Vývoj autentizace: od silných hesel a správců hesel k technologii passkeys

Proč hesla stále dominují a proč je čas jít dál

Hesla jsou nejrozšířenějším autentizačním mechanismem posledních 50 let. Jejich výhodou je univerzálnost a nízké náklady, zásadním problémem je však lidský faktor: opakované používání, slabé vzorce a náchylnost k phishingu. I když zásady typu „minimálně 8 znaků, písmena, čísla, speciální znaky“ působí přísně, v praxi vedou k předvídatelným a snadno prolomitelným řetězcům. Moderní přístupy kombinují tři pilíře: silná a jedinečná hesla, správce hesel a postupný přechod na passkeys (přihlašování bez hesla na bázi FIDO2/WebAuthn).

Silná hesla: zásady, které fungují

• Délka především: 14–20+ znaků pro běžné účty, 20–30+ pro účty s vysokou hodnotou (e-mail, bankovnictví, cloud). Délka exponenciálně zvětšuje prostor možností, a tím i odolnost proti útokům hrubou silou.
• Jedinečnost: Každá služba musí mít jiné heslo. Únik z jednoho účtu se tak nešíří dál.
• Nepředvídatelnost: Vyhněte se slovům ze slovníku, vzorům na klávesnici a běžným záměnám znaků (např. Pa$$word1!).
• Žádné pravidelné vynucování změny bez důvodu: Změna má smysl po incidentu, při podezření nebo v případě sdílených přístupů. Jinak podporuje volbu slabších hesel.
• Vícefaktorové ověřování (MFA): Heslo je jen první linie obrany; doporučuje se TOTP (aplikace) nebo bezpečnostní klíč. SMS používejte jen v nouzi.

Praktické strategie tvorby hesel

U účtů, které zatím nepodporují passkeys, je vhodné používat náhodně generovaná hesla ze správce hesel. Pokud si heslo musíte pamatovat (např. hlavní heslo k trezoru), zvolte dlouhou frázi:

• Fráze z náhodných slov: 4–6 nesouvisejících slov (v kombinaci s diakritikou, mezerami či interpunkcí). Např. „šafrán–polárka podzim vlna kompas“.
• Náhodné generátory: Pro běžné účty 20–32 znaků s povolenými symboly; usnadněte si práci automatickým vyplňováním.

Správce hesel: základ bezpečné praxe

Správce hesel (trezor) řeší dvě klíčové věci: bezpečné generování a ukládání jedinečných hesel. Tím, že odpadá nutnost pamatovat si desítky řetězců, se snižuje pokušení používat hesla opakovaně.

• Modely: Synchronizovaný cloudový správce (jednoduché použití, více zařízení) nebo lokální správce (plná kontrola, vyžaduje více péče).
• Transparentnost a audit: Upřednostňujte projekty s veřejnými bezpečnostními audity, programem odměn za nahlášení chyb (bug bounty) a historií řešení zranitelností.
• Kryptografie: Hledejte silné standardy (např. AES-256, Argon2/PBKDF2 pro odvození klíče) a architekturu zero-knowledge (poskytovatel nemá přístup k obsahu trezoru).
• Funkce: Sdílené trezory pro rodinu/tým, bezpečné poznámky, ukládání 2FA semen jen tam, kde to dává smysl, kontrola úniků a slabých hesel, audit používání.

Jak nastavit správce hesel krok za krokem

1. Vyberte řešení: Zvažte podporované platformy (Windows/macOS/Linux/iOS/Android), rozšíření pro prohlížeče a rodinné či týmové tarify.
2. Vytvořte hlavní heslo (master password): Dlouhou, snadno zapamatovatelnou, ale náhodnou frázi (min. 16–20 znaků). Toto je jediné heslo, které si opravdu musíte pamatovat.
3. Zapněte MFA pro trezor: Ideálně bezpečnostní klíč (FIDO), případně TOTP. SMS pouze jako poslední možnost.
4. Import a inventarizace: Načtěte stávající přihlašovací údaje, označte duplicity a slabá či uniklá hesla nahraďte vygenerovanými.
5. Automatické vyplňování a blokování phishingu: Rozšíření vyplňuje údaje pouze na odpovídající doméně; vyhněte se ručnímu kopírování, abyste minimalizovali chyby.
6. Nouzová sada a obnova: Vytiskněte nebo bezpečně uložte obnovovací kódy, zaregistrujte sekundární faktory a alespoň dvě důvěryhodná zařízení.

Bezpečné sdílení přístupů

Hesla neposílejte e-mailem ani chatem. Využijte sdílené trezory či bezpečné sdílení ve správci. V pracovním prostředí nastavte role, audit přístupů a zásadu nejnižších oprávnění. Při odchodu člena týmu změňte sdílená tajemství.

Co jsou passkeys a proč představují průlom

Passkey je moderní náhrada hesla založená na standardu FIDO2/WebAuthn. Namísto zadávání tajemství se používá pár kryptografických klíčů: veřejný klíč je uložen u služby, soukromý klíč zůstává ve vašem zařízení. Přihlášení probíhá kryptografickým podpisem a potvrzením biometrickým údajem nebo PINem zařízení.

• Výhoda oproti phishingu: Podpis je vázán na konkrétní doménu. Falešná stránka nedokáže přihlašovací údaje zneužít.
• Žádné tajemství „na dálku“: Soukromý klíč nikdy neopustí zařízení; z databáze poskytovatele není co ukrást.
• Rychlost a uživatelská zkušenost: Přihlášení obvykle vyžaduje jedno klepnutí či ověření biometrickým údajem, bez zadávání řetězců.

