Γιατί οι passkeys δεν έχουν αντικαταστήσει ακόμα τους κωδικούς

Σταδιακά τα συστήματα σύνδεσης χωρίς κωδικό έχουν κερδίσει έδαφος: η αναφορά της FIDO Alliance μιλάει πλέον για περίπου 5 δισεκατομμύρια passkeys, και πολλές μεγάλες ιστοσελίδες και πλατφόρμες προσθέτουν υποστήριξη. Όμως, παρά την εντυπωσιακή αύξηση, οι παραδοσιακοί κωδικοί εξακολουθούν να είναι το πιο κοινό εργαλείο εισόδου για την πλειονότητα των χρηστών. Αυτό που φαίνεται σαν μια τεχνολογική νίκη κρύβει ένα πρακτικό κενό: τα passkeys λειτουργούν ως «πρώτης τάξεως επιλογή» παρά ως πλήρης αντικατάσταση των κωδικών — και το πρακτικό πρόβλημα εμφανίζεται πιο έντονα όταν βγαίνεις έξω από την συσκευή όπου έγιναν οι αρχικές εγγραφές.

Τι ακριβώς είναι ένα passkey και γιατί αλλάζει τα δεδομένα

Τα passkeys βασίζονται σε δημόσιο-ιδιωτικό κλειδί (public-key cryptography) και στο πρωτόκολλο WebAuthn / FIDO2. Αντί να αποθηκεύεις ένα κείμενο που πρέπει να θυμάσαι —δηλαδή έναν κωδικό—, το σύστημα δημιουργεί ένα ιδιωτικό κλειδί στη συσκευή σου και ένα αντίστοιχο δημόσιο κλειδί που φυλάσσεται στο διακομιστή της υπηρεσίας. Η σύνδεση επιτυγχάνεται όταν η συσκευή υπογράφει ψηφιακά μια πρόκληση που στέλνει η ιστοσελίδα, με αποτέλεσμα πρακτικά να εξαφανίζονται τα κοινά προβλήματα phishing και οι μαζικές υποκλοπές βάσεων κωδικών.

Στα χαρτιά, λοιπόν, τα passkeys είναι πιο ασφαλή και γρηγορότερα: σύμφωνα με στοιχεία της FIDO για το 2025, το ποσοστό επιτυχούς σύνδεσης με passkeys φτάνει το 93%, ενώ άλλες μέθοδοι μένουν στο 63%. Επιπλέον, οι συνδέσεις είναι περίπου 73% ταχύτερες. Αυτά τα πλεονεκτήματα εξηγούν γιατί οι μεγάλες εταιρείες και τα λειτουργικά συστήματα επενδύουν στο οικοσύστημα.

Η εμπειρία χρήσης: όταν το Face ID δεν αρκεί

Η καθημερινή εμπειρία παραμένει όμως η πραγματική δοκιμασία. Στο κινητό μου, το Face ID δίνει μια αίσθηση «απλότητας» —ένα άγγιγμα ή μια ματιά και μπεις. Το πρόβλημα εμφανίζεται αμέσως μόλις χρειαστείς πρόσβαση από άλλο μηχάνημα: εργασιακό laptop, υπολογιστή οικογένειας, ή δημόσιο τερματικό. Τότε, αντί για μια απλή επαλήθευση, βρίσκεσαι να σκανάρεις QR, να εγκρίνεις push notification σε άλλη συσκευή ή να ψάχνεις σε ποιον password manager —iCloud, Google Password Manager ή τρίτο— βρίσκεται το αντίστοιχο passkey.

Μια χαρακτηριστική εμπειρία: κατά τη ρύθμιση νέου τηλεφώνου, οι passkeys που είχα δημιουργήσει στο laptop μου μέσω λογαριασμών Google ή Microsoft δεν ήταν αυτόματα διαθέσιμοι. Έπρεπε να συνδεθώ με κωδικό, να κάνω επαλήθευση και μετά να δημιουργήσω νέο passkey για τη συσκευή. Η διαδικασία αυτή δείχνει ότι, παρά την ασφάλεια και την ταχύτητα, η πραγματική χρηστικότητα εξαρτάται από το πώς διαχειρίζεσαι τη μεταφορά και τον συγχρονισμό των κλειδιών.

