Passkeys a FIDO2: szczegółowe porównanie na potrzeby bezpiecznego, bezhasłowego uwierzytelniania

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

Porównanie kluczy bezpieczeństwa passkeys i FIDO2 w kontekście bezhasłowego uwierzytelniania odpornego na phishing: WebAuthn, Microsoft Entra ID, odzyskiwanie dostępu i wdrażanie w przedsiębiorstwie.

Automatically translated with AI from the original post. Read the English original

Wybór między passkeys a FIDO2 wymaga jasnej, praktycznej decyzji opartej na scenariuszu użytkownika, wymaganiach bezpieczeństwa i środowisku Microsoft 365. Zacznij od określenia oczekiwanego rezultatu, sprawdź aktualne wytyczne Microsoft, przetestuj rozwiązanie z reprezentatywnymi użytkownikami i udokumentuj odpowiedzialność, zanim zastosujesz to podejście szeroko.

Praktyczna lista kontrolna wyboru między passkeys a FIDO2

• Zdefiniuj scenariusz biznesowy i odpowiedzialnego właściciela.
• Zweryfikuj projekt w reprezentatywnym pilotażu.
• Przeanalizuj skutki dla bezpieczeństwa, dostępu i wsparcia.

Aktualne wskazówki dotyczące produktów znajdziesz w serwisie Microsoft Learn.

Ostatni przegląd: lipiec 2026.

Zabezpieczanie kont cyfrowych bez uciążliwości i ryzyka związanego z hasłami staje się nowym złotym standardem. Jeśli szukasz nowoczesnego uwierzytelniania dla siebie lub swojej organizacji, trudno uniknąć rozmów o FIDO2 i passkeys. Te dwa pojęcia pojawiają się bardzo często, ale co tak naprawdę oznaczają i jak wypadają w praktyce pod kątem bezpieczeństwa, użyteczności i wdrożenia, zwłaszcza w środowiskach opartych na produktach Microsoft?

Ten przewodnik omawia podstawy: jak działają FIDO2 i passkeys, czym się różnią i dlaczego zmieniają sposób logowania na urządzeniach i w usługach chmurowych. Znajdziesz praktyczne wnioski dotyczące modeli zagrożeń, zgodności, doświadczenia użytkownika oraz szczegółów konfiguracji bezhasłowego uwierzytelniania, które naprawdę się sprawdza. Niezależnie od tego, czy zarządzasz Microsoft 365, prowadzisz własny dział IT, czy po prostu chcesz, aby konta były trudne do przejęcia przez cyberprzestępców, trafiłeś we właściwe miejsce.

Czym są FIDO2 i passkeys?

FIDO2 to otwarty standard uwierzytelniania bez haseł, opracowany przez FIDO Alliance i World Wide Web Consortium (W3C). Jego głównym celem jest umożliwienie bezpiecznego logowania bez haseł przy użyciu kryptografii klucza publicznego. Sercem FIDO2 są dwa główne protokoły: WebAuthn (dla stron internetowych i aplikacji) oraz CTAP (do komunikacji z uwierzytelniaczami, takimi jak telefony czy klucze sprzętowe).

Passkeys to przyjazna dla użytkownika implementacja standardu FIDO2. Mówiąc prosto, „passkey” to po prostu poświadczenie FIDO2, którym za Ciebie zarządza system operacyjny urządzenia, na przykład iCloud Keychain firmy Apple, Menedżer haseł Google lub Menedżer poświadczeń Microsoft. Passkeys zastępują samodzielne hasła: logujesz się, odblokowując urządzenie lub korzystając z danych biometrycznych, takich jak Face ID, Touch ID czy Windows Hello.

Oto najciekawszy szczegół: choć wszystkie passkeys opierają się na FIDO2, nie każde poświadczenie FIDO2 jest reklamowane jako „passkey”. Passkeys zwykle oferują dodatkowe udogodnienia, takie jak synchronizacja między urządzeniami czy łatwe odzyskiwanie dostępu, ale mechanizmy kryptograficzne, czyli klucz publiczny i klucz prywatny, są takie same. Tradycyjne hasła to sekrety, które zapamiętujesz, natomiast FIDO2 i passkeys przechowują sekret (klucz prywatny) zablokowany na urządzeniu, a serwerowi przekazują wyłącznie dowód jego posiadania, nigdy sam klucz.

Podsumowując: FIDO2 dostarcza ustandaryzowany zestaw narzędzi, a passkeys umieszczają ten zestaw w Twojej kieszeni, na laptopie lub w chmurze, obiecując logowanie bez haseł i odporne na phishing.

Eliminacja haseł i odporność na phishing

Najważniejsze w FIDO2 i passkeys nie jest samo ułatwienie logowania, choć to miły dodatek. Chodzi o ostateczne wycofanie haseł, które są słabe wobec phishingu, ataków z ponownym użyciem haseł i ataków brute-force. Dzięki FIDO2 i passkeys uwierzytelnianie opiera się na kryptografii klucza publicznego: nie jest przesyłane ani przechowywane żadne hasło, które atakujący mógłby wyłudzić lub ukraść.

Logowanie rozpoczynasz, odblokowując urządzenie: odciskiem palca, skanem twarzy lub kodem PIN urządzenia. Następnie urządzenie kryptograficznie potwierdza posiadanie klucza prywatnego, w sposób działający wyłącznie z właściwym serwerem (nazywanym stroną ufającą, czyli relying party) i nigdy nie wysyła klucza przez sieć. Nawet jeśli haker oszuka Cię fałszywą witryną, klucz nie zadziała, ponieważ jest powiązany z pochodzeniem (origin) prawdziwej strony.

