Un passkey nu este o parola mai lunga ascunsa sub stelute. Este o pereche de chei criptografice. Daca ai generat vreodata o cheie SSH pentru un proiect la facultate ca sa urci cod pe GitHub, stii deja despre ce e vorba.

Cand iti creezi un cont nou folosind un passkey, dispozitivul tau genereaza o cheie publica si una privata. Cheia publica pleaca pe serverul aplicatiei (pe bune, e publica, o poate vedea oricine). Cheia privata ramane blocata local, in seiful hardware al telefonului sau al laptopului tau. Nu pleaca niciodata pe internet. Nici macar sistemul de operare nu are acces direct la ea.

Provocarea matematica Cum intri in cont data viitoare? Fara sa tastezi nimic.

Site-ul trimite catre telefonul tau un “challenge” matematic. Ca sa rezolve provocarea asta, telefonul are nevoie de cheia privata. Dar cheia este protejata de datele tale biometrice. Pui degetul pe senzorul de amprenta sau te uiti la camera. Odata confirmata identitatea ta fizica, sistemul deblocheaza cheia privata pentru o fractiune de secunda, semneaza digital provocarea primita si trimite inapoi la server un raspuns validat. Serverul verifica raspunsul cu cheia publica pe care o are deja. Daca se potrivesc, ai intrat in cont.

Imune la neatentie Daca un hacker sparge baza de date a unui site, fura doar niste chei publice complet inutile.

Mai mult, un passkey este legat strict de domeniul site-ului unde a fost creat. Daca dai click pe un link de phishing dintr-un mail dubios si ajungi pe “paypa1.com”, sistemul refuza din start sa semneze cererea de logare. Algoritmul vede instant ca domeniul nu e cel real. Te protejeaza exact cand esti cel mai vulnerabil.