Το πρόβλημα της μετακίνησης και το Credential Exchange

Για να καλύψει αυτό το κενό, η FIDO Alliance πρότεινε το πρότυπο Credential Exchange, που επιτρέπει τη μεταφορά passkeys ανάμεσα σε password managers αντί να μένουν «εγκλωβισμένα» στην πρώτη συσκευή όπου δημιουργήθηκαν. Είναι μια σημαντική τεχνική διόρθωση: αν λειτουργεί καλά, θα απλοποιήσει τη μεταφορά και θα μειώσει την ανάγκη για fallback σε κωδικούς.

Όμως, όπως συμβαίνει συχνά, η εφαρμογή κυλάει σταδιακά. Κάθε πλατφόρμα και vendor υιοθετεί το πρότυπο με το δικό του ρυθμό και τις δικές του ιδιαιτερότητες. Μέχρι αυτή η λειτουργία να είναι παγκοσμίως και πολυπλατφορμικά διάχυτη, οι κωδικοί παραμένουν το μοναδικό «universal» μέσο που δουλεύει παντού και χωρίς ειδικό set‑up.

Ανησυχίες για ανάκτηση και επιθέσεις μέσω fallback

Μια από τις πιο συνηθισμένες ερωτήσεις είναι «τι γίνεται αν χάσω το τηλέφωνο;». Η ανησυχία δεν είναι παράλογη: οργανισμοί όπως το NCSC του Ηνωμένου Βασιλείου επισημαίνουν ότι η διαδικασία ανάκτησης μπορεί να γίνει στόχος των επιτιθέμενων. Αν οι επιτιθέμενοι δεν μπορούν να κλέψουν το ίδιο το ιδιωτικό κλειδί, συχνά επιλέγουν να στοχεύσουν στη διαδρομή ανάκτησης —το email, τον λογαριασμό cloud, ή την υποστήριξη του παρόχου— για να πάρουν πρόσβαση σε ένα λογαριασμό.

Στην πράξη, αυτό σημαίνει ότι ο μεγαλύτερος κίνδυνος δεν είναι η τεχνολογία κρυπτογράφησης αλλά η «μηχανική» που στηρίζει το οικοσύστημα: ο λογαριασμός συγχρονισμού, η διαδικασία επαλήθευσης ταυτότητας για ανάκτηση και οι ρυθμίσεις των password managers. Ακόμα και χρήστες που έχουν passkeys ενεργοποιημένα μπορεί να διατηρούν έναν κωδικό ως «έκτακτο μέσο», επειδή γνωρίζουν και εμπιστεύονται την παλιά διαδικασία ανάκτησης.

Γιατί οι ιστότοποι κρατούν τους κωδικούς ως fallback

Οι πάροχοι υπηρεσιών έχουν ισχυρά κίνητρα να διατηρούν τους κωδικούς ενεργούς: η ανάκτηση λογαριασμού και η εξυπηρέτηση πελατών είναι κρίσιμες και το κόστος ενός αποκλεισμού χρηστών είναι υπαρκτό. Σύμφωνα με τα στοιχεία της FIDO, το 93% των λογαριασμών είναι τεχνικά επιλέξιμο για passkey, αλλά μόνο το 36% έχει ενεργοποιήσει ένα passkey και μόλις το 26% των συνδέσεων χρησιμοποιούν passkey. Αυτό σημαίνει ότι πολλές πλατφόρμες είναι «passkey-ready» σε επίπεδο υποδομής, αλλά δεν μπορούν να εγκαταλείψουν τον κωδικό αφού η πλειονότητα των χρηστών δεν έχει ακόμη εγγραφεί.

Επιπλέον, από την πλευρά της επιχειρηματικής ευθύνης, η ύπαρξη κωδικού μειώνει τη ροή των αιτημάτων για τεχνική υποστήριξη και επανενεργοποίηση λογαριασμών. Μέχρι οι διαδικασίες ανάκτησης passkey να γίνουν τόσο προβλέψιμες και γρήγορες όσο το «ξεχάσατε τον κωδικό;», οι υπηρεσίες θα προτιμούν να προσφέρουν και τα δύο.

