Spis treści

Passkey: koniec z hasłami i phishingiem

Ania siada do komputera, by zapłacić rachunek za prąd. Wpisuje adres ipko.pl, klika „Zaloguj się”, a zamiast pola na hasło widzi prośbę o przyłożenie palca do czytnika w laptopie. Sekundę później jest już zalogowana na swoim koncie. To nie magia, lecz klucz dostępu (passkey) — metoda logowania, która zastępuje tradycyjne hasła.

Klucz dostępu to para unikalnych, kryptograficznych kluczy: prywatnego i publicznego. Klucz prywatny jest bezpiecznie przechowywany na Twoim urządzeniu, np. smartfonie lub laptopie, i nigdy go nie opuszcza. Klucz publiczny jest wysyłany do serwisu, w tym przypadku do banku PKO BP, i służy do weryfikacji. Podczas logowania urządzenie potwierdza Twoją tożsamość za pomocą biometrii (odcisk palca, skan twarzy) lub kodu PIN, a następnie używa klucza prywatnego do podpisania cyfrowego „wyzwania” od banku, udowadniając, że to naprawdę Ty.

Technologia ta bazuje na otwartych standardach FIDO2 oraz WebAuthn, promowanych przez największe firmy technologiczne. Klucze dostępu oferują znacznie wyższy poziom bezpieczeństwa niż hasła, ponieważ są odporne na phishing. Każdy klucz jest na stałe powiązany z konkretną domeną internetową, np. ipko.pl. Nawet jeśli cyberprzestępca skłoni Cię do wejścia na fałszywą stronę ipko-logowanie.com, Twój klucz dostępu po prostu na niej nie zadziała, ponieważ przeglądarka rozpozna niezgodność adresu.

Główną zaletą dla użytkownika jest wygoda połączona z bezpieczeństwem. Nie musisz już tworzyć, zapamiętywać ani regularnie zmieniać skomplikowanych haseł. Co więcej, do korzystania z kluczy dostępu nie jest potrzebne żadne dodatkowe, płatne urządzenie. Wystarczy Twój smartfon z aplikacją IKO lub komputer z wbudowanym czytnikiem biometrycznym albo obsługą kodu PIN systemu operacyjnego.

PKO BP i inne banki: stan wdrożeń passkey

Na sierpień 2024 roku klucze passkey nie są powszechną metodą logowania do polskich banków. Proces wdrożeń postępuje, ale większość instytucji dopiero pracuje nad pełnym wsparciem tej technologii. PKO BP i mBank należą do banków, które wprowadziły już alternatywne metody logowania biometrycznego, stanowiące krok w tym kierunku. Chodzi tu głównie o logowanie do aplikacji mobilnej odciskiem palca lub skanem twarzy, co jednak nie zastępuje jeszcze w pełni hasła w serwisie transakcyjnym na komputerze.

Obecnie PKO Bank Polski oraz ING Bank Śląski w swoich oficjalnych materiałach skupiają się na fizycznych kluczach bezpieczeństwa FIDO2/U2F. Są to urządzenia przypominające pendrive, które podłączasz do komputera, by potwierdzić tożsamość. Było to pierwsze szeroko dostępne rozwiązanie standardu FIDO, oferujące bardzo wysoki poziom bezpieczeństwa. Nie jest to jednak to samo co passkey, który zapisuje się bezpośrednio na Twoim telefonie lub komputerze, bez potrzeby noszenia dodatkowego gadżetu.

Różnice między tymi dwiema technologiami są istotne z punktu widzenia wygody i sposobu użycia. Klucz passkey jest niewidoczny dla użytkownika, zintegrowany z urządzeniem, podczas gdy klucz FIDO2 to osobny, fizyczny przedmiot.

CechaKlucz passkeyFizyczny klucz FIDO2 (np. YubiKey)
FormaZapis cyfrowy na urządzeniu (telefon, komputer)Osobne urządzenie fizyczne podłączane do portu USB/NFC
WygodaLogowanie biometrią lub PIN-em urządzeniaKonieczność posiadania przy sobie i podłączenia klucza
SynchronizacjaMoże być synchronizowany między urządzeniami (np. przez Pęk kluczy iCloud, Menedżer haseł Google)Brak synchronizacji; jeden klucz to jeden fizyczny token
Przykład użyciaLogowanie do iPKO na nowym laptopie za pomocą odcisku palca w telefonieLogowanie do serwisu bankowego przez włożenie klucza do portu USB i dotknięcie go

Chociaż wdrożenia pełnoprawnych kluczy passkey w polskiej bankowości postępują wolniej niż w globalnych serwisach technologicznych, trend jest jednoznaczny. Banki testują te rozwiązania, ponieważ eliminują one ryzyko phishingu i upraszczają proces logowania, co jest korzystne zarówno dla instytucji, jak i klientów.

