Passkeys: konec hesel, nebo jen další zmatek?

Koncem září mi Apple schválil appku.

Po týdnech čekání, odmítání a opravování. VaultOff - offline správce hesel. Žádný cloud, žádný účet, žádné předplatné.

Radost trvala přesně do první zprávy od kamaráda:

„Proč heslář? Vždyť hesla končí. Všude je teď to passkey.“

A víte co? Má trochu pravdu.

Jenom ne celou.

Tak se na to pojďme podívat bez marketingu. A na konci vám řeknu, co jsem s jeho otázkou nakonec udělal.

Nejdřív krátké připomenutí

Před pár měsíci jsem psal o tom, jak moje pět let staré heslo stále obíhá internet. Přes 460 pokusů o přihlášení za dvacet dní. Roboti z celého světa zkouší heslo, které již dávno nepoužívám.

Problém hesla je jednoduchý:

Heslo je tajemství, které znáte vy i server.

A co ví dva, ví časem celý internet.

• Server může někdo vykrást.
• Vy můžete heslo napsat na falešnou stránku.
• Nebo ho použijete na pěti místech a stačí, aby uniklo z jednoho.

Passkey tohle řeší úplně jinak.

Co je to passkey? (Vysvětlení pro babičku)

Heslo je jako tajné slovo, které šeptáte vrátnému.

Kdo stojí poblíž a zaslechne ho, může ho zopakovat. A vrátný ho má napsané v sešitě - takže kdo ukradne sešit, má slova od všech.

Passkey je jako zámek a klíč.

• Služba (Google, Amazon, banka…) má u sebe jen zámek.
• Vy máte v telefonu klíč.
• Klíč nikdy neopustí váš telefon. Nikam se neposílá, nikam se nepíše.

Když se přihlašujete, služba vám „podá zámek“ a váš telefon ho odemkne. Odemknutí potvrdíte obličejem, otiskem prstu nebo PINem telefonu.

A teď to podstatné:

Když hacker ukradne ze serveru všechny zámky, nemá nic. Zámkem se nic neodemkne. Na to potřebujete klíč. A ten je u vás v kapse.

Ten můj honeypot by s passkey neměl co zaznamenávat. Není co ukrást a není co zkoušet.

Ještě jedna věc, kterou passkey umí lépe než vy

Falešné stránky.

Přijde e-mail „Vaše zásilka čeká“, kliknete, otevře se stránka, která vypadá přesně jako přihlášení do Googlu. Heslo tam napíšete. Člověk se splete.

Passkey se nesplete.

Klíč je napevno spárovaný s konkrétní adresou - třeba google.com. Na g00gle-prihlaseni.com prostě nefunguje. Telefon vám ho tam ani nenabídne.

Je to první ochrana proti phishingu, která nespoléhá na to, že budete pozorní.

Jak to vypadá v praxi?

Žádná věda:

1. Na webu kliknete na „Přihlásit se“.
2. Telefon se zeptá: „Použít passkey pro google.com?“
3. Podíváte se do telefonu (Face ID) nebo přiložíte prst.
4. Jste přihlášeni.

Žádné heslo. Žádný SMS kód. Žádné opisování šesti čísel.

Upřímně? Je to pohodlnější než heslo. A to se o bezpečnostních věcech říká málokdy.

Kde to už funguje?

Velcí hráči ano:

• ✅ Google (Gmail, YouTube, Fotky)
• ✅ Apple účet
• ✅ Microsoft (Outlook, Windows)
• ✅ Amazon
• ✅ PayPal
• ✅ WhatsApp
• ✅ GitHub, eBay, TikTok a další

Česká realita?

Tady je to slabší. Prošel jsem to službu po službě:

• ✅ Seznam účet (Email.cz) - přístupový klíč si zapnete v Zabezpečení a pak se přihlásíte kliknutím na ikonu klíčku. Bez jména, bez hesla.
• ✅ Revolut - ale hlavně na webu. V mobilní aplikaci zatím ne.
• ⚠️ Allegro (dřív Mall) - passkeys na své platformě zavedlo, jestli i na české doméně, jsem si neověřil.
• ❌ Banky - George, Komerčka, ČSOB, Air Bank, Fio, Raiffeisenbank. Ani jedna.
• ❌ Alza - dvoufázové ověření jen kódem z SMS nebo e-mailu.
• ⚠️ Stát (datovky, Portál občana, Mojedaně) - přihlášení jede přes Identitu občana, takže záleží na poskytovateli, kterého si zvolíte. Přes mojeID jde použít FIDO2 klíč, ale jako druhý faktor k heslu, ne místo něj.

