Passkeys czy sprzętowy klucz bezpieczeństwa: co lepiej chroni konta?
Oparte na źródłach porównanie synchronizowanych passkeys, kluczy przypisanych do urządzenia i sprzętowych kluczy FIDO — z planem dla poczty, bankowości, pracy i odzyskiwania dostępu.
Redakcja bezpieczeństwa i odporności · Poradniki weryfikowane na podstawie aktualnych standardów i publikacji instytucji publicznych
Krótka odpowiedź
Passkeys i sprzętowe klucze bezpieczeństwa mogą zapewniać odporne na phishing logowanie, jeśli korzystają z FIDO/WebAuthn. Synchronizowane passkeys są zwykle wygodniejsze na co dzień, a osobny klucz sprzętowy daje większą separację fizyczną. Dla najważniejszych kont używaj passkeys dla wygody, zarejestruj dwa klucze sprzętowe i przechowuj zapasowy offline.
Najważniejsze wnioski
- Kody SMS i ręcznie wpisywane kody jednorazowe nie są odporne na phishing, natomiast prawidłowo wdrożony WebAuthn wiąże uwierzytelnienie z prawdziwą domeną usługi.
- Synchronizowane passkeys stawiają na wygodę i odzyskiwanie na wielu urządzeniach; klucze związane z urządzeniem i klucze sprzętowe dają większą kontrolę nad położeniem klucza prywatnego.
- Dla głównej poczty, menedżera haseł, finansów lub kont administratora zarejestruj co najmniej dwa niezależne uwierzytelniacze i przetestuj odzyskiwanie dostępu.
- Klucz bezpieczeństwa nie zastępuje całego procesu odzyskiwania konta: nadal potrzebujesz świadomie zabezpieczonych kodów awaryjnych i procedur dostawcy.
Czym różni się passkey od sprzętowego klucza bezpieczeństwa?
Passkey to poświadczenie FIDO, które może być synchronizowane między urządzeniami albo pozostać na jednym urządzeniu. Sprzętowy klucz bezpieczeństwa jest osobnym, przenośnym uwierzytelniaczem podłączanym zwykle przez USB lub NFC. Oba rozwiązania mogą używać kryptografii klucza publicznego bez ujawniania klucza prywatnego stronie internetowej.
W uwierzytelnianiu FIDO usługa przechowuje klucz publiczny, a uwierzytelniacz zachowuje klucz prywatny. Logowanie potwierdza posiadanie klucza prywatnego bez przesyłania go do usługi. To zmienia powierzchnię ataku, ponieważ fałszywa strona nie może zebrać sekretu hasła, który później da się ponownie wykorzystać.
Najważniejsze rozróżnienie nie sprowadza się do hasła „passkey kontra klucz”. FIDO opisuje passkeys synchronizowane i przypisane do urządzenia. Telefon może przechowywać poświadczenie urządzeniowe, a dedykowany klucz jest przenośnym fizycznym uwierzytelniaczem. Wybór zależy od odzyskiwania, zarządzania urządzeniami i wartości konta.
- • Synchronizowany passkey: wygodny w obrębie ekosystemu konta i zwykle prostszy do odzyskania na nowym urządzeniu.
- • Passkey przypisany do urządzenia: pozostaje związany z jednym urządzeniem i trzeba go osobno rejestrować gdzie indziej.
- • Klucz sprzętowy: osobny, przenośny uwierzytelniacz, który można zarejestrować w wielu zgodnych usługach.
Źródła tej sekcji: NIST: Digital Identity Guidelines: Authentication and Authenticator Management, FIDO Alliance: Passkeys, FIDO Alliance: Deploying Passkeys in the Enterprise: Introduction
Czy passkeys i klucze sprzętowe naprawdę są odporne na phishing?
Mogą być. NIST wyjaśnia, że WebAuthn zapewnia powiązanie z nazwą weryfikatora: poświadczenie jest kryptograficznie związane z prawidłową domeną, więc podobna domena nie użyje go do logowania. CISA wskazuje FIDO/WebAuthn jako powszechnie dostępne podejście odporne na phishing i stawia klucze bezpieczeństwa ponad słabszym MFA.