Takie podejście sprawia, że klasyczne ataki phishingowe – takie jak kradzież danych logowania za pomocą podszywających się stron – praktycznie tracą sens. Nie ma hasła, które można by wykraść i użyć w innym miejscu, a atakujący nie mogą odtworzyć przechwyconych danych logowania, ponieważ każde logowanie wykorzystuje nowe wyzwanie. Ataki credential stuffing, w których przestępcy używają wyciekłych haseł do masowych logowań, również nie mają szans w przypadku passkeys.

Organizacje sięgają po to rozwiązanie nie tylko ze względów technicznych związanych z bezpieczeństwem, ale także z powodów dotyczących zgodności z przepisami i biznesu. Wdrażając FIDO2 i passkeys, zwłaszcza razem z narzędziami takimi jak Microsoft Defender for Office 365 i Microsoft Purview w zakresie zarządzania danymi, firmy mogą zablokować całą klasę ataków opartych na danych logowania, nie zwiększając przy tym obciążenia dla użytkowników.

Jak działa uwierzytelnianie FIDO2 od środka

Aby zrozumieć, dlaczego FIDO2 jest znacznie bezpieczniejsze niż tradycyjne logowanie, warto zajrzeć do środka tej czarnej skrzynki. Istota FIDO2 polega na użyciu kryptografii klucza publicznego, aby potwierdzić swoją tożsamość wobec usługi, bez ujawniania sekretów, które faktycznie otwierają dostęp do konta.

Gdy konfigurujesz logowanie FIDO2 (lub rejestrujesz passkey), urządzenie generuje unikalną parę kluczy: publiczny i prywatny. Klucz publiczny trafia do usługi, do której chcesz się zalogować, a klucz prywatny nigdy nie opuszcza urządzenia. Przy każdym logowaniu serwer wysyła urządzeniu wyzwanie, aby potwierdzić, że posiada ono klucz prywatny – zwykle przez podpisanie losowej wartości – a wynik sprawdza za pomocą przechowywanego klucza publicznego.

Wszystko to opiera się na ściśle kontrolowanym przechowywaniu i weryfikacji użytkownika. Oznacza to, że klucz prywatny jest zabezpieczony w bezpiecznym enklawie i jest dostępny wyłącznie po odblokowaniu urządzenia lub podaniu danych biometrycznych. To główny powód, dla którego przyjęcie FIDO2 i passkeys tak szybko rośnie w systemach, które mogą wymuszać zabezpieczenia oparte na sprzęcie, takich jak Microsoft Windows, Apple macOS/iOS i Android.

W kolejnych sekcjach szczegółowo omówimy przebieg rejestracji i uwierzytelniania, a także sposób ochrony danych logowania i ich powiązania z urządzeniem.

Przebieg rejestracji i uwierzytelniania FIDO2 wyjaśniony

1. Rejestracja: Gdy po raz pierwszy zakładasz konto w usłudze korzystającej z FIDO2, urządzenie tworzy nową parę kluczy kryptograficznych. Klucz publiczny trafia do usługi (strony ufającej, ang. relying party), a klucz prywatny pozostaje na urządzeniu.
2. Atestacja: Urządzenie może potwierdzić usłudze, że jest prawidłowym uwierzytelniaczem, przedstawiając certyfikat atestacyjny. Dzięki temu usługa ma pewność, że dane logowania zostały wygenerowane w bezpiecznym sprzęcie.
3. Uwierzytelnianie: Przy logowaniu usługa wysyła unikalne wyzwanie. Urządzenie podpisuje je kluczem prywatnym – po weryfikacji użytkownika kodem PIN, odciskiem palca itp.
4. Weryfikacja po stronie serwera: Podpisane wyzwanie wraca do serwera, gdzie jest sprawdzane za pomocą zapisanego klucza publicznego. Jeśli wszystko się zgadza, logowanie zostaje zaakceptowane; nie są wymieniane żadne sekrety i nie ma czego wyłudzić.

Bezpieczne przechowywanie i powiązanie z urządzeniem dla passkeys

• Zabezpieczenia oparte na sprzęcie: Passkeys i dane logowania FIDO2 są często przechowywane w dedykowanym bezpiecznym sprzęcie, takim jak Trusted Platform Module (TPM), Secure Enclave (Apple) lub układ Titan M (Google). Dzięki temu klucze są odizolowane od reszty urządzenia, co znacznie utrudnia ataki.
• Uwierzytelnianie biometryczne lub kodem PIN: Aby użyć passkey, musisz go odblokować – zazwyczaj metodą biometryczną lub kodem PIN urządzenia. Dane biometryczne nigdy nie opuszczają sprzętu ani nie są wysyłane do usługi online, dzięki czemu Twoje dane identyfikacyjne pozostają prywatne.
• Powiązanie z urządzeniem: Para kluczy kryptograficznych jest przypisana do fizycznego urządzenia, a nie tylko do konta online. Oznacza to, że potencjalny atakujący musiałby najpierw przejąć Twoje urządzenie i ominąć lokalne zabezpieczenia, aby uzyskać dostęp.
• Zabezpieczenia eksportu i synchronizacji danych logowania: W przypadku platform, które synchronizują passkeys między urządzeniami (np. iCloud Keychain lub Menedżer haseł Google), dane logowania są szyfrowane od końca do końca. Odczytać je lub z nich korzystać mogą wyłącznie Twoje urządzenia, po odpowiednim uwierzytelnieniu.
• Bezpieczeństwo cyklu życia: Urządzenia mogą bezpiecznie usunąć poświadczenia, gdy są resetowane lub wycofywane z użytku. Organizacje mogą wymuszać dostęp warunkowy i zarządzanie za pomocą rozwiązań takich jak Microsoft Entra ID i zasady dostępu warunkowego, aby kontrolować użycie poświadczeń i usuwać skutki przejęć.

