Ogólne
Kto obsługuje klucze dostępu?
Klucze dostępu są oparte na standardach FIDO, więc działają na Androidzie i w Chrome, a także w wielu innych popularnych ekosystemach i przeglądarkach, takich jak Microsoft Windows, Microsoft Edge, macOS, iOS i Safari.
Aby sprawdzić stan obsługi w Chrome i na Androidzie, zapoznaj się z sekcją Obsługiwane środowiska.
Czy klucze dostępu działają na urządzeniach, na których nie skonfigurowano metody blokady ekranu?
Zależy to od implementacji menedżera haseł i od tego, czy dostawca danych logowania zezwala na tworzenie kluczy dostępu i uwierzytelnianie bez wyzwania związanego z czynnikiem wiedzy użytkownika. Dostawcy mogą prosić użytkowników o skonfigurowanie blokady ekranu za pomocą kodu PIN lub danych biometrycznych przed utworzeniem klucza dostępu.
Jak można używać kluczy dostępu zarejestrowanych na jednej platformie (np. Android) do logowania się na innych platformach (np. w internecie lub iOS)?
Klucz dostępu zarejestrowany na Androidzie można na przykład wykorzystać do logowania się na innych platformach, łącząc telefon z Androidem z innym urządzeniem. Aby nawiązać połączenie między dwoma urządzeniami, użytkownicy muszą otworzyć witrynę, w której chcą się zalogować, na urządzeniu bez zarejestrowanego klucza dostępu, zeskanować kod QR, a następnie potwierdzić logowanie na urządzeniu, na którym utworzyli klucz dostępu (w tym przypadku na urządzeniu z Androidem). Klucz dostępu nigdy nie opuszcza urządzenia z Androidem, więc aplikacje zwykle sugerują utworzenie nowego klucza dostępu na innym urządzeniu, aby ułatwić logowanie następnym razem. Ten proces będzie działać podobnie na innych platformach.
Czy mogę przenieść zsynchronizowane klucze dostępu od jednego dostawcy platformy do innego?
Klucze dostępu są zapisywane u dostawcy danych uwierzytelniających określonego przez platformę. Niektóre platformy, np. Android, od Androida 14 umożliwiają użytkownikom wybór dostawcy (systemowego lub zewnętrznego menedżera haseł), który może synchronizować klucze dostępu na różnych platformach. Obecnie nie można przenosić kluczy dostępu bezpośrednio z jednego dostawcy platformy do drugiego.
Czy użytkownik może synchronizować klucze dostępu na urządzeniach z Androidem innych niż Google?
Klucze dostępu są synchronizowane tylko w ramach ekosystemu urządzenia (czyli domyślnie z Androida na Androida za pomocą Menedżera haseł Google), a nie w ramach całego ekosystemu.
Android otwiera platformę (od Androida 14), aby umożliwić użytkownikom wybór dostawcy danych logowania, z którego chcą korzystać (np. zewnętrznego menedżera haseł). Umożliwi to przypadki użycia takie jak synchronizacja kluczy dostępu między różnymi ekosystemami (w zależności od tego, jak otwarte są inne platformy).
Co deweloperzy powinni zrobić w przypadku urządzeń i platform, które nie obsługują kluczy dostępu?
Deweloperom zalecamy pozostawienie w aplikacji dotychczasowych opcji logowania, aby były one nadal dostępne na urządzeniach i platformach, które nie obsługują kluczy dostępu.
Czy klucz dostępu może wygasnąć?
Nie. Zależy to od dostawcy przechowującego klucze dostępu i RP (Relying Party), ale nie ma powszechnej praktyki wygaszania kluczy dostępu.
Czy dostawca tożsamości może określić konto, za pomocą którego użytkownik ma się zalogować?
Podmioty ufające (aplikacje innych firm) mogą wypełniać pole allowCredentials listą identyfikatorów danych logowania wysyłanych z backendu aplikacji, wskazującą, których kluczy dostępu należy użyć do uwierzytelnienia użytkownika.
Klucze dostępu na Androidzie i w Chrome
Czy aplikacje na Androida mogą używać kluczy dostępu utworzonych w Chrome do uwierzytelniania?
W przypadku kluczy dostępu utworzonych w Chrome na Androidzie:
Tak. Klucze dostępu utworzone w Chrome są zapisywane w Menedżerze haseł Google i dostępne na Androidzie oraz odwrotnie, gdy użytkownicy są zalogowani na to samo konto Google.
W przypadku kluczy dostępu utworzonych w Chrome na innych platformach:
Nie, jeśli klucz dostępu został utworzony w Chrome na innych platformach (Mac, iOS, Windows). Więcej informacji znajdziesz w artykule o obsługiwanych środowiskach. W tym czasie użytkownicy mogą używać telefonu, na którym utworzyli klucz dostępu, do logowania się.
Co się stanie z danymi logowania utworzonymi przed wprowadzeniem kluczy dostępu? Czy możemy nadal z nich korzystać?
Tak, zarówno w Chrome, jak i na Androidzie dostępne są poświadczenia powiązane z urządzeniem, które zostały utworzone przed włączeniem synchronizacji. Można ich nadal używać do uwierzytelniania.
