Vývoj autentizace: Od silných hesel a správců k technologii Passkeys

Proč hesla stále dominují a proč je čas přejít dál

Hesla jsou nejrozšířenějším autentizačním mechanismem posledních 50 let. Jejich výhodou je univerzálnost a nízké náklady, ale zásadním problémem je lidský faktor: opakované používání, slabé vzory a náchylnost k phishingu. I když politiky „minimálně 8 znaků, písmena, čísla, speciální znaky“ působí přísně, v praxi vedou k předvídatelným a snadno prolomitelným řetězcům. Moderní přístupy kombinují tři pilíře: silná a jedinečná hesla, správce hesel a postupný přechod na passkeys (bezheslové přihlášení na bázi FIDO2/WebAuthn).

Silná hesla: zásady, které fungují

Délka nade vše: 14–20+ znaků pro běžné účty, 20–30+ pro vysokou hodnotu (email, bankovnictví, cloud). Délka exponenciálně zvyšuje prostor možností a tím odolnost vůči hrubým útokům.
Jedinečnost: Každá služba musí mít jiné heslo. Porušení jednoho účtu se tak nešíří dál.
Nepředvídatelnost: Vyhněte se slovníkovým heslům, vzorům klávesnice a běžným substitucím (např. Pa$$word1!).
Žádné pravidelné vynucování změny bez důvodu: Smysl má změna po incidentu, podezření nebo při sdílených bolestivých politikách. Jinak podporuje slabší volby.
Vícefaktorová autentizace (MFA): Heslo je jen první linií; doporučuje se TOTP (aplikace) nebo bezpečnostní klíč. SMS použijte jen nouzově.

Praktické strategie tvorby hesel

Pro účty, které ještě nepodporují passkeys, je vhodné používat náhodně generovaná hesla ze správce hesel. Kde musíte heslo znát zpaměti (např. hlavní heslo k trezoru), volte dlouhou frázi:

Fráze z náhodných slov: 4–6 nesouvisejících slov (v kombinaci s diakritikou, mezerami či interpunkcí). Např. „šafrán–polárka jeseň vlna kompas“.
Náhodné generátory: Pro běžné účty 20–32 znaků s povolenými symboly; usnadněte si to automatickým vyplňováním.

Správce hesel: základ bezpečné praxe

Správce hesel (trezor) řeší dvě klíčové věci: bezpečné generování a uložení jedinečných hesel. Tím, že odpadá nutnost pamatovat si desítky řetězců, snižuje se pokušení recyklace.

Modely: Cloud-synchronizovaný (jednoduchost, více zařízení) nebo lokální (plná kontrola, více péče).
Transparentnost a audit: Preferujte projekty s veřejnými bezpečnostními audity, bug bounty, historií řešení zranitelností.
Kryptografie: Hledejte silné standardy (např. AES-256, Argon2/PBKDF2 pro odvození klíče), zero-knowledge architekturu (poskytovatel nemá přístup k obsahu trezoru).
Funkce: Sdílené trezory pro rodinu/tým, bezpečné poznámky, ukládání 2FA semen tam, kde dává smysl, kontrola úniků a slabých hesel, audit používání.

Jak nastavit správce hesel krok za krokem

Vyberte řešení: Zvažte platformy (Windows/macOS/Linux/iOS/Android), rozšíření do prohlížečů, rodinné nebo týmové plány.
Vytvořte hlavní heslo (master password): Dlouhá, snadno zapamatovatelná, ale náhodná fráze (min. 16–20 znaků). Toto je jediné heslo, které si skutečně musíte pamatovat.
Zapněte MFA k trezoru: Ideálně bezpečnostní klíč (FIDO), alternativně TOTP. SMS pouze jako poslední možnost.
Import a inventarizace: Načtěte existující přihlášení, označte duplicity, nahraďte slabá/unikající hesla generovanými.
Automatické vyplňování a blokace phishingu: Rozšíření vyplňuje jen na shodné doméně; vyhněte se ručnímu kopírování, minimalizujete chyby.
Emergency kit a obnova: Vytiskněte nebo bezpečně uložte recovery kódy, zaregistrujte sekundární faktory a alespoň dvě důvěryhodná zařízení.

Bezpečné sdílení přístupů

Hesla neposílejte emailem ani chatem. Využijte sdílené trezory/bezpečné sdílení ve správci. V pracovním prostředí nastavte role, audit přístupu a zásadu minimálních oprávnění. Při odchodu člena týmu proveďte rotaci tajemství.

Co jsou passkeys a proč jsou průlomové

Passkey je moderní náhrada hesla založená na standardu FIDO2/WebAuthn. Místo tajemství, které zadáváte, funguje párový kryptografický klíč: veřejný klíč je u služby, soukromý klíč zůstává ve vašem zařízení. Přihlášení probíhá kryptografickým podpisem a potvrzením biometriky nebo PINu zařízení.

Výhoda proti phishingu: Podpis je vázán na konkrétní doménu. Falešná stránka nedokáže přihlášení zneužít.
Žádné tajemství „na dálku“: Soukromý klíč nikdy neopustí zařízení; není co ukrást z databáze poskytovatele.
Rychlost a uživatelský zážitek: Přihlášení obvykle znamená jedno klepnutí/biometrii, bez zadávání řetězců.

Jak passkeys fungují v praxi

Při registraci služba (relying party) vyžádá vytvoření pověření; vaše zařízení vygeneruje pár klíčů a veřejný klíč odešle službě. Při přihlašování výzvu z dané domény podepíšete soukromým klíčem. Identifikace probíhá na základě kryptografického důkazu, nikoli znalosti hesla.