Porównanie zsynchronizowanych kluczy dostępu i rozwiązań powiązanych z oprogramowaniem

Nie wszystkie klucze dostępu są takie same. Po skonfigurowaniu uwierzytelniania bez hasła szybko zauważysz różnice w sposobie zarządzania poświadczeniami – przede wszystkim w tym, czy są synchronizowane między urządzeniami za pośrednictwem chmury, czy też przypisane do jednego urządzenia. Te decyzje architektoniczne mają realne konsekwencje dla wygody użytkowania i ryzyka.

Zsynchronizowane klucze dostępu, takie jak te oferowane przez pęk kluczy iCloud na urządzeniach Apple czy Menedżer haseł Google na Androidzie, pozwalają uzyskiwać dostęp do logowań na telefonach, tabletach i komputerach – często z dużą wygodą. Wiąże się to jednak z własnym zestawem kompromisów w zakresie bezpieczeństwa i niezawodności, zwłaszcza w kontekście potencjalnego ujawnienia danych w przypadku naruszenia dostawcy chmury lub przerwania synchronizacji.

Z kolei klucze dostępu powiązane z oprogramowaniem istnieją wyłącznie na jednym urządzeniu. Jeśli chcesz przejść na nowe urządzenie, musisz je ręcznie przenieść lub zarejestrować ponownie – czasem to drobna niedogodność, a czasem przeszkoda nie do pokonania dla organizacji zarządzających tysiącami użytkowników i bezobsługowymi aktualizacjami sprzętu.

W dalszej części omówimy, dlaczego te modele mają znaczenie, jakie ryzyko niesie każde z podejść i jak wybrać właściwe dla Twojego środowiska – niezależnie od tego, czy chronisz osobiste logowania, czy wdrażasz uwierzytelnianie bez hasła w całej firmie.

Zsynchronizowane klucze dostępu na wielu urządzeniach: korzyści i ryzyko

• Wygoda na wielu urządzeniach: Zsynchronizowane klucze dostępu (takie jak w pęku kluczy iCloud lub Menedżerze haseł Google) pozwalają logować się natychmiast z dowolnego urządzenia w ramach ekosystemu, zapewniając płynne doświadczenie na telefonach, tabletach i laptopach.
• Automatyczne odzyskiwanie: Zgubiłeś urządzenie? Twoje klucze dostępu są nadal bezpieczne i można je odzyskać z innego zaufanego urządzenia, co ogranicza sytuacje blokady konta i obciążenie działu wsparcia.
• Ryzyko wynikające z zależności od chmury: Ponieważ poświadczenia przemieszczają się przez chmurę – nawet w postaci zaszyfrowanej – rośnie ryzyko w przypadku naruszenia dostawcy synchronizacji lub awarii jego usług, a bezpieczeństwo staje się zależne od zewnętrznego podmiotu.
• Zamknięte ekosystemy platform: Synchronizacja zwykle działa najlepiej w obrębie jednego ekosystemu – na przykład wyłącznie urządzeń Apple lub wyłącznie urządzeń Google – co utrudnia przechodzenie użytkowników między systemami iOS, Android, Windows i macOS.

Klucze dostępu powiązane z oprogramowaniem a kompromisy synchronizacji urządzeń

• Bezpieczeństwo wyłącznie lokalne: Te klucze dostępu są ściśle powiązane z jednym urządzeniem, co oznacza, że żadna zewnętrzna chmura nie może ich ujawnić w przypadku włamania – idealne rozwiązanie w środowiskach wymagających silniejszej izolacji.
• Ograniczona przenośność: Jeśli zmieniasz urządzenie, musisz ręcznie wyeksportować, przenieść lub zresetować klucze dostępu. Wiąże się to z dodatkowym nakładem pracy, ale może zmniejszyć powierzchnię ataku.
• Trudne odzyskiwanie: Jeśli urządzenie zostanie zgubione lub ulegnie awarii, lokalne klucze dostępu przepadają razem z nim. Zaplanowanie bezpiecznej kopii zapasowej lub jasnych procedur odzyskiwania jest niezbędne, aby uniknąć trwałej blokady konta.
• Dopasowanie do przypadków użycia: Organizacje o wysokich wymaganiach dotyczących pewności uwierzytelnienia lub podlegające regulacjom (na przykład sektor finansowy czy administracja państwowa) często preferują tę metodę dla kont uprzywilejowanych i wrażliwych systemów, mimo dodatkowego nakładu operacyjnego.

Klucze bezpieczeństwa sprzętowe i zewnętrzne uwierzytelniacze: wyjaśnienie

Klucze bezpieczeństwa sprzętowe to dedykowane, fizyczne urządzenia służące do uwierzytelniania bez hasła w systemach FIDO2 i kluczy dostępu. Występują w różnych postaciach – zazwyczaj jako urządzenia USB, NFC lub Bluetooth – które nosi się na breloku lub trzyma przy stanowisku pracy. Do popularnych modeli należą YubiKey, SoloKey i Feitian.