Co się stanie, jeśli użytkownik zgubi urządzenie?
Klucze dostępu utworzone na urządzeniach z Androidem są synchronizowane z innymi urządzeniami z Androidem, na których zalogowano się na to samo konto Google, i tworzona jest ich kopia zapasowa. Działa to tak samo jak w przypadku haseł przechowywanych w menedżerze haseł.
Oznacza to, że klucze dostępu użytkownika są przenoszone wraz z nim, gdy wymienia on urządzenia. Aby zalogować się w aplikacjach na nowym telefonie, użytkownik musi tylko potwierdzić swoją tożsamość za pomocą blokady ekranu na dotychczasowym urządzeniu.
Czy do logowania za pomocą kluczy dostępu wymagane jest skonfigurowanie na urządzeniu zarówno blokady ekranu z użyciem danych biometrycznych, jak i blokady ekranu z użyciem kodu PIN lub wzoru, czy wystarczy tylko jedna z tych metod?
Wystarczy jedna metoda blokowania ekranu.
Czy klucz dostępu jest powiązany z określoną metodą blokady ekranu, np. odciskiem palca, kodem PIN lub wzorem?
Zależy to od platformy urządzenia i sposobu przeprowadzania weryfikacji użytkownika. W przypadku Menedżera haseł Google klucze dostępu nie są powiązane z żadnymi konkretnymi metodami uwierzytelniania i można ich używać z dowolnym dostępnym czynnikiem blokady ekranu (dane biometryczne, kod PIN lub wzór).
Czy dostawca usług może nadal tworzyć dane logowania powiązane z urządzeniem, które nie są synchronizowane?
Obecnie nieodkrywalne dane logowania utworzone w Chrome na Androidzie lub w aplikacji na Androida korzystającej z interfejsów API Usług Play zachowują się tak jak dotychczas, a więc nadal są powiązane z urządzeniem.
Podczas korzystania z kluczy dostępu rozszerzenie klucza publicznego urządzenia, które jest w trakcie opracowywania, to drugi klucz powiązany z urządzeniem, który nie będzie synchronizowany i którego można używać do analizy ryzyka. Żaden dostawca danych logowania nie obsługuje jeszcze tej funkcji.
Jak działa synchronizacja kluczy dostępu z nowym urządzeniem? Czy użytkownicy muszą mieć dostęp do urządzenia, na którym utworzyli klucz dostępu?
Na urządzeniu z Androidem:
Jeśli klucze dostępu zostały zapisane w Menedżerze haseł Google, wystarczy, że użytkownik zaloguje się na nowym urządzeniu przy użyciu tego samego konta Google i potwierdzi swoją tożsamość za pomocą blokady ekranu poprzedniego urządzenia (kodu PIN, wzoru lub hasła). Poprzednie urządzenie nie jest wymagane do logowania się użytkownika na innych urządzeniach.
Jeśli klucze dostępu zostały zapisane u innego dostawcy danych logowania, będzie to zależeć od procesów logowania na nowych urządzeniach tego dostawcy. Większość dostawców danych logowania synchronizuje je z chmurą i oferuje użytkownikom sposoby uzyskiwania do nich dostępu na nowych urządzeniach po uwierzytelnieniu.
Prywatność i bezpieczeństwo
Czy dane biometryczne użytkownika są bezpieczne?
Tak, dane biometryczne użytkownika nigdy nie opuszczają urządzenia i nie są przechowywane na serwerze centralnym, z którego mogłyby zostać skradzione w wyniku naruszenia bezpieczeństwa.
Czy użytkownik może zalogować się na urządzeniu znajomego za pomocą klucza dostępu na telefonie?
Tak. Użytkownicy mogą skonfigurować „jednorazowe połączenie” między telefonem a urządzeniem innej osoby na potrzeby logowania.
Czy klucze dostępu przechowywane w Menedżerze haseł Google są chronione, jeśli konto Google użytkownika zostanie przejęte?
Tak, tajne dane klucza dostępu są w pełni szyfrowane. Przejęte konto Google nie ujawni kluczy dostępu, ponieważ użytkownicy muszą też odblokować ekran urządzenia z Androidem, aby odszyfrować klucze dostępu.
Powiązane artykuły
Jak klucze dostępu wypadają w porównaniu z federacją tożsamości?
Federacja tożsamości to doskonałe rozwiązanie w przypadku usług, które są zintegrowane z co najmniej jednym dostawcą OpenID. Zwraca podstawowe informacje o profilu użytkownika, takie jak imię i nazwisko oraz zweryfikowany adres e-mail, a także – podobnie jak klucze dostępu – zapewnia bezpieczny i wygodny mechanizm logowania. Klucze dostępu nie wymagają integracji z dostawcą OpenID, ale nie zawierają podstawowych informacji o profilu. Deweloperzy powinni rekomendować klucze dostępu użytkownikom, którzy używają haseł. Deweloperzy powinni rozważyć niezależną integrację z co najmniej jednym dostawcą OpenID, aby dać użytkownikom wybór.