Typy autentikátorů pro passkeys

Platformový autentikátor: Integrovaný v zařízení (telefon, notebook). Výhoda: pohodlí a synchronizace v rámci ekosystému. Nevýhoda: závislost na jednom výrobci.
Roamingový autentikátor (bezpečnostní klíč): Fyzický klíč (USB/NFC/BLE), přenositelný mezi zařízeními a platformami. Ideální jako záložní faktor i pro obnovu.

Limitace a na co si dát pozor u passkeys

Kompatibilita v ekosystému: Ne všechny služby a starší prohlížeče jsou podporovány, i když pokrytí roste.
Obnova a přenos: Potřebujete promyšlenou strategii: více zařízení se synchronizací, alespoň jeden roamingový klíč, recovery kódy, případně rodinné nebo firemní zotavení.
Politiky v organizaci: Vynucení minimálních standardů (počet registrovaných autentikátorů, blokování nekompatibilních zařízení, audit).

Osobní migrační strategie: od hesel k passkeys

Stabilizujte základy: Zaveďte správce hesel a MFA pro klíčové účty (email, Apple/Google/Microsoft konto, banky, cloudová úložiště).
Připravte si autentikátory: Ověřte, zda vaše zařízení podporují passkeys; zakupte alespoň jeden roamingový klíč jako zálohu.
Zkontrolujte podporu služeb: V nastaveních účtů hledejte „Passkeys“, „Security keys“ nebo „WebAuthn“.
Zaregistrujte passkey pro kritické účty: Začněte emailem a účty, přes které resetujete jiné služby.
Přepněte výchozí přihlašování: Pokud služba umožní, deaktivujte SMS 2FA, ponechte TOTP/bezpečnostní klíč jako zálohu.
Postupně migrujte zbytek: Při nejbližší změně hesla/incidentech přecházejte na passkeys, až bude většina účtů bezheslová.

Firemní migrační strategie: bezpečně a řízeně

Pilot a rizika: Identifikujte kritické aplikace (SSO/IdP, email, administrátorské konzole). Otestujte s malou skupinou.
Identity provider a politiky: Aktivujte WebAuthn/FIDO2 v IdP, nastavte povinný počet autentikátorů (min. 2), definujte pravidla obnovy a break-glass přístup.
Správa zařízení: MDM politiky pro platformové autentikátory, distribuce roamingových klíčů, evidence a rotace.
UX a adopce: Návody, školení, podpora na první linii, zachycení výjimek (terminály, starší systémy).
Monitoring a audit: Sledujte míru úspěšnosti přihlášení, phishingové incidenty, čas přihlášení, počet obnov.

Obnova a nouzové scénáře

Passkeys: Mějte alespoň dvě nezávislé metody (dvě zařízení se synchronizací nebo jedno zařízení + roamingový klíč). Zálohujte recovery kódy dle možností služby.
Správce hesel: Uchovávejte recovery kit mimo trezor (papír v trezoru, bezpečné úložiště). Ověřte, že člen rodiny/administrátor ví, co dělat v případě nouze.
Incident response: Při úniku nebo podezření měňte hesla, rušte relace, odstraňujte neznámé autentikátory a znovu nastavujte MFA.

Porovnání: hesla vs. 2FA vs. passkeys

Aspekt	Hesla	Hesla + 2FA	Passkeys
Odolnost proti phishingu	Nízká	Střední (závisí na 2FA)	Vysoká (vázané na doménu)
Komfort	Nízký	Střední	Vysoký
Správa tajemství	Uživatel	Uživatel + aplikace 2FA	Automatizovaná, klíč na zařízení
Riziko při úniku databáze	Vysoké	Střední	Nízké (veřejné klíče)
Kompatibilita	Univerzální	Široká	Rostoucí

Běžné mýty a omyly

„Složité = bezpečné“: Krátké komplexní heslo je často slabší než dlouhá náhodná fráze.
„SMS 2FA stačí“: Je lepší než nic, ale je náchylná na SIM swap a zachycení zpráv. Preferujte TOTP nebo bezpečnostní klíče.
„Passkeys jsou neobnovitelné“: S vícenásobnými autentikátory a dobrým plánem obnovy jsou ve většině případů spolehlivější než hesla.

Checklist: minimum, které vás výrazně posune

Nainstalovat správce hesel na všechna zařízení a zapnout synchronizaci/uzamčení po nečinnosti.
Nastavit dlouhé master heslo + MFA do trezoru, uložit recovery kit offline.
Nahradit slabá/duplicitní hesla generovanými (alespoň top 20 služeb).
Zakoupit a přidat jeden roamingový bezpečnostní klíč.
Aktivovat passkeys pro email a hlavní účty, ponechat TOTP jako zálohu.

Ochrana soukromí a shoda s předpisy

Správce hesel minimalizuje množství osobních údajů „ve volné přírodě“, protože odrazuje od recyklace a úniků. Passkeys dále snižují expozici: nevzniká centrální „heslo“, které by šlo zneužít. V kontextu soukromí a GDPR to odpovídá principu minimalizace údajů a bezpečnosti zpracování – méně tajemství, menší prostor pro selhání.

Evoluce, ne revoluce

Silná hesla a správce hesel jsou robustní základ, který můžete mít už dnes. Passkeys představují další krok – odstranění samotného hesla tam, kde to je možné. Začněte základy, připravte obnovu a postupně migrujte služby. Výsledkem je vyšší bezpečnost, méně stresu a rychlejší přihlašování.