Πραγματικά παραδείγματα και επιχειρησιακή χρήση

Σε εταιρικά περιβάλλοντα, τα passkeys είναι ήδη χρήσιμα όταν συνδυάζονται με SSO και διαχείριση ταυτότητας. Οι οργανώσεις που έχουν κεντρικούς προμηθευτές ταυτοποίησης μπορούν να αναπτύξουν passkeys για εσωτερικά εργαλεία και να μειώσουν την έκθεση σε phishing. Ωστόσο, σε μικρότερες επιχειρήσεις ή σε υπηρεσίες με διεθνή πελατειακή βάση όπου οι χρήστες χρησιμοποιούν ποικίλες συσκευές, η μετάβαση παραμένει πιο αργή.

Σε προσωπικό επίπεδο, υπάρχουν περιστατικά όπου χρήστες έχασαν πρόσβαση επειδή είχαν εγγράψει passkeys μόνο σε μία συσκευή και δεν είχαν ρυθμίσει εναλλακτική διαδρομή ανάκτησης. Αντίθετα, οι χρήστες που προνόησαν να εγγράψουν passkeys σε περισσότερες από μία συσκευές, ή να ενεργοποιήσουν συγχρονισμό μέσω αξιόπιστου password manager, είχαν ομαλότερη εμπειρία μετάβασης.

Τι μπορούν να κάνουν χρήστες και παρόχοι τώρα

Υπάρχουν πρακτικά βήματα που μειώνουν το ρίσκο και αυξάνουν την άνεση στη χρήση passkeys. Οι χρήστες πρέπει να σκέφτονται την εγγραφή πολλαπλών συσκευών, να ενεργοποιούν αξιόπιστο cloud sync μόνο σε ασφαλείς λογαριασμούς και να ρυθμίζουν εναλλακτικές μεθόδους ανάκτησης με προσοχή. Οι πάροχοι πρέπει να επενδύσουν στο να κάνουν τη ροή ανάκτησης προβλέψιμη, να εκπαιδεύσουν τους χρήστες και να υιοθετήσουν πρότυπα όπως το Credential Exchange.

Μερικές χρήσιμες πρακτικές:

• Εγγραφή passkeys σε περισσότερες από μία συσκευές όπου αυτό είναι εφικτό.
• Ενεργοποίηση ασφαλούς συγχρονισμού μόνο με λογαριασμούς που έχουν ισχυρή προστασία 2FA.
• Διατήρηση ενημερωμένων επιλογών ανάκτησης και επανεξέταση των ρυθμίσεων του password manager.

Τι σημαίνει αυτό τελικά για τους χρήστες

Τα passkeys δεν είναι πλέον μια μακρινή υπόσχεση· είναι μια λειτουργική, πιο ασφαλής και συχνά πιο γρήγορη εναλλακτική στους κωδικούς. Όμως η πλήρης αντικατάσταση απαιτεί την κάλυψη του κρίσιμου κομματιού της διαλειτουργικότητας και της ανάκτησης. Μέχρι οι πλατφόρμες να υιοθετήσουν πλήρως πρότυπα όπως το Credential Exchange και μέχρι οι χρήστες να νιώσουν το ίδιο «βολικά» με μια διαδικασία passkey όσο και με το «ξεχάσατε τον κωδικό», οι παλιοί κωδικοί θα παραμένουν ως ασφαλιστική δικλείδα.

Στην πράξη, αυτό σημαίνει ότι οι χρήστες μπορούν να επωφεληθούν άμεσα: ενεργοποιήστε passkeys όπου διατίθενται, φροντίστε για εφεδρικές συσκευές και αξιολογήστε τους μηχανισμούς ανάκτησης των λογαριασμών σας. Οι πάροχοι υπηρεσιών, από την άλλη, πρέπει να βελτιώσουν τις ροές ανάκτησης και να υλοποιήσουν τα νέα πρότυπα γρήγορα και συνεκτικά, ώστε η μετάβαση να γίνει ομαλή και αξιόπιστη.

Εντέλει, οι passkeys επιταχύνουν την έξοδο από την εποχή των κωδικών, αλλά η έξοδος αυτή γίνεται βήμα-βήμα —μέχρι να νιώσει τελείως «αόρατη» και προβλέψιμη για τον μέσο χρήστη.