Aktywuj passkey w aplikacji IKO: instrukcja

Aktywacja klucza passkey w PKO BP odbywa się w całości w aplikacji mobilnej IKO. Chociaż pierwsze logowanie do konta możesz wykonać na komputerze, to właśnie smartfon z włączoną biometrią (odcisk palca lub skan twarzy) jest narzędziem do stworzenia i używania passkey. Przed rozpoczęciem upewnij się, że Twoja aplikacja IKO jest zaktualizowana do najnowszej wersji.

Proces dodawania klucza jest prosty i zajmuje mniej niż minutę. Poniższe kroki przeprowadzą Cię przez całą konfigurację.

  1. Otwórz aplikację IKO i zaloguj się swoim kodem PIN.
  2. Wejdź w Profil w lewym górnym rogu, a następnie w Ustawienia.
  3. Wybierz menu Bezpieczeństwo i dostęp.
  4. Znajdź opcję „Klucze passkey” i kliknij „Dodaj klucz passkey”.
  5. Postępuj zgodnie z instrukcjami, aby utworzyć klucz dla swojego konta.
  6. Potwierdź operację odciskiem palca lub skanem twarzy, gdy system o to poprosi.
  7. Sprawdź działanie, logując się do serwisu iPKO na komputerze i wybierając nową metodę.

Po dodaniu klucza Twój smartfon staje się zaufanym urządzeniem autoryzacyjnym. Logowanie do serwisu internetowego iPKO na nowym komputerze będzie wymagało jedynie zeskanowania kodu QR i potwierdzenia operacji na telefonie. Passkey zastępuje w tym procesie hasło oraz kody SMS, co znacząco upraszcza i wzmacnia bezpieczeństwo dostępu do Twoich finansów.

Passkey a numer klienta: co się zmienia?

Klucz passkey zastępuje numer klienta podczas logowania do serwisu iPKO na urządzeniach, na których go aktywujesz. Do tej pory pierwszym krokiem było podanie indywidualnego, 8-cyfrowego kodu. Teraz, na komputerze lub telefonie z zapisanym kluczem, system od razu poprosi o uwierzytelnienie biometryczne (odcisk palca, skan twarzy) lub kod PIN do urządzenia. Numer klienta nie jest już potrzebny w tym konkretnym procesie.

Zmiana dotyczy również autoryzacji płatności kartą w internecie w ramach usługi 3D Secure. Wcześniej, podczas finalizacji zakupów online, mogła pojawić się prośba o podanie numeru klienta i hasła do iPKO lub o potwierdzenie transakcji w aplikacji IKO. Dzięki passkey ten krok zostaje zastąpiony szybką weryfikacją biometryczną w telefonie, co skraca i upraszcza cały proces.

ScenariuszLogowanie przed passkeyLogowanie z passkey
Płatność kartą online (3D Secure)Podanie numeru klienta i hasła lub autoryzacja w IKOPotwierdzenie biometryczne (passkey)
Logowanie do iPKO na komputerzeWpisanie numeru klienta i hasłaPotwierdzenie biometryczne (passkey)

Numeru klienta nie należy jednak zapominać, ponieważ pozostaje on głównym identyfikatorem w sytuacjach awaryjnych lub gdy logujesz się metodą tradycyjną. Będzie on nadal potrzebny w kilku przypadkach:

  • Logowanie na nowym urządzeniu, na którym nie skonfigurowano jeszcze klucza passkey.
  • Kontakt z infolinią banku, gdzie konsultant poprosi o niego w celu weryfikacji tożsamości.
  • Proces odzyskiwania dostępu do konta, jeśli utracisz urządzenie z zapisanym kluczem.

Jak passkey zabezpiecza płatności kartą w internecie

Klucze passkey służą do autoryzacji internetowych transakcji kartowych. Zastępują one dotychczasowe metody weryfikacji w ramach standardu 3D Secure. 3D Secure to dodatkowy krok zabezpieczający, który pojawia się po wpisaniu danych karty w sklepie internetowym, mający na celu potwierdzenie, że to na pewno Ty dokonujesz płatności.

Do tej pory ten etap najczęściej polegał na przepisaniu kodu z wiadomości SMS lub potwierdzeniu operacji w aplikacji mobilnej IKO. Obie te metody są podatne na ataki. Przestępca może przejąć Twój numer telefonu (poprzez atak SIM swapping) lub nakłonić Cię do zatwierdzenia fałszywej transakcji w aplikacji. Passkey eliminuje te zagrożenia, ponieważ uwierzytelnienie odbywa się lokalnie na Twoim urządzeniu.

Płatność kartą z użyciem klucza passkey jest znacznie prostsza i bezpieczniejsza. Zamiast czekać na kod SMS, system płatności poprosi Cię o użycie zapisanego klucza. W praktyce oznacza to przyłożenie palca do czytnika, skan twarzy lub wpisanie kodu PIN do odblokowania urządzenia. Cały proces jest szybszy i odporny na phishing, bo dane uwierzytelniające nigdy nie opuszczają Twojego telefonu lub komputera.

