tbhost.eu / Heslá a prihlasovanie · Aktualizované 28. októbra 2026

Passkeys: čo sú, ako fungujú a čo robiť, keď stratíte zariadenie

Passkeys sú prihlasovacie údaje, ktoré nahrádzajú heslo dvojicou kryptografických kľúčov. Súkromný kľúč zostáva v zariadení alebo v správcovi hesiel a prihlásenie potvrdíte tak, ako odomykáte zariadenie: odtlačkom prsta, tvárou alebo PIN-om. Na server sa neposiela heslo ani odtlačok, len podpis výzvy, ktorý overí verejný kľúč. Passkey je viazaný na adresu služby, pre ktorú vznikol, a preto sa na falošnej stránke nedá vyloviť. Funguje však len tam, kde ho služba ponúka, a pri strate zariadenia záleží na tom, či je synchronizovaný cez účet.

Podľa prehľadu FIDO Alliance o passkeys je passkey prihlasovací údaj postavený na štandardoch FIDO, ktorý možno uložiť v telefóne, v počítači alebo v hardvérovom kľúči. Stoja na štandardoch FIDO2: WebAuthn popisuje rozhranie v prehliadači a CTAP je protokol medzi klientom a zariadením s kľúčom. Verzia WebAuthn Level 3 vyšla 25. augusta 2026 ako finálna W3C Recommendation.

Ako passkeys fungujú

Pri registrácii zariadenie vytvorí pre danú službu nový pár kľúčov. Verejný kľúč sa uloží u služby a nie je tajný. Súkromný kľúč je potrebný na prihlásenie a podľa Apple sa server nikdy nedozvie, aký je. Podľa Google nemožno súkromný kľúč odvodiť z údajov uložených na serveri.

1. Vyberiete účet. Prehliadač alebo systém ponúkne passkey pre danú stránku, napríklad v zozname pri poli na meno.
2. Odomknete zariadenie. Odtlačkom, tvárou alebo PIN-om. Biometria sa spracúva len v zariadení a server podľa FIDO dostane len potvrdenie, že overenie prebehlo úspešne.
3. Zariadenie podpíše výzvu. Služba pošle výzvu a zariadenie ju podpíše súkromným kľúčom.
4. Služba podpis overí verejným kľúčom a pustí vás dnu. Heslo ani ďalší kód netreba.

Prečo passkeys odolajú phishingu

Passkey sa vytvorí pre konkrétnu doménu a použiť sa dá len na nej. W3C to v špecifikácii opisuje tak, že k takému povereniu majú prístup len weby patriace službe, ktorá ho vytvorila, a vynucujú to spoločne prehliadač a autentifikátor. Microsoft to ukazuje na príklade: hoci vás niekto zláka na podobne vyzerajúcu stránku, zariadenie na nej passkey nepredloží. Google dodáva, že človeka to zbavuje zodpovednosti za to, aby poznal pravú stránku.

W3C k tomu uvádza, že prihlasovanie je odolné voči útoku typu útočník v strede. NIST v usmernení SP 800-63B-4 definuje odolnosť voči phishingu ako schopnosť protokolu zabrániť, aby sa podvodnému overovateľovi vyzradili tajomstvá a platné výstupy, a to bez spoliehania sa na bdelosť používateľa. Na najvyššej úrovni záruky (AAL3) ju NIST vyžaduje.

Kde sa passkeys ukladajú

FIDO rozlišuje synchronizované passkeys, ktoré sa cez cloudovú službu kopírujú medzi zariadeniami, a passkeys viazané na jedno zariadenie, ktoré ho neopustia. O ukladanie sa stará poskytovateľ passkeys: správca poverení v operačnom systéme či prehliadači, alebo aplikácia tretej strany, napríklad správca hesiel. Ako takýto trezor funguje, opisuje článok Správcovia hesiel.

FIDO v časti o hardvérových kľúčoch uvádza, že passkeys zálohované heslom alebo synchronizované medzi zariadeniami sú zraniteľné voči krádeži, a z passkeys viazaných na zariadenie majú podľa nej najväčší prínos tí, čo narábajú s veľmi citlivými údajmi. NIST pripúšťa synchronizáciu na úrovni AAL2 pri splnení podmienok, napríklad šifrovania kľúčov v úložisku. Na úrovni AAL3 ju vylučuje, lebo synchronizácia vyžaduje exportovateľný súkromný kľúč.

Čo robiť pri strate zariadenia

• Synchronizovaný passkey. Podľa FIDO sa po nastavení nového zariadenia u rovnakého poskytovateľa passkeys zosynchronizujú a dajú sa hneď použiť. Apple uvádza, že sú obnoviteľné aj po strate všetkých zariadení cez úschovu iCloud Keychain. Treba heslo k účtu iCloud, SMS na registrované číslo a prístupový kód zariadenia. Na zadanie je 10 pokusov a po desiatom neúspešnom sa záznam zničí.
• Passkey viazaný na zariadenie. Microsoft píše, že pri strate zariadenia prídete o passkey, ak nemáte iný spôsob obnovy. W3C preto radí, aby služby umožnili zaregistrovať viac poverení, napríklad na často používaných zariadeniach a ďalšie na zálohu. Microsoft odporúča vytvoriť passkey aj na ďalších zariadeniach ako náhradný kľúč.
• Passkey zo straceného zariadenia. Google radí odstrániť ho v nastaveniach účtu na zariadení, ku ktorému máte prístup.

Google varuje aj pred opačným rizikom: kto vie odomknúť vaše zariadenie, dostane sa do účtu s passkeyom aj po odhlásení. Passkey preto vytvárajte len na vlastných zariadeniach, nie na zdieľaných.

Kde passkeys fungujú a kde ešte nie

FIDO uvádza, že passkeys podporujú všetky hlavné operačné systémy aj prehliadače a tiež poskytovatelia tretích strán. Podľa Google treba na prihlásenie do účtu Google aspoň Windows 10, macOS Ventura, ChromeOS 109, Android 9 alebo iOS 16 a prehliadač Chrome 109, Safari 16, Edge 109 alebo Firefox 122. Passkeys však musí ponúkať sama služba: Microsoft píše o weboch a aplikáciách, ktoré ich podporujú.

Passkeys a dvojfaktorové overenie

Passkey nie je druhý faktor navyše, ale náhrada hesla aj druhého kroku naraz. Microsoft ho radí medzi viacfaktorové metódy: zariadenie s passkeyom je niečo, čo máte, a odtlačok, tvár alebo PIN je niečo, čím ste, alebo čo viete. FIDO tvrdí, že passkey môže nahradiť aj postup heslo plus SMS kód a samostatne je bezpečnejší než heslo s jednorazovým kódom či potvrdením v aplikácii. Podľa FIDO sú totiž tieto druhé faktory stále vyloviteľné. Google upozorňuje, že pri zapnutom dvojstupňovom overení passkey druhý krok preskočí, lebo odomknutie zariadenia dokazuje, že ho vlastníte.

Rozdiel medzi SMS, aplikáciou a kľúčom podrobne opisuje článok Dvojfaktorové overenie. Ak chcete passkey vyskúšať, zapnite na telefóne zámok obrazovky, vytvorte passkey v nastaveniach zabezpečenia účtu a ďalší aj na druhom zariadení. Google uvádza, že pridanie passkeya neruší ostatné spôsoby prihlásenia ani obnovy účtu.