To, co wyróżnia klucze bezpieczeństwa sprzętowe, to odporność na manipulacje. Sekrety kryptograficzne (klucze prywatne) są generowane wewnątrz urządzenia i nigdy go nie opuszczają, nawet gdy podłączony komputer lub telefon zostanie przejęty. Dzięki temu są wyjątkowo odporne zarówno na phishing, jak i ataki złośliwego oprogramowania, dlatego są preferowane dla kont administratorów, kont root i kont o wysokiej wartości.

W przeciwieństwie do passkeys związanych z platformą, klucze sprzętowe opierają się na standardach branżowych, takich jak Client to Authenticator Protocol (CTAP), które służą do komunikacji z urządzeniami i interfejsami API przeglądarek (np. WebAuthn). Oznacza to, że zazwyczaj można ich używać w wielu systemach — nie są powiązane z platformami Apple, Google ani Microsoft — o ile docelowa aplikacja obsługuje FIDO2.

W niektórych środowiskach, zwłaszcza w sektorach regulowanych lub wysokiego ryzyka, użycie takich kluczy jest wymagane ze względów zgodności lub zabezpieczeń na poziomie AAL3 (najwyższy poziom gwarancji, zdefiniowany w NIST SP 800-63B). Nie są one tak wygodne jak passkeys synchronizowane między wszystkimi urządzeniami, ale zapewniają najwyższy poziom bezpieczeństwa w rolach, w których przejęcie poświadczeń po prostu nie wchodzi w grę.

Cykl życia poświadczeń i bezpieczeństwo na każdym etapie

Przejście na FIDO2 i passkeys to nie tylko lepsze ekrany logowania — to wzmocnienie bezpieczeństwa na całym cyklu życia poświadczeń. Każdy etap, od pierwszego utworzenia passkey po jego użycie, przechowywanie lub unieważnienie, niesie inne wyzwania i inne powierzchnie ataku.

Zrozumienie tego cyklu pomaga organizacjom określić, gdzie skupić kontrole bezpieczeństwa i zarządzanie. Na przykład tworzenie poświadczeń wymaga silnej atestacji i powiązania, a aktywne użycie musi być monitorowane pod kątem prób phishingu lub przejęcia urządzenia. Przechowywanie i tworzenie kopii zapasowych, zawsze słaby punkt w przypadku haseł, może stać się mocną stroną dzięki poświadczeniom powiązanym z urządzeniem lub solidnemu szyfrowaniu w chmurze.

Zarządzanie cyklem życia obejmuje też mniej efektowną, ale kluczową stronę: rotację, unieważnianie i odzyskiwanie konta. Utrzymanie kontroli nad tym, kto posiada jakie klucze, zapewnienie uporządkowanego czyszczenia po odejściu pracownika oraz możliwość reagowania na zgubione lub skompromitowane urządzenia bez paraliżowania pracy — to wszystko składa się na dobry plan wdrożenia bezhasłowego.

W środowiskach Microsoft solidne praktyki zarządzania cyklem życia poświadczeń ściśle wiążą się z szerszą strategią zarządzania danymi i dostępem, jak pokazano w materiałach takich jak Microsoft 365 Data Access Governance, gdzie własność, odpowiedzialność i procesy przeglądów mają kluczowe znaczenie dla bezpiecznej współpracy.

Tworzenie poświadczeń, ataki i zarządzanie stanem

• Bezpieczne tworzenie: Zawsze generuj poświadczenia FIDO2 w magazynach kluczy opartych na sprzęcie, z silną atestacją potwierdzającą autentyczne pochodzenie urządzenia.
• Odporność na phishing: Przepływy uwierzytelniania passkey i FIDO2 z natury są odporne na phishing, ponieważ sekrety nie są przesyłane, a wyzwania podpisu są unikalne dla każdej sesji.
• Ataki typu replay i MITM: Unikalne, jednorazowe wyzwania kryptograficzne uniemożliwiają atakującym odtwarzanie przechwyconych odpowiedzi lub przeprowadzanie ataków typu man-in-the-middle.
• Zarządzanie stanem: Regularnie sprawdzaj status poświadczeń, unieważniaj nieużywane lub skompromitowane klucze i prowadź ich inwentaryzację, szczególnie w przypadku kont uprzywilejowanych lub o szerokim dostępie.

Odzyskiwanie poświadczeń, unieważnianie i ograniczenia

Żaden system nie jest doskonały — nawet najmocniejsze passkeys i klucze bezpieczeństwa mogą zostać zgubione, skradzione lub uszkodzone. Planowanie odzyskiwania i unieważniania poświadczeń jest kluczowe, zwłaszcza jeśli przenosisz zespół lub organizację na uwierzytelnianie bez hasła na dużą skalę.

Gdy passkey lub poświadczenie FIDO2 zostanie utracone, opcje odzyskiwania zależą od sposobu jego zarządzania. W przypadku passkeys synchronizowanych (np. iCloud Keychain firmy Apple lub Menedżer haseł Google) zazwyczaj można przywrócić poświadczenia na nowym urządzeniu po przejściu uwierzytelniania na poziomie urządzenia i kroków odzyskiwania. Minimalizuje to przestoje, ale wiąże zaufanie z mechanizmami bezpieczeństwa i odzyskiwania dostawcy chmury.

Klucze bezpieczeństwa dodają dodatkową warstwę złożoności: utrata klucza sprzętowego oznacza, że musisz mieć zarejestrowane zapasowe klucze lub ustalone procedury awaryjnego dostępu administratora. W przeciwnym razie możesz zostać całkowicie zablokowany. Unieważnianie odbywa się po stronie serwera: po zgłoszeniu klucza jako utraconego klucz publiczny zostaje usunięty z profilu, przez co utracone poświadczenie staje się bezużyteczne.

