Egy átlagos internethasználó digitális életének jelentős részét olyan fiókokban tölti, amelyekhez még mindig valamilyen jelszó biztosít hozzáférést. A technológia azonban évtizedek óta ugyanazzal az alapvető problémával küzd: az igazán biztonságos jelszó nehezen megjegyezhető, a könnyen megjegyezhető viszont biztonsági szempontból jellemzően nem megfelelő.

Erre jön még rá egy másik emberi sajátosság: nem szeretünk minden szolgáltatáshoz új jelszót kitalálni. Ha pedig ugyanazt használjuk több helyen, akkor egyetlen szolgáltatás kompromittálása után a támadó más fiókoknál is megpróbálkozhat ugyanazzal a belépési adattal.

A mesterséges intelligencia fejlődésével ráadásul a jelszó megszerzésének módszerei is fejlődnek. A Microsoft 2026 júliusában éppen az AI által felgyorsított adathalászatra és social engineering támadásokra hivatkozva jelentette be, hogy szeptember 1-jétől a passkey válik az alapértelmezett, adathalászatnak ellenálló hitelesítési megoldássá a Microsoft Entra ID-ban. A vállalat saját fenyegetésfelderítési adatai szerint egyes mesterséges intelligenciával támogatott adathalász kampányoknál 54 százalékos átkattintási arányt figyeltek meg, szemben a hagyományos kampányok körülbelül 12 százalékával. Nem véletlen tehát, hogy az informatikai ipar egyre komolyabban készül egy olyan világra, amelyben a jelszó legfeljebb tartalék megoldásként marad csak meg.

A FIDO Alliance májusi globális felmérése szerint már mintegy 5 milliárd passkey van aktív használatban, a megkérdezett fogyasztók 90 százaléka ismeri a technológiát, 75 százalék pedig legalább néhány fiókjánál már engedélyezte azt. A vállalati oldalon a válaszadó szervezetek 68 százaléka vezetett be, tesztelt vagy éppen bevezetés alatt álló passkey-megoldásról számolt be.

A változás azonban nem egyszerűen annyi, hogy a jelszó helyett mostantól az arcunkkal vagy az ujjlenyomatunkkal lépünk be. A passkey mögött teljesen más biztonsági logika áll, amelynek egyik legfontosabb célja éppen az, hogy ne legyen olyan közös hitelesítési adat, amelyet a támadó a felhasználótól kicsalhat. A klasszikus jelszavas hitelesítés egy, a felhasználó által ismert titokra épül: ezt kell a belépés során megadni, a szolgáltatónak pedig olyan módon kell kezelnie az ellenőrzéséhez szükséges adatot, hogy az egy esetleges incidens során se legyen könnyen felhasználható.

Van egy másik jelentős különbség is. A passkey az adott weboldal vagy alkalmazás identitásához kötődik, ezért nem lehet egyszerűen begépelni egy megtévesztően hasonló adathalász oldalra. A böngésző és az operációs rendszer ellenőrzi, hogy a hitelesítési kulcs valóban ahhoz a szolgáltatáshoz tartozik-e, amelyik használni próbálja, ezért a megoldás kialakításánál fogva ellenállóbb az adathalászattal szemben.

A mesterséges intelligencia korában ennek különösen nagy jelentősége lehet. Egy generatív modell képes meggyőző adathalász levelet előállítani, a támadás egyre személyre szabottabb lehet, de ha nincs olyan jelszó, amelyet az áldozat egy hamis oldalon átadhat, az egyik klasszikus támadási útvonal lényegében megszűnik.

Nemcsak a Facebook-fiókunk múlik rajta

A digitális személyazonosságról sokszor úgy beszélünk, mintha elsősorban arról lenne szó, hogy valaki hozzáfér-e a levelezésünkhöz vagy a közösségimédia-profilunkhoz. Egy vállalati környezetben azonban ugyanaz a hitelesítési probléma egészen más következményekkel járhat. A munkavállaló digitális identitása hozzáférést jelenthet belső dokumentumokhoz, ügyféladatokhoz, pénzügyi rendszerekhez vagy akár rendszergazdai jogosultságokhoz. Ha egy támadó nem technikai sérülékenységen keresztül jut be, hanem megszerzi egy legitim felhasználó hitelesítési adatait, a rendszer szemében kezdetben ugyanúgy viselkedhet, mint az alkalmazott.

A Microsoft ezért a passkey-re való átállását is kifejezetten az identitásalapú támadások változásával indokolja. A vállalat szerint egy kompromittált személyazonosságot a mesterséges intelligenciával támogatott támadás már a rendszer feltérképezésére, jogosultságbővítésre és hálózaton belüli továbblépésre is gyorsabban felhasználhatja, ezért egyre fontosabbak az adathalászatnak ellenálló hitelesítési módszerek. Ez különösen nagy jelentőséget kap azokban az ágazatokban, amelyek működése nemcsak a vállalat, hanem egy egész gazdaság vagy társadalom szempontjából fontos.