Przekonująca strona phishingowa może przechwycić hasło i ręcznie wpisany kod SMS lub kod z aplikacji, a następnie przekazać je do prawdziwej usługi. NIST wprost stwierdza, że metody oparte na ręcznym wprowadzaniu wyniku uwierzytelniacza, w tym OTP, nie są odporne na phishing, bo wynik nie jest związany z konkretną sesją lub domeną.
WebAuthn zmienia tę relację. Przeglądarka i uwierzytelniacz sprawdzają domenę strony polegającej przed zatwierdzeniem wyzwania kryptograficznego. Nie chroni to przed każdym malware, kradzieżą sesji, słabym odzyskiwaniem lub szkodliwą zmianą zatwierdzoną przez użytkownika, ale usuwa popularną ścieżkę kradzieży danych logowania.
| Metoda | Odporność na phishing | Główne ryzyko operacyjne |
|---|---|---|
| Kod SMS lub e-mail | Nie | Przechwycenie, przekazanie kodu, utrata numeru lub skrzynki |
| OTP z aplikacji | Nie | Phishing w czasie rzeczywistym i błędy odzyskiwania |
| Synchronizowany passkey | Tak, z WebAuthn | Odzyskiwanie konta ekosystemu i przejęcie konta urządzenia |
| Sprzętowy klucz FIDO | Tak, z WebAuthn | Utrata bez drugiego uwierzytelniacza lub planu odzyskania |
Źródła tej sekcji: NIST: Digital Identity Guidelines: Authentication and Authenticator Management, CISA: Require Multifactor Authentication, CISA: Implementing Phishing-Resistant MFA
Co wybrać do poczty, bankowości i kont służbowych?
Użyj najsilniejszej metody obsługiwanej przez usługę, ale nie twórz pojedynczego punktu awarii. Synchronizowany passkey jest dobrym wyborem do częstego logowania. Do poczty resetującej inne konta, menedżera haseł, finansów i uprzywilejowanych kont służbowych dodaj dwa osobno przechowywane klucze sprzętowe, jeśli dostawca je obsługuje.
CISA umieszcza klucze bezpieczeństwa na szczycie swojej hierarchii MFA i opisuje klucze lub poświadczenia FIDO jako preferowany wybór odporny na phishing. W zaleceniach dla komunikacji mobilnej sprzętowe klucze FIDO określa jako najskuteczniejsze, a passkeys jako akceptowalną alternatywę. W praktyce prowadzi to do modelu warstwowego, nie do wyboru jednego zwycięzcy.
W domu włącz passkeys na zgodnych urządzeniach, mocno zabezpiecz konto ekosystemu synchronizacji i zapisz, gdzie zarejestrowano każde poświadczenie. W firmie połącz zasady uwierzytelniania z zarządzaniem urządzeniami, odebraniem dostępu po zakończeniu współpracy, ewidencją kluczy i kontrolowanym odzyskiwaniem administracyjnym.
- • Główna poczta i menedżer haseł: dwa klucze sprzętowe oraz przetestowana i chroniona metoda odzyskiwania.
- • Codzienne konta konsumenckie: synchronizowane passkeys i mocna ochrona konta odpowiedzialnego za synchronizację.
- • Uprzywilejowany dostęp służbowy: zatwierdzone przez organizację uwierzytelnianie odporne na phishing i kontrola rejestracji.
- • Odporność rodziny: nie udostępniaj jednego poświadczenia; zarejestruj osobny uwierzytelniacz dla każdej uprawnionej osoby.
Źródła tej sekcji: CISA: Require Multifactor Authentication, CISA: Mobile Communications Best Practice Guidance, NIST: Digital Identity Guidelines: Authentication and Authenticator Management
Bezpieczny plan wdrożenia i odzyskiwania w pięciu krokach
Zacznij od konta kontrolującego pozostałe konta — zwykle głównej poczty — i zarejestruj dwa niezależne uwierzytelniacze odporne na phishing. Sprawdź oba w prywatnym oknie przeglądarki, przechowuj zapasowy oddzielnie, zabezpiecz kody odzyskiwania offline, a następnie powtórz proces dla menedżera haseł, finansów, chmury i kont administratora.
Nie usuwaj dotychczasowej metody odzyskiwania, zanim nowe uwierzytelniacze nie zostaną sprawdzone. Wyloguj się, otwórz prywatne okno i potwierdź, że każdy klucz lub passkey działa na faktycznie używanych urządzeniach i przeglądarkach. Potem oceń proces odzyskiwania dostawcy, ponieważ powrót do słabego SMS-a lub e-maila może podważyć mocniejszą metodę logowania.