Z drugiej strony nadmierne poleganie na funkcjach kopii zapasowych i odzyskiwania może osłabić bezpieczeństwo — procesy odzyskiwania muszą być wzmocnione przeciwko inżynierii społecznej i zagrożeniom wewnętrznym. Częste przeglądy oraz automatyzacja z użyciem narzędzi takich jak Microsoft Purview Audit mogą pomóc organizacjom monitorować użycie poświadczeń, zdarzenia unieważniania oraz potencjalne ryzyka dla zgodności lub potrzeb dochodzeniowych.

Ostatecznie wybór strategii odzyskiwania i unieważniania dostępu sprowadza się do wyważenia wygody użytkowników i solidnych mechanizmów kontroli — nie ma rozwiązania uniwersalnego. Zmapowanie scenariuszy utraty urządzeń i wdrożenie wielopoziomowego odzyskiwania konta to podstawa każdego poważnego wdrożenia bez haseł.

Klucze dostępu a klucze zabezpieczeń: jak wybrać właściwe rozwiązanie

Gdy przychodzi czas na decyzję, wybór między kluczami dostępu a sprzętowymi kluczami zabezpieczeń zależy od przypadku użycia, potrzeb wygody użytkowników i środowiska zagrożeń. Oba rozwiązania opierają się na wspólnym fundamencie — protokołach FIDO2 i kryptografii klucza publicznego — ale na co dzień działają bardzo różnie.

Klucze dostępu sprawdzają się tam, gdzie użytkownicy potrzebują bezproblemowego dostępu na wielu urządzeniach — na przykład użytkownicy końcowi z telefonami, tabletami, laptopami i aplikacjami chmurowymi, takimi jak Microsoft 365. Ich główna zaleta to użyteczność: odblokowujesz urządzenie i jesteś zalogowany, nawet na wielu prywatnych lub służbowych urządzeniach.

Klucze zabezpieczeń z kolei zapewniają najwyższy poziom bezpieczeństwa — są krytyczne dla administratorów, użytkowników uprzywilejowanych i wszystkich, dla których ryzyko przejęcia konta jest absolutnie nie do przyjęcia. Ich przenośność sprawia, że idealnie nadają się do uwierzytelniania na niezarządzanych lub publicznych systemach. Wada jest jednak taka: jeśli zapomnisz klucza, zgubisz go lub uszkodzisz, przywrócenie dostępu może być znacznie bardziej uciążliwe.

W regulowanych i wysokiego ryzyka środowiskach warstwowe wdrożenie kluczy zabezpieczeń w ramach podejścia Zero Trust (takiego jak opisane w artykule Zero Trust for Microsoft 365) zapewnia ciągłą weryfikację, która nadąża za szybko zmieniającymi się modelami zagrożeń, jednocześnie minimalizując utrudnienia dla użytkowników.

Zastosowania w przedsiębiorstwach i branżach regulowanych: 1Kosmos 1Key i nie tylko

1. 1Kosmos 1Key dla wysokiego poziomu gwarancji: To rozwiązanie zapewnia uwierzytelnianie bez haseł zgodne ze standardem FIDO2, zaprojektowane tak, by spełniać rygorystyczne wymagania AAL3 określone w NIST SP 800-63B. Łączy weryfikację biometryczną, zaufanie do urządzenia i dynamiczne czynniki uwierzytelniania dla kont uprzywilejowanych i kont wysokiego ryzyka.
2. Rozszerzona integracja z przedsiębiorstwem: 1Key bezproblemowo integruje się z biznesowymi platformami Microsoft, automatyzując udostępnianie tożsamości, zarządzanie cyklem życia dostępu i unieważnianie dostępu w skalowalnych wdrożeniach chmurowych.
3. Zgodność z przepisami: Platforma obsługuje gotowe mapowania zgodności dla branż regulowanych — finansowej, zdrowotnej i administracji publicznej — umożliwiając weryfikację tożsamości, rozbudowane logowanie oraz ścieżki audytu spełniające rygorystyczne wymogi raportowania.
4. Bezpieczny dostęp obywateli i pracowników: Organizacje wdrażające aplikacje chmurowe lub portale dla obywateli zyskują dostęp bez haseł, zachowując weryfikację tożsamości i nadzór, a także ograniczają uciążliwość utraconych poświadczeń i resetowania haseł.
5. Synergia Power Platform i zarządzania: Włączenie rozwiązań takich jak 1Key w szersze ramy zarządzania (jak omówiono w artykule Power Platform governance best practices) pomaga dopasować bezpieczeństwo oparte na tożsamości do zasad dotyczących danych przedsiębiorstwa, konektorów i środowisk.

Poprawa doświadczenia użytkownika i uwierzytelniania na wielu urządzeniach

Jeśli użytkownicy i administratorzy w czymś się zgadzają, to w tym, że hasła są koszmarem. Klucze dostępu mają to naprawić, czyniąc logowanie prostym, intuicyjnym i mniej stresującym — szczególnie na wielu urządzeniach i platformach chmurowych. Dzięki kluczom dostępu nie trzeba pamiętać skomplikowanych fraz ani resetować haseł po każdej kwartalnej kampanii „świadomości bezpieczeństwa”.

