SMS kód je nejslabší článek přihlášení; passkey ho nahradí jen tam, kde služba podporuje WebAuthn a má rozumné obnovení účtu. Průvodce shrnuje šest situací a konkrétní kroky migrace včetně ztráty telefonu a služeb bez passkeys.
Passkey je privátní klíč v authenticatoru, který při přihlášení podepíše výzvu serveru vázanou na konkrétní doménu. Server si uloží jen veřejný klíč, takže z jeho databáze nelze odvodit tajemství pro přihlášení a na falešné doméně passkey nefunguje.
To je rozdíl proti SMS kódu i TOTP aplikaci: oba přenášejí sdílené tajemství nebo krátký kód, který lze v reálném čase přeposlat phishingové proxy. Passkey ale neřeší obnovu účtu; pokud služba umožní reset e-mailem nebo SMS, útočník může slabý recovery obejít.
Google, Microsoft a řada dalších služeb dnes umožňují přidat passkey. Postup je v jádru stejný: v nastavení zabezpečení zvolit přidání passkey, ověřit se stávajícím faktorem, pojmenovat klíč podle zařízení a přihlášení hned otestovat v jiném prohlížeči nebo v anonymním okně. Potom přidat druhý passkey na záložní telefon nebo hardwarový klíč. Teprve když oba fungují, vypnout SMS jako fallback a uložit recovery kódy mimo telefon. U Google účtu je trasa Nastavení účtu → Zabezpečení → Jak se přihlašujete → Passkeys; u Microsoftu Bezpečnostní údaje → Přidat způsob přihlášení. Bez otestované obnovy je migrace jen kosmetická.
Priorita není počet faktorů, ale oddělení cest. Pro přihlášení do e-mailu použijte passkey a druhý hardwarový klíč; e-mail je často master recovery pro ostatní služby. U banky nenahrazujte potvrzení platby v aplikaci passkey v prohlížeči: passkey ověří přihlášení, ale ne autorizaci konkrétní platby. Pokud banka nabízí vlastní aplikaci s potvrzením, zůstaňte u ní a SMS vypněte, jakmile to jde. Pro administrátorské účty platí stejné pravidlo: passkey nebo FIDO2 klíč, ne SMS.
Použijte TOTP aplikaci, ne SMS. V nastavení služby zvolte jednorázové kódy, naskenujte QR kód a uložte si recovery kódy offline. TOTP generuje šest číslic po 30 sekundách ze sdíleného tajemství; pokud útočník získá seed, může kódy vytvářet sám. Proto authenticator chraňte zámkem a zálohou, ale seed neukládejte do plaintextu v poznámkách. Kde služba umožní vypnout SMS fallback, udělejte to; kde ne, počítejte s tím, že SIM swap může SMS obejít.
Passkey lze použít i na cizím počítači přes telefon: prohlížeč zobrazí QR kód, telefon potvrdí přihlášení a privátní klíč zůstane v telefonu. Pokud služba tuto cross-device variantu neumí, použijte TOTP kód z telefonu a po skončení se odhlaste. SMS kód je v této situaci nejhorší volba, protože se zobrazuje na displeji a může skončit v historii notifikací. Na veřejném počítači nikdy neukládejte passkey ani heslo do prohlížeče.
Když je synchronizace zapnutá, passkeys se obnoví přes účet platformy: Google Password Manager nebo iCloud Keychain. Podmínkou je přihlášení do stejného účtu a splněná obnova, ne jen nový telefon. Device-bound passkey na hardwarovém klíči se nepřenese; proto musíte mít druhý klíč nebo recovery kódy. Při ztrátě telefonu nejdřív zablokujte SIM u operátora, potom odvolejte aktivní sessions, odstraňte passkey ztraceného zařízení a přidejte nový. Pokud služba nabízí pouze SMS obnovu, je to slabé místo celého nastavení.
Pro novináře, administrátory, kryptoúčty a účty s právem měnit platby nestačí běžný synchronizovaný passkey. Vhodný je hardwarový FIDO2 klíč, ideálně dva: jeden denně, druhý mimo byt. FIDO2 klíč ověří původ přihlášení a nejde z něj vytáhnout privátní klíč. Push notifikace v aplikaci nahraďte number matching, pokud je služba nabízí; slepé potvrzování push zpráv je oblíbený cíl MFA fatigue útoků. SMS v tomto profilu vypněte úplně.
1. Sepište účty, které mají SMS fallback a přes které jde obnovit e-mail nebo peníze. 2. U každého nejdřív přidejte passkey nebo TOTP a ověřte přihlášení z druhého zařízení. 3. Přidejte záložní passkey nebo hardwarový klíč; jeden faktor nestačí. 4. Uložte recovery kódy mimo telefon, ideálně na papír a do šifrovaného trezoru. 5. Teprve potom vypněte SMS a zkontrolujte, že obnova funguje bez starého telefonu.
Pořadí je důležité: nejdřív nový faktor a test obnovy, potom vypnutí SMS. Pokud služba passkeys nepodporuje, zůstává TOTP aplikace a dobře uložené recovery kódy; SMS berte jako poslední fallback, ne jako hlavní ochranu.
Foto: Zulfugar Karimov / Pexels
Matter není konkurent Zigbee ani Threadu — je to aplikační vrstva, která běží nad Wi-Fi, Ethernetem a Threadem. Při výběru proto řešíte dvě věci odděleně: jakou rádiovou technologii použijete v síti a jakou aplikaci nad ní provozujete.