A teď to zajímavé: banky a stát bezheslové přihlášení dávno mají. George klíč, Smart klíč, RB klíč, Mobilní klíč eGovernmentu. Funguje to dobře a bezpečně.

Jenže každý z nich je vlastní uzavřený ostrov. To je ten rozdíl. Passkey je standard - klíč si zazálohujete, přenesete na jiné zařízení a uložíte tam, kam chcete vy. Klíč od George bydlí v Georgeovi a nikde jinde.

(Mimochodem, při ověřování jsem narazil na články, podle kterých české banky passkeys „pilotně testují". Žádná banka to na svém webu nepotvrzuje a ty weby vypadají na generovaný obsah. Tak s tím opatrně.)

Takže na otázku „končí hesla?“ je poctivá odpověď:

Končí. Ale pomalu. Ještě roky budete hesla potřebovat.

Jak si passkey zapnout? (Google jako příklad)

1. Otevřete myaccount.google.com
2. Klikněte na „Zabezpečení“
3. Najděte „Přístupové klíče“ (Google tomu česky říká takhle)
4. „Vytvořit přístupový klíč“
5. Potvrďte obličejem nebo otiskem.

Hotovo za minutu.

Heslo vám přitom zůstane. Passkey je zatím další dveře, ne náhrada těch starých.

Co když ztratím telefon?

Tohle je otázka, kvůli které vznikl tenhle článek. A je to nejdůležitější část.

Nejčastější panika:
„Když je klíč jen v telefonu a telefon spadne do Vltavy… jsem venku?“

Většinou ne. Ale záleží, kde ten klíč bydlí.

📱 iPhone / Mac

Passkeys se ukládají do Klíčenky na iCloudu a synchronizují mezi vašimi zařízeními. Šifrovaně - ani Apple do nich nevidí.

Ztratíte iPhone? Koupíte nový, přihlásíte se k Apple účtu a klíče jsou zpátky.

🤖 Android

Totéž, jen přes Správce hesel Google. Nový telefon, přihlásíte se ke Googlu, klíče se vrátí.

⚠️ A teď ta past

Všimli jste si?

Všechno stojí na jednom účtu. Apple ID nebo Google účet.

• Když přijdete o telefon a zároveň o přístup k Apple/Google účtu, máte problém.
• Když vám Apple nebo Google účet zablokuje, máte problém.
• A pokud máte iPhone a doma počítač s Windows, čeká vás trocha žonglování (QR kód v prohlížeči, naskenujete telefonem - funguje to, jen to není úplně intuitivní).

Klíč je tedy bezpečný. Ale máte ho uložený u někoho.

Co s tím?

1. Nemažte hesla. Pokud to služba dovolí, nechte si heslo jako záložní cestu.
2. Záložní kódy. Pamatujete z článku o dvoufázovém ověření? Vytisknout, šuplík. Platí pořád.
3. Dvě zařízení. Passkey na telefonu i na počítači / tabletu. Jedno ztratíte, druhé zůstane.
4. Pohlídejte si hlavní účet. Apple ID / Google účet je teď klíč od všech klíčů. Silné heslo, dvoufázové ověření, aktuální telefonní číslo.
5. Nebo klíče přestěhujte k sobě. Od iOS 17 nemusí passkeys držet jen Apple s Googlem — zvládne to i aplikace třetí strany. K tomu se na konci článku ještě vrátím.

Takže… proč heslář?

Zpátky ke kamarádovi.

Passkeys jsou skvělé. Zapněte si je všude, kde to jde. Myslím to vážně.

Ale podívejte se do svého života:

• Wi-Fi hesla
• PIN ke kartě, kterou používáte jednou za rok
• Přihlášení do datovky, pojišťovny, e-shopů, většina passkey nezná
• Licenční klíče k programům
• 24 slov ke kryptoměnové peněžence

Nic z toho passkey nevyřeší. A to ještě dlouho.

