Autentikátor vytváří pár veřejného a soukromého klíče vymezený konkrétní spoléhající straně, jako je web či aplikace. Služba uchovává veřejný klíč; soukromý klíč zůstává pod kontrolou autentikátoru či poskytovatele passkey a je používán k podepsání čerstvé výzvy během autentizace.
Uživatel obvykle autorizuje použití passkey stejným lokálním mechanismem používaným k odemčení zařízení či bezpečnostního klíče, jako PIN či biometrie. Tato biometrie je zpracovávána lokálně, nikoli odesílána službě. Protože WebAuthn váže autentizaci na spoléhající stranu a původ, správně implementovaná passkey je odolná vůči konvenčnímu phishingu přihlašovacích údajů a nemůže být znovupoužita u podobně vypadající služby.
Klíčové body
Dvě formy nasazeníSynchronizovaná passkey může být zpřístupněna napříč zařízeními skrze poskytovatele passkey; k zařízení vázaná passkey zůstává na konkrétním autentikátoru.
Žádné sdílené hesloProlomená databáze služby obsahuje veřejný klíč, nikoli znovupoužitelné autentizační tajné údaje.
Ověření uživatelePolitika může vyžadovat, aby autentikátor uživatele lokálně ověřil, ale jistota závisí na autentikátoru, konfiguraci a modelu obnovení.
Potřeby životního cykluSlužby musí podporovat bezpečnou registraci, dodatečné autentikátory, ztrátu zařízení, zrušení, změny poskytovatele a auditovatelné obnovení.
Důležité omezeníPasskeys nezabezpečují již odcizenou relaci ani nekompenzují slabé obnovení účtu, nebezpečnou registraci, kompromitované koncová zařízení či nadměrnou autorizaci po přihlášení.