Un autentificator creează o pereche de chei publică–privată delimitată la o parte care se bazează pe ea, precum un site web sau o aplicație. Serviciul stochează cheia publică; cheia privată rămâne sub controlul unui autentificator sau furnizor de passkey și este folosită pentru a semna o provocare proaspătă în timpul autentificării.
Utilizatorul autorizează în mod normal utilizarea passkey-ului cu același mecanism local folosit pentru a debloca un dispozitiv sau o cheie de securitate, precum un PIN sau biometrie. Acea biometrie este procesată local, nu trimisă serviciului. Pentru că WebAuthn leagă autentificarea de partea care se bazează pe ea și de origine, un passkey corect implementat este rezistent la phishing-ul convențional de credențiale și nu poate fi reutilizat la un serviciu asemănător.
Puncte esențiale
Două forme de implementareUn passkey sincronizat poate fi făcut disponibil pe dispozitive printr-un furnizor de passkey; un passkey legat de dispozitiv rămâne pe un anumit autentificator.
Fără parolă partajatăO bază de date de serviciu compromisă conține o cheie publică, nu un secret de autentificare reutilizabil.
Verificarea utilizatoruluiPolitica poate cere autentificatorului să verifice utilizatorul local, dar asigurarea depinde de autentificator, configurație și modelul de recuperare.
Nevoi de ciclu de viațăServiciile trebuie să suporte înregistrarea securizată, autentificatori suplimentari, pierderea dispozitivului, revocarea, schimbările de furnizor și recuperarea auditabilă.
Limitare importantăPasskey-urile nu securizează o sesiune deja furată și nu compensează recuperarea slabă a contului, înrolarea nesigură, endpointurile compromise sau autorizarea excesivă după autentificare.