Dużą zaletą kluczy dostępu jest uwierzytelnianie na wielu urządzeniach. Po zapisaniu w pęku kluczy konta (czy to Apple, Google, czy Microsoft) logowanie na urządzeniach powiązanych z danym ekosystemem jest niemal natychmiastowe. Zatwierdzanie logowania wyłącznie skanem twarzy lub odciskiem palca nie tylko przyspiesza pracę, ale też znacząco ogranicza utrudnienia dla użytkowników, którzy przełączają się między urządzeniami i lokalizacjami.

Z perspektywy wdrażania redukcja utrudnień ma kluczowe znaczenie. Wiele zespołów IT obawia się sprzeciwu wobec wymuszanych zasad haseł lub rosnącej liczby zgłoszeń do helpdesku z powodu zablokowanych kont. Klucze dostępu minimalizują ten problem — użytkownicy nie zajmują się hasłami, zmęczeniem logowaniem ani pętlami resetowania. Bariery wdrożeniowe dotyczą raczej zgodności ekosystemów lub początkowej konfiguracji urządzeń, a obie te kwestie szybko się poprawiają.

Mądre organizacje ustalają priorytety wdrożeń passkeys, najpierw testując je w małych zespołach, zbierając opinie i automatyzując rejestrację urządzeń. Dzięki temu proces przebiega stabilnie i jest przyjazny dla użytkowników, a bezpieczeństwo nie ucierpi.

Często zadawane pytania, klucze zabezpieczeń kontra passkeys oraz bezpieczeństwo zdalnego dostępu

• Czy passkeys i klucze zabezpieczeń to to samo? Nie do końca. Passkeys to cyfrowe poświadczenia FIDO2 zarządzane przez urządzenie lub chmurę; klucze zabezpieczeń to fizyczne urządzenia, które podłącza się do komputera lub dotyka się nimi w celu uwierzytelnienia. Oba rozwiązania opierają się na tych samych podstawach kryptograficznych.
• Czy mogę używać passkeys na urządzeniach Apple, Google i Windows? Do pewnego stopnia. Zsynchronizowane passkeys najlepiej działają w obrębie jednego ekosystemu. Obsługa między różnymi platformami istnieje, ale bywa niepełna, a zgodność przeglądarek z funkcjami FIDO2 jest zróżnicowana.
• Czy ktoś może zdalnie ukraść mój passkey? O ile urządzenie (wraz z kontem chmurowym służącym do tworzenia kopii zapasowych) nie zostanie przejęte, zdalna kradzież passkeys jest bardzo mało prawdopodobna. Same klucze nigdy nie opuszczają urządzenia w postaci niezaszyfrowanej.
• Czy passkeys są bezpieczne przy pracy zdalnej i dostępie do chmury? Tak, pod warunkiem że są stosowane razem z zasadami dla urządzeń oraz narzędziami takimi jak Microsoft Defender i Purview. Wtedy passkeys zapewniają solidne uwierzytelnianie zdalne i znacząco ograniczają ryzyko związane z phishingiem, złośliwym oprogramowaniem i kradzieżą tożsamości.
• Czy menedżery haseł mogą przechowywać passkeys? Nowsze wersje menedżerów, takich jak 1Password, iCloud Keychain i Menedżer haseł Google, już obsługują passkeys. Zawsze jednak sprawdzaj zgodność oraz obsługę FIDO2/WebAuthn podczas integracji z przepływem uwierzytelniania.

Podsumowanie, porównanie zabezpieczeń i końcowe rekomendacje

1. Najważniejszy wniosek dotyczący bezpieczeństwa: Zarówno passkeys, jak i poświadczenia FIDO2 eliminują hasła wraz z ich słabościami. Passkeys wygrywają pod względem wygody dla większości użytkowników, natomiast sprzętowe klucze zabezpieczeń nadal dominują w scenariuszach wymagających wysokiego poziomu pewności.
2. Wygoda kontra przenośność: Zsynchronizowane passkeys zapewniają bezproblemowe logowanie na wielu urządzeniach, dzięki czemu sprawdzają się zarówno u przeciętnego użytkownika, jak i we flocie urządzeń firmowych. Klucze sprzętowe są przenośne, ale wymagają noszenia fizycznego tokena.
3. Strategia wdrożenia: W środowiskach regulowanych stosuj wielowarstwowe zabezpieczenia: passkeys dla zwykłych użytkowników, klucze zabezpieczeń dla administratorów oraz rozwiązania dla przedsiębiorstw, takie jak 1Kosmos 1Key, dla procesów zgodnych z AAL3.
4. Cykl życia i odzyskiwanie dostępu: Zaplanuj procesy odzyskiwania i unieważniania dostępu przed migracją. Kopie zapasowe i audyty (zob. Governance for AI and access control) są kluczowe, aby uniknąć przestojów i odchyleń od wymogów zgodności.
5. Przyszłościowe podejście: Śledź rozwijające się standardy dotyczące interoperacyjności i zgodności, szczególnie w środowiskach Microsoft 365 i Azure, aby być na bieżąco z nowymi wyzwaniami w zakresie tożsamości i zagrożeń.

