?
Určuje to firemní provozní koncepce. Podle služby a požadavků připadají v úvahu spravovaná zařízení, vhodné bezpečnostní klíče nebo jiné podporované autentizátory.
Nahradí passkey všechna oprávnění ve firmě?
Dokládá přihlášení k účtu. Které aplikace a data smí účet používat, zůstává samostatným úkolem správy uživatelů a oprávnění.