Jak passkeys fungují v praxi

Při registraci služba (spoléhající strana, relying party) požádá o vytvoření přihlašovacího údaje; vaše zařízení vygeneruje pár klíčů a veřejný klíč odešle službě. Při přihlašování podepíšete výzvu z dané domény soukromým klíčem. Identifikace probíhá na základě kryptografického důkazu, nikoli znalosti hesla.

Typy autentizátorů pro passkeys

• Platformní autentizátor: Integrovaný v zařízení (telefon, notebook). Výhoda: pohodlí a synchronizace v rámci ekosystému. Nevýhoda: závislost na jednom výrobci.
• Roamingový autentizátor (bezpečnostní klíč): Fyzický klíč (USB/NFC/BLE), přenosný mezi zařízeními a platformami. Ideální jako záložní faktor i pro obnovu.

Omezení a na co si dát u passkeys pozor

• Kompatibilita ekosystému: Ne všechny služby a starší prohlížeče jsou podporovány, pokrytí však roste.
• Obnova a přenos: Potřebujete promyšlenou strategii: více synchronizovaných zařízení, alespoň jeden roamingový klíč, obnovovací kódy, případně rodinnou či firemní obnovu.
• Zásady v organizaci: Vynucování minimálních standardů (počet registrovaných autentizátorů, blokování nekompatibilních zařízení, audit).

Osobní migrační strategie: od hesel k passkeys

1. Zabezpečte základy: Zaveďte správce hesel a MFA pro klíčové účty (e-mail, účet Apple/Google/Microsoft, banky, cloudová úložiště).
2. Připravte si autentizátory: Ověřte, zda vaše zařízení podporují passkeys; pořiďte si alespoň jeden roamingový klíč jako zálohu.
3. Ověřte podporu služeb: V nastavení účtů hledejte „Passkeys“, „Security keys“ nebo „WebAuthn“.
4. Zaregistrujte passkey pro kritické účty: Začněte e-mailem a účty, jejichž prostřednictvím obnovujete přístup k dalším službám.
5. Nastavte výchozí způsob přihlašování: Pokud to služba umožňuje, deaktivujte 2FA přes SMS a ponechte TOTP či bezpečnostní klíč jako zálohu.
6. Postupně migrujte zbytek: Při nejbližší změně hesla nebo po incidentech přecházejte na passkeys, dokud většina účtů nebude bez hesla.

Firemní migrační strategie: bezpečně a řízeně

1. Pilotní provoz a rizika: Identifikujte kritické aplikace (SSO/IdP, e-mail, administrátorské konzole). Otestujte řešení s malou skupinou.
2. Poskytovatel identity a zásady: Aktivujte WebAuthn/FIDO2 v IdP, nastavte povinný počet autentizátorů (min. 2), definujte pravidla obnovy a nouzový přístup (break-glass).
3. Správa zařízení: Zásady MDM pro platformní autentizátory, distribuce roamingových klíčů, evidence a obměna.
4. Uživatelská zkušenost a zavádění: Návody, školení, podpora první linie, řešení výjimek (terminály, starší systémy).
5. Monitoring a audit: Sledujte úspěšnost přihlášení, phishingové incidenty, dobu přihlašování a počet obnov.

Obnova a nouzové scénáře

• Passkeys: Mějte alespoň dvě nezávislé metody (dvě synchronizovaná zařízení nebo jedno zařízení a roamingový klíč). Podle možností služby zálohujte obnovovací kódy.
• Správce hesel: Uchovávejte sadu pro obnovu mimo trezor (papír v trezoru, bezpečné úložiště). Ověřte, že člen rodiny či administrátor ví, co dělat v nouzi.
• Reakce na incident: Při úniku nebo podezření změňte hesla, zrušte relace, odeberte neznámé autentizátory a znovu nastavte MFA.

Srovnání: hesla vs. 2FA vs. passkeys

Běžné mýty a omyly

• „Složité = bezpečné“: Krátké komplexní heslo je často slabší než dlouhá náhodná fráze.
• „2FA přes SMS stačí“: Je lepší než nic, ale je náchylná k výměně SIM karty (SIM swap) a odposlechu zpráv. Upřednostňujte TOTP nebo bezpečnostní klíče.
• „Passkeys nelze obnovit“: Díky více autentizátorům a dobrému plánu obnovy jsou ve většině případů spolehlivější než hesla.

Kontrolní seznam: minimum, které vás výrazně posune

• Nainstalovat správce hesel na všechna zařízení a zapnout synchronizaci/zamykání po nečinnosti.
• Nastavit dlouhé hlavní heslo + MFA pro trezor a uložit sadu pro obnovu offline.
• Nahradit slabá či duplicitní hesla vygenerovanými (alespoň u 20 nejdůležitějších služeb).
• Pořídit a přidat jeden roamingový bezpečnostní klíč.
• Aktivovat passkeys pro e-mail a hlavní účty, TOTP ponechat jako zálohu.

Ochrana soukromí a compliance

Správce hesel minimalizuje množství osobních údajů „v divočině“, protože odrazuje od opakovaného používání hesel a snižuje riziko jejich úniku. Passkeys dále snižují míru vystavení riziku: nevzniká centrální „heslo“, které by bylo možné zneužít. Z hlediska ochrany soukromí a GDPR je to v souladu se zásadou minimalizace údajů a bezpečnosti zpracování – méně tajemství, menší prostor pro selhání.

Vývoj, nikoli revoluce

Silná hesla a správce hesel představují robustní základ, který můžete mít už dnes. Passkeys jsou dalším krokem – odstraněním samotného hesla tam, kde je to možné. Začněte od základů, připravte plán obnovy a postupně migrujte služby. Výsledkem je vyšší bezpečnost, méně stresu a rychlejší přihlašování.