Az Európai Unió NIS2 irányelve már 18 kritikus ágazatra terjed ki. A szabályozás többek között az energia-, közlekedési, egészségügyi, pénzügyi, vízügyi és digitális infrastruktúrát működtető szervezetekre is vonatkozik, és megfelelő kiberbiztonsági kockázatkezelési intézkedéseket követel meg az érintett közép- és nagyvállalatoktól. Egy energiaszolgáltatónál ezért egy felhasználói fiók kompromittálása sem feltétlenül csak „IT-incidens”. Attól függően, hogy az adott felhasználó milyen rendszerekhez fér hozzá, az incidens üzleti folyamatokat, vállalati adatokat, irányítási rendszereket vagy más működéskritikus erőforrásokat is érinthet.

A passkey önmagában azonban természetesen nem tesz feltörhetetlenné egy erőművet, bankot vagy kórházat. Az adathalászatnak ellenálló hitelesítés azonban az egyik leggyakoribb támadási útvonalat lényegesen megnehezítheti. Az amerikai CISA ezért is sürgeti a szervezeteket, hogy a hagyományos MFA-ról lehetőség szerint FIDO/WebAuthn-alapú hitelesítésre térjenek át.

Ez nem jelenti azt, hogy egyetlen ellopott jelszó automatikusan áramszünetet okoz, de jól mutatja, miért kezelik a korszerű kiberbiztonsági szabályok a hozzáférés-kezelést és a személyazonosság védelmét a szervezeti ellenálló képesség részeként. Az EU NIS2 rendszere ráadásul már nem pusztán az informatikai osztály feladataként kezeli a kérdést: a szabályozás a felső vezetés felelősségét is hangsúlyozza a kiberbiztonsági kockázatkezelési intézkedések betartásában.

Európa sem akarja teljesen átengedni ezt a terepet

A digitális identitás növekvő gazdasági jelentőségéből az is következik, hogy az infrastruktúráért folyó versenyt Európa sem akarja teljes egészében a globális technológiai vállalatokra hagyni. Az Európai Unió saját modellje, az EU Digital Identity Wallet is éppen a szélesebb körű bevezetés előtt áll: a jelenlegi uniós keret alapján a tagállamoknak 2026 végéig legalább egy európai digitális személyazonossági tárcát kell biztosítaniuk.

A passkey és az európai digitális személyazonossági tárca nem ugyanazt a problémát oldja meg. A passkey elsősorban azt teszi lehetővé, hogy egy szolgáltatás biztonságosan hitelesítse a felhasználót; egy digitális személyazonossági tárca viszont igazolt személyes adatokat és attribútumokat is kezelhet, miközben a felhasználó szabályozhatja, mit oszt meg belőlük. Az Európai Bizottság szerint a rendszer egyik célja éppen az interoperabilitás, az egységes biztonsági megközelítés és az, hogy a digitális szolgáltatók kevésbé legyenek rákényszerítve a nagy platformok identitásszolgáltatásaira. A Bizottság gazdasági előnyként említi az azonosítási költségek csökkenését, az online tranzakciók növekedését és az új üzleti lehetőségeket is.

Nem a Big Tech „birtokolja” a digitális énünket

Dzsinich Gergely, az Eversheds Sutherland budapesti ügyvédi irodájának co-managing partnere és az ITBN visszatérő megszólalója szerint jogi szempontból már maga a kérdés pontosításra szorul, amikor arról beszélünk, hogy „kié” a digitális személyazonosságunk. Az európai adatvédelmi rendszer nem egyszerű tulajdonjogi viszonyként kezeli ezt: amikor egy ember személyes adatot ad át például a Google-nek, a Microsoftnak vagy más vállalatnak, a cég adatkezelővé válik, és ezzel kötelezettségek is keletkeznek a számára. A GDPR logikájában továbbra is az érintettből kell kiindulni. Az adatkezelőnek megfelelő technikai és szervezési intézkedésekkel kell védenie a rá bízott személyes adatokat, az érintettet pedig jogok illetik meg azzal kapcsolatban, hogyan kezelik ezeket. Vagyis attól, hogy a technikai infrastruktúrát egy globális szolgáltató üzemelteti, az érintett „nem mond le” a saját személyes adataihoz kapcsolódó jogairól.