A pak je tu druhá věc. Passkeys jsou pohodlné hlavně proto, že je za vás drží Apple nebo Google. Pro většinu lidí je to v pořádku a dává to smysl.

Já jsem ale chtěl mít ty nejcitlivější věci u sebe. Ne v cizím cloudu, ne pod cizím účtem. Proto jsem udělal VaultOff - šifrovaný trezor, který nikdy nekomunikuje s internetem. Pro iPhone a Mac, jednou zaplatíte a je váš. 👉 VaultOff v App Store

Nejde o „buď, anebo“.

Passkey tam, kde to jde. Silné unikátní heslo v trezoru všude jinde.

Takže jsem kamaráda vzal doslova

Tenhle článek měl původně končit větou, že passkeys technicky jdou i úplně offline a že nad tím přemýšlím.

Přemýšlení trvalo asi tři týdny. Ve verzi 1.1 VaultOff passkeys umí.

• Vytvoří je a přihlásí vás jimi. VaultOff se v nastavení zapne jako poskytovatel hesel a od té chvíle vám Safari i ostatní aplikace nabídnou passkey přímo z trezoru. Potřebujete iPhone s iOS 17 a novějším, Mac s macOS 14 a novějším.
• Klíč vznikne v trezoru a zůstane v něm. Nejde do iCloud Klíčenky, nejde na žádný server. Leží zašifrovaný ve stejném souboru jako vaše hesla.
• Pokaždé se zeptá. Před vytvořením i před každým přihlášením odemykáte Face ID, Touch ID nebo hlavním heslem a klíč ještě ručně potvrdíte. Žádné tiché podepisování na pozadí.
• Funguje hned. Nový klíč je použitelný i při dalším přihlášení, aniž byste museli otevřít hlavní appku.
• Záloha nese i klíč. Šifrovaná záloha a párovaný přenos iPhone ↔ Mac obsahují i tu soukromou část. Obnovíte zálohu na novém telefonu, přihlásíte se — a služba na druhé straně nic nepozná, je to pořád tentýž klíč.
• Návnada zůstává návnadou. Když appku odemknete nátlakovým heslem, skutečné passkeys vám nenabídne.

Vzpomínáte na tu past o kus výš? Že všechno stojí na jednom účtu u Applu nebo Googlu? Tohle je druhá cesta. Za cenu, kterou je potřeba říct nahlas:

Obnovu si musíte udělat sami. Apple a Google vám klíče po přihlášení vrátí. VaultOff ne — zálohu máte v ruce vy. Bez ní je klíč pryč a u služby se musíte zaregistrovat znovu.

Co 1.1 zatím neumí

Ať je to poctivé:

• Nepřetáhne passkeys z jiného správce. Import zatím není, takže klíče, které už máte u Applu nebo Googlu, si ve VaultOffu musíte vytvořit znovu.
• Obě zařízení potřebují 1.1. Trezor s passkeys starší verze VaultOffu raději odmítne otevřít, než aby o nové klíče tiše přišla. Aktualizujte iPhone i Mac.
• Umí ES256. Algoritmus, na kterém jede drtivá většina služeb - ale jestli passkey u konkrétní služby projde, ukáže až její skutečné přihlášení.
• Smazání klíče z trezoru vás u služby neodhlásí. Registrace tam zůstane. Než smažete poslední klíč, zařiďte si jinou cestu dovnitř.

Verze 1.1 je teď v testech. Až projde schválením, naskočí jako běžná aktualizace — kdo VaultOff má, nic nedoplácí.

Shrnutí na jeden řádek

Heslo je tajemství, které se dá ukrást. Passkey je klíč, který nikdy neopustí vaši kapsu.

✅ A co teď?

1. Zapněte passkey na Google nebo Apple účtu (5 minut).
2. Zkuste to u Amazonu, PayPalu, WhatsAppu - kde to máte.
3. Nemažte hesla a zkontrolujte si záložní kódy.
4. A pohlídejte si hlavní účet, na kterém to celé stojí.
5. Rozmyslete si, kde mají vaše klíče bydlet - u Applu a Googlu, nebo u vás.

Už jste se někde přihlásili obličejem místo hesla - a vůbec jste si nevšimli, že to bylo passkey?

A věříte tomu, že hesla za pět let opravdu zmizí?