Implementacje mogą używać poświadczeń klucza publicznego FIDO, kart inteligentnych lub innych poświadczeń PKI, urządzeń kryptograficznych, albo linków i kodów dostarczanych innym zaufanym kanałem. Metody te różnią się istotnie bezpieczeństwem, użytecznością i pewnością (assurance).
Usunięcie hasła usługi eliminuje zgadywanie hasła, jego ponowne użycie, credential stuffing i kradzież bazy haseł jako bezpośrednie ścieżki ataku. Nie usuwa potrzeby bezpiecznej rejestracji, wiązania uwierzytelników, odzyskiwania, unieważniania, wymiany urządzeń i zarządzania sesjami. Usługa może być też bezhasłowa, podczas gdy nadrzędne konto e-mail, dostawca tożsamości lub konto synchronizujące poświadczenia, od którego zależy, nadal używa hasła.
Najważniejsze punkty
Oceń protokółUstal, co dowodzi kontroli, jak poświadczenie jest związane z właściwą usługą i czy pośrednik może je odtworzyć lub przekierować.
Oceń składnikiBezhasłowość opisuje brak hasła, a nie liczbę ani niezależność składników uwierzytelniania.
Chroń zdarzenia cyklu życiaRejestracja, odzyskiwanie konta, działania help desku, utrata urządzeń i metody zapasowe nie mogą być słabsze niż rutynowe logowanie.
Planuj migracjęZinwentaryzuj nieobsługiwane aplikacje, zapewnij dostępne alternatywy, ustanów odzyskiwanie i wycofaj zapasowe hasło, gdy przestanie być potrzebne.
Istotne ograniczenieBezhasłowość nie oznacza automatycznie wieloskładnikowości, odporności na phishing ani wysokiej pewności. Linki e-mail, kody jednorazowe i monity zatwierdzania mogą pozostać podatne na phishing lub zależeć od skompromitowanego kanału.