Kolejne kroki i dalsza nauka o bezpieczeństwie tożsamości

• Dokumentacja Microsoft: Zapoznaj się z oficjalną dokumentacją dotyczącą FIDO2, passkeys i wdrażania uwierzytelniania bez haseł w Microsoft 365 i Azure.
• Podcasty o bezpieczeństwie tożsamości: Posłuchaj praktycznych rozmów o audytach i zarządzaniu w serwisie M365.fm: Auditing User Activity with Microsoft Purview.
• Poradniki techniczne: Przejrzyj techniczne artykuły blogowe o konfigurowaniu i rozwiązywaniu problemów z uwierzytelnianiem FIDO2 i passkeys w przedsiębiorstwie na dużą skalę.
• Dobre praktyki zgodności: Zapoznaj się z NIST SP 800-63B i dowiedz się, jak wiodące rozwiązania bez haseł odpowiadają poziomom gwarancji (IAL, AAL).
• Fora społecznościowe: Dołącz do forów poświęconych bezpieczeństwu, Microsoft 365 i zarządzaniu tożsamością, aby zadawać pytania i dzielić się z innymi praktycznymi wskazówkami z wdrożeń.

🎧 Warto też posłuchać

• Identity Governance in Microsoft Entra

  Poznaj praktyczne mechanizmy kontroli własności i dostępu w Microsoft 365.

• Microsoft 365 Governance Operating Model

  Poznaj decyzje, które sprawiają, że wdrażanie technologii jest trwałe.

• AI Agents – Simply Explained

  Zrozum kontekst zarządzania pracą wspomaganą przez AI.

Passkeys a FIDO2: praktyczne wskazówki dla przedsiębiorstw

Klucze dostępu (passkeys) i klucze zabezpieczeń FIDO2 zapewniają uwierzytelnianie odporne na phishing, ale różnią się pod względem przenośności, odzyskiwania dostępu, kontroli urządzeń i wygody użytkownika. Dobre wdrożenie definiuje model poświadczeń, proces rejestracji, procedurę odzyskiwania, wymagania dla użytkowników z uprawnieniami uprzywilejowanymi oraz wyjątki dla starszych aplikacji.

Lista kontrolna wdrożenia

1. Zinwentaryzuj dostawców tożsamości, przeglądarki, urządzenia i obsługiwane aplikacje.
2. Wybierz dla każdego profilu ryzyka poświadczenia zsynchronizowane lub powiązane z urządzeniem.
3. Zarejestruj kilka uwierzytelniaczy przed włączeniem wymuszenia.
4. Zabezpiecz procedury odzyskiwania dostępu i weryfikację w dziale pomocy technicznej.
5. Przeprowadź pilotaż dla użytkowników z uprawnieniami uprzywilejowanymi i zmierz liczbę błędów przed szerokim wdrożeniem.

Typowe błędy

• Wymuszanie logowania bez hasła bez ścieżki odzyskiwania dostępu.
• Założenie, że każda przeglądarka i każda starsza aplikacja obsługuje to samo poświadczenie.
• Zezwalanie na współdzielone uwierzytelniacze, które osłabiają rozliczalność.
• Ignorowanie cyklu życia urządzeń oraz procedur postępowania w przypadku zgubionego uwierzytelniacza.

Często zadawane pytania

Czym jest klucz dostępu (passkey)?

Klucz dostępu to poświadczenie FIDO, które wykorzystuje kryptografię klucza publicznego i jest odblokowywane gestem na urządzeniu, danymi biometrycznymi lub lokalnym kodem PIN.

Czym jest FIDO2?

FIDO2 to standard uwierzytelniania oparty na WebAuthn i protokole Client to Authenticator Protocol, umożliwiający logowanie odporne na phishing.

Czy klucze dostępu i FIDO2 to to samo?

Klucze dostępu to przyjazny dla użytkownika sposób korzystania z poświadczeń opartych na standardach FIDO. FIDO2 opisuje szerszy ekosystem techniczny i protokoły uwierzytelniania.

Czy klucze dostępu są bezpieczniejsze niż hasła?

Tak. Klucze dostępu wykorzystują kryptografię klucza publicznego powiązanego z domeną, więc strona internetowa nie otrzymuje wielokrotnego użytku sekretu, który mógłby zostać skradziony lub odtworzony przez atakujących.

Czy klucze dostępu są odporne na phishing?

Tak, o ile zostaną prawidłowo wdrożone. Poświadczenie jest powiązane z prawdziwą domeną strony internetowej i nie ujawnia hasła stronie phishingowej.

Czy YubiKey to klucz dostępu FIDO2?

YubiKey może przechowywać poświadczenia FIDO2 i działać jako klucz zabezpieczeń. To, czy nazywa się go kluczem dostępu, zależy od poświadczenia i terminologii produktu.

Czy klucze dostępu są bezpieczniejsze niż YubiKey?

Żadne z tych rozwiązań nie jest uniwersalnie bezpieczniejsze. Zsynchronizowane klucze dostępu poprawiają odzyskiwanie dostępu i użyteczność, natomiast klucze sprzętowe zapewniają silną kontrolę nad urządzeniem i separację.

Czym jest zsynchronizowany klucz dostępu?

Zsynchronizowany klucz dostępu jest tworzony kopii zapasowej za pośrednictwem zatwierdzonego menedżera poświadczeń lub ekosystemu platformy, dzięki czemu może być dostępny na wielu urządzeniach.

Czym jest klucz dostępu powiązany z urządzeniem?

Klucz dostępu powiązany z urządzeniem pozostaje na jednym uwierzytelniaczu lub urządzeniu i nie jest synchronizowany z inną platformą.

Czy FIDO2 całkowicie zastępuje hasła?

Może zastąpić hasła w obsługiwanych aplikacjach, ale organizacje nadal potrzebują strategii odzyskiwania dostępu, obsługi starszych metod uwierzytelniania oraz zarządzania cyklem życia kont.

Czy Microsoft Entra ID obsługuje klucze dostępu?

