Implementace mohou používat veřejnoklíčové přihlašovací údaje FIDO, čipové karty či jiné přihlašovací údaje PKI, kryptografická zařízení nebo odkazy a kódy doručované jiným důvěryhodným kanálem. Tyto metody se podstatně liší v zabezpečení, použitelnosti a jistotě.
Odstranění hesla služby eliminuje uhodnutí hesla, jeho znovupoužití, credential stuffing a krádež databáze hesel jako přímé útočné cesty. Neodstraňuje potřebu bezpečné registrace, vázání autentikátoru, obnovení, zrušení, výměny zařízení a správy relací. Služba může být bezheslová, zatímco nadřazený e-mailový účet, poskytovatel identity či účet synchronizace přihlašovacích údajů, na kterých závisí, stále používá heslo.
Klíčové body
Vyhodnoťte protokolUrčete, co dokazuje kontrolu, jak je přihlašovací údaj vázán na legitimní službu a zda jej prostředník může přehrát či přesměrovat.
Vyhodnoťte faktoryBezheslový popisuje absenci hesla, nikoli počet či nezávislost autentizačních faktorů.
Chraňte události životního cykluRegistrace, obnovení účtu, akce help desku, ztracená zařízení a záložní metody nesmějí být slabší než rutinní přihlášení.
Plánujte migraciInventarizujte nepodporované aplikace, poskytněte přístupné alternativy, zřiďte obnovení a vyřaďte heslovou zálohu, když již není potřebná.
Důležité omezeníBezheslový automaticky neznamená vícefaktorový, odolný vůči phishingu či vysoce jistotný. E-mailové odkazy, jednorázové kódy a schvalovací výzvy mohou zůstat vylákavatelné či závislé na kompromitovaném kanálu.