Badani mieli problem z wykryciem i usunięciem obcego klucza dostępu
Badanie Cornell University pokazuje, że bezpieczeństwo klucza dostępu(passkey’a) zależy nie tylko od kryptografii, lecz także od tego, czy użytkownik potrafi rozpoznać i usunąć obcy klucz po przejęciu konta. W laboratoryjnym eksperymencie z udziałem 31 osób większość nie zdołała bez pomocy wykonać wszystkich czynności potrzebnych do odcięcia napastnika.
Passkey nie został złamany. Wykorzystano legalną funkcję
.Passkey, nazywany po polsku kluczem dostępu, wykorzystuje parę kluczy kryptograficznych. Serwis przechowuje klucz publiczny, natomiast klucz prywatny pozostaje na urządzeniu lub w menedżerze poświadczeń. Rozwiązanie ogranicza ryzyko phishingu i wycieku haseł, dlatego jest ważnym elementem współczesnego cyberbezpieczeństwa.
Opisany atak nie łamie jednak tej kryptografii. Osoba, która zna hasło partnera i uzyska dostęp do jego komputera albo aktywnej sesji, może zarejestrować na koncie dodatkowy passkey zapisany na własnym urządzeniu. Od tej chwili dysponuje niezależną metodą logowania. Sama zmiana hasła nie zawsze unieważnia osobno zarejestrowany passkey, a silne hasła i weryfikacja dwuetapowa nie usuwają już dodanego poświadczenia.
Uczestnicy nie potrafili całkowicie zabezpieczyć kont
.Pracę „Maybe There’s Only One Passkey?” przedstawiono podczas 35. USENIX Security Symposium, odbywającego się 12–14 sierpnia 2026 r. w Baltimore. Alaa Daffalla i jej współpracownicy przygotowali symulację obejmującą konta Google, PayPal lub LinkedIn oraz dwa laptopy: użytkownika i napastnika.
Każdy z 31 uczestników miał pomóc fikcyjnemu znajomemu w rozpoznaniu incydentu i ponownym zabezpieczeniu konta. Badanie nie było więc prowadzone na osobach doświadczających przemocy, lecz odtwarzało jeden z możliwych scenariuszy takiego nadużycia.
Pełne odcięcie dostępu wymagało odnalezienia i usunięcia obcego passkeya, zmiany hasła oraz wylogowania pozostałych urządzeń. Zdecydowana większość uczestników nie wykonała wszystkich tych kroków bez wsparcia badaczy. Część nie ufała prawdziwym wiadomościom ostrzegającym o podejrzanej aktywności, a część błędnie interpretowała listy urządzeń i kluczy. Jeden z badanych uznał, że dwa wpisy w iCloud Keychain oznaczają jeden passkey używany na dwóch urządzeniach.
Wynik pokazuje, dlaczego samo zauważenie przejęcia konta lub naruszenia danych nie wystarcza, jeśli interfejs nie prowadzi użytkownika przez pełną procedurę odzyskiwania bezpieczeństwa.
Bezpieczne logowanie wymaga bezpiecznego odzyskiwania
.Autorzy ustalili, że powiadomienia i panele bezpieczeństwa były niejasne, a automatyczne kreatory pomijały część koniecznych działań lub wprowadzały w błąd. Rekomendują przeprojektowanie tych narzędzi tak, aby pomagały wykryć obcy passkey i dokończyć wszystkie etapy zabezpieczania konta.
Eksperyment miał charakter jakościowy i obejmował 31 uczestników, dlatego nie służył do oszacowania częstości podobnych problemów w całej populacji. Nie dowodzi też, że klucze dostępu są ogólnie mniej bezpieczne od haseł. Pokazuje jednak, że nawet osoby deklarujące wiedzę techniczną mogą przeceniać swoją znajomość zasad ochrony prywatności.
W sytuacji przemocy natychmiastowa zmiana zabezpieczeń nie zawsze jest bezpieczna: może zaalarmować sprawcę lub usunąć dowody. Materiały CETA i Safety Net Project zalecają najpierw ocenić ryzyko, a w razie zagrożenia korzystać z bezpiecznego urządzenia oraz wsparcia organizacji pomagającej osobom doświadczającym przemocy.
Szymon Ślubowski
