Uwierzytelnik tworzy parę kluczy publiczny–prywatny ograniczoną do konkretnej strony ufającej (relying party), takiej jak witryna lub aplikacja. Usługa przechowuje klucz publiczny; klucz prywatny pozostaje pod kontrolą uwierzytelnika lub dostawcy passkey i służy do podpisania nowego wyzwania (challenge) podczas uwierzytelniania.
Użytkownik zwykle autoryzuje użycie passkey tym samym lokalnym mechanizmem, którym odblokowuje urządzenie lub klucz bezpieczeństwa, np. PIN-em lub biometrią. Dane biometryczne są przetwarzane lokalnie, a nie wysyłane do usługi. Ponieważ WebAuthn wiąże uwierzytelnianie ze stroną ufającą i źródłem (origin), poprawnie zaimplementowany passkey jest odporny na konwencjonalny phishing poświadczeń i nie może być ponownie użyty w usłudze podszywającej się pod nią.
Najważniejsze punkty
Dwie formy wdrożeniaSynchronizowany passkey może być dostępny na wielu urządzeniach przez dostawcę passkey; passkey związany z urządzeniem pozostaje na konkretnym uwierzytelniku.
Brak współdzielonego hasłaNaruszona baza usługi zawiera klucz publiczny, a nie wielokrotnego użytku sekret uwierzytelniający.
Weryfikacja użytkownikaPolityka może wymagać, by uwierzytelnik lokalnie weryfikował użytkownika, ale pewność zależy od uwierzytelnika, konfiguracji i modelu odzyskiwania.
Potrzeby cyklu życiaUsługi muszą obsługiwać bezpieczną rejestrację, dodatkowe uwierzytelniki, utratę urządzenia, unieważnianie, zmiany dostawcy i audytowalne odzyskiwanie.
Istotne ograniczeniePasskey nie zabezpiecza już skradzionej sesji ani nie rekompensuje słabego odzyskiwania konta, niebezpiecznej rejestracji, skompromitowanych punktów końcowych czy nadmiernej autoryzacji po zalogowaniu.