Metoda autoryzacji 3D SecureRyzykoSzybkość
Kod SMSPrzejęcie numeru (SIM swapping), phishingNiska
Potwierdzenie w aplikacji IKONieuważne zatwierdzenie fałszywej transakcjiŚrednia
Klucz passkeyKradzież odblokowanego urządzeniaWysoka

Co zrobić, gdy stracisz dostęp do konta?

Utrata dostępu do konta bankowego nie oznacza utraty pieniędzy, ponieważ banki posiadają procedury awaryjne. PKO Bank Polski przygotował ścieżki odzyskiwania dostępu do serwisu iPKO zarówno w przypadku zapomnienia hasła, jak i utraty urządzenia z zapisanym kluczem passkey. Kluczowe jest zachowanie spokoju i postępowanie zgodnie z instrukcjami banku.

Jeśli zapomnisz hasła do serwisu iPKO, proces odzyskiwania dostępu rozpoczyna się na stronie logowania. Należy wybrać opcję „Problem z logowaniem?”, a następnie postępować według wyświetlanych kroków. Proces ten zazwyczaj wymaga kontaktu z infolinią banku lub wizyty w oddziale, gdzie konsultant po zweryfikowaniu tożsamości (np. na podstawie dowodu osobistego) pomoże w ustanowieniu nowego hasła.

Klucz passkey nie eliminuje całkowicie hasła do konta; staje się ono Twoją metodą awaryjną. Gdy stracisz telefon lub inne urządzenie z zapisanym kluczem, podczas próby logowania na komputerze możesz anulować prośbę o użycie passkey. System iPKO powinien wtedy wyświetlić alternatywną opcję logowania za pomocą numeru klienta i hasła.

Poniższa tabela przedstawia scenariusze awaryjne i zalecane kroki, które należy podjąć w konkretnych sytuacjach.

SytuacjaRekomendowane działanie
Zapomniałeś hasła do iPKOUżyj opcji “Problem z logowaniem” na stronie banku i postępuj zgodnie z instrukcjami.
Utraciłeś urządzenie z passkeyZaloguj się do iPKO na innym urządzeniu za pomocą hasła, a następnie usuń stary klucz w ustawieniach.
Nie działa passkey (błąd techniczny)Spróbuj ponownie. Jeśli błąd się powtarza, wybierz opcję logowania hasłem i skontaktuj się z bankiem.

Po odzyskaniu dostępu do konta za pomocą hasła, należy niezwłocznie usunąć utracony klucz passkey w ustawieniach bezpieczeństwa aplikacji IKO. Następnie można bezpiecznie dodać nowy klucz na nowym urządzeniu.

Najczęściej zadawane pytania o passkey

Czy passkey działa na każdym telefonie i komputerze?

Klucze passkey wymagają nowoczesnego systemu operacyjnego i przeglądarki. Działają na urządzeniach z systemem Android 9+, iOS 16+, Windows 10/11 oraz macOS Ventura lub nowszym. Twoja przeglądarka, na przykład Chrome, Safari czy Edge, również musi być zaktualizowana, aby obsługiwać standard uwierzytelniania FIDO2.

Czy bank przechowuje mój odcisk palca?

Nie, bank nigdy nie otrzymuje Twoich danych biometrycznych. Odcisk palca lub skan twarzy są bezpiecznie przechowywane wyłącznie na Twoim urządzeniu, w specjalnym, szyfrowanym module (np. Secure Enclave w iPhone’ach). Urządzenie jedynie potwierdza bankowi, że weryfikacja tożsamości przebiegła pomyślnie.

Jak używać passkey na kilku urządzeniach?

Klucze passkey możesz synchronizować między urządzeniami w ramach jednego ekosystemu, np. przez Pęk kluczy iCloud lub Menedżera haseł Google. Alternatywnie, można utworzyć osobny klucz passkey na każdym urządzeniu, z którego loguje się do banku. Wystarczy powtórzyć proces aktywacji w aplikacji IKO na nowym telefonie lub tablecie.

Co zrobić, jak zgubię telefon z passkey?

W przypadku utraty urządzenia z aktywnym kluczem passkey, niezwłocznie skontaktuj się z infolinią banku, aby zablokować dostęp. Pamiętaj, że wciąż możesz zalogować się do serwisu iPKO przy użyciu dotychczasowej metody, czyli numeru klienta i hasła. Po zablokowaniu starego klucza, możesz aktywować nowy na nowym urządzeniu.

Czy passkey to to samo co Skarbonki w IKO?

Nie, to dwie zupełnie różne funkcje. Klucz passkey to metoda logowania i autoryzacji płatności, która zastępuje hasło. Skarbonki w IKO to nowa funkcja oszczędnościowa, pozwalająca na odkładanie pieniędzy na określone cele.

Źródła

Zobacz też