Dzsinich Gergely szerint ezzel együtt az egyik legfontosabb kérdés mégis az, hogy „kiben bízunk meg, és milyen alapon?”. Az érintett ugyanis a mindennapi gyakorlatban rábízza digitális életének egy részét arra a szolgáltatóra, amely a levelezését, fájljait, hitelesítési adatait vagy más személyes információit kezeli. Ezért nem elég, ha a rendszer technikailag biztonságos: annak működéséről a felhasználót olyan módon kell tájékoztatni, amelyet ténylegesen meg is tud érteni. Véleménye szerint ezen a területen még van lemaradás.

A biometrikus azonosítás kérdése különösen fontossá vált a mesterséges intelligencia korában, amikor a hangklónozás és a deepfake miatt éppen az ember egyedi fizikai jegyeinek hitelessége körül nőnek a félelmek. Egy ember külsejének vagy hangjának digitális reprodukciója így ma már nem tudományos fantasztikum, ebből azonban nem következik automatikusan, hogy egy fényképpel vagy AI-generált arccal a támadó megszerzi az eszközön védett kriptográfiai kulcsot is.

Dzsinich Gergely szerint ezért különösen fontos a biometrikus azonosítás és a passkey közötti különbség megértése. Az, hogy a felhasználó Face ID-val vagy ujjlenyomattal engedélyezi a belépést, nem feltétlenül jelenti azt, hogy az adott internetes szolgáltató biometrikus adatot kap róla. A megfelelően kialakított rendszernél a biometrikus ellenőrzés helyben, a felhasználó eszközén történik, és maga az arc- vagy ujjlenyomatadat nem kerül továbbításra. A szolgáltató a sikeres helyi azonosítás után a kriptográfiai hitelesítés eredményét kapja meg. Ez jogi szempontból is lényegesen kisebb adatvédelmi kockázatot jelent annál, mintha a szolgáltatóknak központilag kellene biometrikus adatbázisokat fenntartaniuk. Ez egyben rámutat a passkey egyik kommunikációs kihívására is. A felhasználó számára kívülről ugyanúgy nézhet ki a folyamat, mintha „odaadná az arcát” egy weboldalnak, miközben technikailag valójában a saját eszközével engedélyezi egy kriptográfiai kulcs használatát.

A nagy technológiai cégek érdeke is, hogy bízzunk bennük

A nagy technológiai vállalatok növekvő szerepe a digitális személyazonosság kezelésében könnyen kelthet bizalmatlanságot, Dzsinich Gergely ugyanakkor óv attól, hogy önmagában emiatt ellenségként tekintsünk rájuk. A nagy tőzsdei technológiai cégeknek ugyanis nagyon erős üzleti érdekük is fűződik ahhoz, hogy biztonságos szolgáltatást nyújtsanak, hiszen egy adatvédelmi incidens közvetlen reputációs és gazdasági kárral is járhat. Ebből a szempontból a biztonság nem áll szemben az üzleti érdekkel, hanem annak a része. Minél megbízhatóbbnak tartanak egy szolgáltatót a fogyasztók és a vállalati ügyfelek, annál nagyobb értéket képviselhet maga a platform is, ezért nemcsak a márkanév számít, hanem a megbízhatóság és az is, hogy a szolgáltató által tett vállalások mennyire kikényszeríthetők.

Ugyanakkor itt megjelenik a történet egy másik oldala. Egy passkey nem feltétlenül egyetlen telefonhoz van fizikailag hozzákötve, hanem megfelelő hitelesítőadat-kezelő segítségével szinkronizálható lehet a felhasználó eszközei között. Ehhez pedig valakinek kezelnie kell azt az infrastruktúrát, amelyben a hitelesítési kulcsok biztonságosan elérhetők. Éppen ezért kell komolyan venni a platformfüggés kérdését is. Egy hétköznapi terméket könnyű lecserélni, ha nem vagyunk elégedettek vele, egy teljes Google-, Microsoft- vagy Apple-ökoszisztémából átköltözni azonban már sokkal bonyolultabb feladat lehet. Ha ehhez idővel a digitális belépési kulcsaink és identitásunk kezelése is szorosan hozzákötődik, a váltás költsége tovább nőhet.

Lényeges, hogy az új azonosítási rendszerek bevezetése ne zárja ki azokat, akik valamilyen okból nem akarnak vagy nem tudnak részt venni bennük. Különösen alapvető szolgáltatások esetében fontos, hogy a technológiai fejlődés ne változzon olyan belépési korláttá, amely egyes felhasználókat kizár az ügyintézésből. A passkey terjedésének ezért egy jelentős edukációs oldala is van. Egy technológia attól még nem válik általánosan használhatóvá, hogy biztonságosabb elődjénél: az embereknek meg kell érteniük, mi változik, miért változik, milyen előnyt kapnak érte cserébe, és milyen jogaik vannak, azok hogyan védhetőek.

Ez a támogatott szerkesztőségi tartalom az ITBN közreműködésével jött létre.