Microsoft Entra ID obsługuje klucze zabezpieczeń FIDO2 oraz opcje uwierzytelniania związane z kluczami dostępu, w zależności od konfiguracji dzierżawy i aktualnych możliwości usługi.

Jak WebAuthn odnosi się do kluczy dostępu?

WebAuthn to interfejs API przeglądarki i platformy, który pozwala stronom internetowym oraz dostawcom tożsamości tworzyć i używać poświadczeń kryptograficznych klucza publicznego.

Co się stanie, jeśli użytkownik zgubi urządzenie z kluczem dostępu?

Użytkownik potrzebuje innego zarejestrowanego uwierzytelniacza lub zatwierdzonej metody odzyskiwania dostępu. Przedsiębiorstwa powinny zarejestrować kilka uwierzytelniaczy przed wymuszeniem dostępu bez hasła.

Czy klucze dostępu mogą być używane na wielu urządzeniach?

Zsynchronizowane klucze dostępu mogą być dostępne na obsługiwanych urządzeniach, natomiast poświadczenia powiązane z urządzeniem wymagają rejestracji na każdym uwierzytelniaczu.

Czy klucze dostępu mogą być współdzielone między użytkownikami?

Nie. Poświadczenia powinny reprezentować jedną osobę lub zatwierdzoną tożsamość obciążenia. Współdzielone uwierzytelniacze osłabiają rozliczalność.

Czy klucze dostępu chronią przed ponownym odtworzeniem poświadczeń?

Tak. Klucz prywatny pozostaje na uwierzytelniaczu, a każde uwierzytelnienie zawiera wyzwanie (challenge), które uniemożliwia proste odtworzenie.

Czy klucz dostępu można ukraść?

Atakujący może ukraść urządzenie, ale poświadczenie jest zwykle chronione lokalnym czynnikiem odblokowania i nie ujawnia wielokrotnego użytku hasła.

Czym jest uwierzytelnianie bez hasła?

Uwierzytelnianie bez hasła weryfikuje użytkownika za pomocą uwierzytelniacza kryptograficznego, danych biometrycznych, kodu PIN lub klucza zabezpieczeń zamiast zapamiętanego hasła.

Jakie są wady kluczy dostępu?

Wyzwania obejmują odzyskiwanie dostępu, interoperacyjność platform, scenariusze ze współdzielonymi urządzeniami, starsze aplikacje oraz zrozumienie zasad działania przez użytkowników podczas wdrażania.

Jak przedsiębiorstwa powinny obsługiwać odzyskiwanie kluczy dostępu?

Wymagaj kilku uwierzytelniaczy, zdefiniuj weryfikację w dziale pomocy technicznej, chroń metody odzyskiwania dostępu i monitoruj zdarzenia rejestracji oraz resetowania.

Czy klucze dostępu mogą działać na urządzeniach mobilnych?

Tak. Obsługiwane mobilne systemy operacyjne mogą tworzyć lub używać kluczy dostępu za pomocą uwierzytelniaczy platformy lub zewnętrznych kluczy zabezpieczeń.

Czy klucze dostępu mogą działać w różnych przeglądarkach?

Obsługa zależy od przeglądarki, systemu operacyjnego, dostawcy tożsamości i typu poświadczeń. Przed wdrożeniem przetestuj docelowe scenariusze użytkowników.

Czy klucze dostępu nadają się dla administratorów?

Tak. Są szczególnie cenne dla użytkowników z uprawnieniami uprzywilejowanymi, którzy powinni korzystać z uwierzytelniania odpornego na phishing oraz z oddzielnych tożsamości administracyjnych.

Jak klucze dostępu wpływają na warunkowy dostęp?

Mogą spełniać wymagania silnego uwierzytelniania, gdy dostawca tożsamości rozpoznaje uwierzytelniacz, a warunki zasad są spełnione.

Jak należy wdrażać klucze dostępu?

Zacznij od użytkowników uprzywilejowanych i obarczonych wysokim ryzykiem, zapewnij mechanizm odzyskiwania, przeprowadź pilotaż na reprezentatywnych urządzeniach, a następnie rozszerz wdrożenie, monitorując rejestracje i wskaźniki wsparcia.

Co należy monitorować po wdrożeniu?

Monitoruj rejestracje, błędy uwierzytelniania, zdarzenia odzyskiwania, obejścia zasad, liczbę zgłoszeń do centrum pomocy oraz ryzyko logowania.

Czy klucze dostępu eliminują MFA?

Klucz dostępu może zapewnić wieloskładnikowe uwierzytelnianie odporne na phishing, gdy łączy posiadanie uwierzytelniacza z lokalnym czynnikiem odblokowania.

Czy klucze dostępu mogą chronić konta usługowe?

Klucze dostępu użytkowników nie zastępują tożsamości obciążeń. Do usług używaj tożsamości zarządzanych, certyfikatów lub innych odpowiednich poświadczeń dla kont nieludzkich.

Jaka jest główna korzyść dla przedsiębiorstwa?

Główną korzyścią jest ograniczenie ryzyka phishingu i resetowania haseł przy jednoczesnej poprawie bezpieczeństwa logowania oraz komfortu użytkowników.

Jaki jest pierwszy krok wdrożenia?

Zinwentaryzuj aplikacje i użytkowników, potwierdź obsługę przez dostawcę tożsamości, określ mechanizm odzyskiwania i przeprowadź pilotaż na małej grupie, zanim wymusisz logowanie bez hasła.

Zapoznaj się z powiązanymi zasobami M365.fm: M365.fm Learning Hub, Microsoft 365 governance checklist oraz Microsoft Copilot security model.