Prowadź minimalną ewidencję: nazwa usługi, etykieta uwierzytelniacza, data rejestracji, miejsce kopii i data ostatniego testu. Nie zapisuj kodów PIN ani sekretów odzyskiwania obok urządzenia. Sprawdź ważne konta po wymianie telefonu, zmianie personelu, zgubieniu klucza lub niespodziewanym powiadomieniu o odzyskiwaniu.
- • Najpierw zabezpiecz główną pocztę, ponieważ zwykle kontroluje reset haseł do innych usług.
- • Zarejestruj dwa uwierzytelniacze, zanim zaczniesz polegać na pierwszym; zapasowy przechowuj w innym bezpiecznym miejscu.
- • Wygeneruj i zabezpiecz kody odzyskiwania oraz sprawdź, jak rozpoznać i unieważnić zgubiony uwierzytelniacz.
- • Powtórz proces dla menedżera haseł, kont finansowych, chmury i dostępu administracyjnego.
- • Przeglądaj rejestrację i odzyskiwanie dwa razy w roku oraz zawsze po utracie urządzenia lub zmianie personelu.
Źródła tej sekcji: CISA: Implementing Phishing-Resistant MFA, NIST: Digital Identity Guidelines: Authentication and Authenticator Management, FIDO Alliance: Deploying Passkeys in the Enterprise: Introduction
FAQ
Czy passkey można wyłudzić przez phishing?
Prawidłowo wdrożony passkey WebAuthn jest odporny na klasyczny phishing danych logowania, ponieważ uwierzytelnienie zostaje kryptograficznie związane z domeną prawdziwej usługi. Nadal możliwe są malware, kradzież sesji, słabe odzyskiwanie lub zatwierdzenie szkodliwej zmiany, dlatego ochrona urządzenia i procedur pozostaje ważna.
Co zrobić po zgubieniu sprzętowego klucza bezpieczeństwa?
Użyj drugiego uwierzytelniacza lub procesu odzyskiwania dostawcy, a następnie unieważnij zgubiony klucz w ustawieniach. Dlatego przed uzależnieniem logowania od jednego klucza warto zarejestrować dwa osobno przechowywane uwierzytelniacze i bezpiecznie zachować kody awaryjne.
Czy po dodaniu passkey należy wyłączyć hasło?
Tylko gdy usługa oferuje dobrze zaprojektowany tryb bezhasłowy i przetestowałeś każdą ścieżkę odzyskiwania. Jeśli hasło pozostaje aktywne, powinno być unikalne i silne, bo atakujący mogą nadal celować w tę metodę awaryjną mimo codziennego logowania za pomocą passkey.
Czy kody SMS są lepsze niż brak MFA?
Tak, dodatkowy czynnik może ograniczyć część ryzyka przejęcia konta, ale NIST nie uznaje ręcznie wpisywanych OTP za odporne na phishing, a CISA stawia SMS i e-mail poniżej aplikacji i metod FIDO. Dla ważnych kont przejdź na FIDO/WebAuthn, gdy dostawca je obsługuje.
Metodologia i źródła
Poradnik porównuje finalne wymagania uwierzytelniania NIST SP 800-63B-4 z aktualnymi zaleceniami wdrożeniowymi CISA i opisami passkeys publikowanymi przez FIDO Alliance. Priorytet otrzymały standardy pierwotne i publikacje instytucji publicznych. Każda sekcja ma przypisane źródła, sprawdzone 2026-10-04. Nie wykonywaliśmy laboratoryjnych testów ataków ani rankingu marek kluczy.
- NIST: Digital Identity Guidelines: Authentication and Authenticator Management · dostęp 2026-10-04
- CISA: Require Multifactor Authentication · dostęp 2026-10-04
- CISA: Implementing Phishing-Resistant MFA · dostęp 2026-10-04
- CISA: Mobile Communications Best Practice Guidance · dostęp 2026-10-04
- FIDO Alliance: Passkeys · dostęp 2026-10-04
- FIDO Alliance: Deploying Passkeys in the Enterprise: Introduction · dostęp 2026-10-04