Паролите постепенно отстъпват място на нови механизми за удостоверяване. Причината не е единствено удобството. Дори сложната парола остава уязвима към фишинг, повторно използване след изтичане на данни и други атаки срещу потребителската идентичност.
Passkeys предлагат различен подход. Вместо потребителят да въвежда тайна, която може да бъде открадната или предоставена на фалшива страница, удостоверяването се извършва чрез асиметрична криптография. Технологията се основава на стандартите FIDO2 и WebAuthn и вече се използва от множество онлайн услуги.
Предимствата на удостоверяването без пароли са добре известни. Но какво става, когато самият сайт не прилага правилно стандарта?
Отговор дава изследване, представено на USENIX Security 2026.
При passkeys удостоверителят (authenticator) генерира двойка криптографски ключове. Частният ключ остава под негов контрол, а публичният се регистрира в съответната онлайн услуга. При опит за вход сървърът изпраща уникално предизвикателство (challenge), което участва в създаването на криптографски подпис. Сървърът проверява подписа чрез съхранения публичен ключ.
За разлика от паролите, този механизъм не изисква споделяне на тайна със сървъра. Удостоверяването е обвързано и с конкретната услуга, което осигурява устойчивост срещу класическия фишинг.
