5 milijardi passkeys u aktivnoj je upotrebi, a Google ih koristi za 800 milijuna računa. Što su passkeys, kako rade i trebate li prijeći već danas?
81% kršenja sigurnosti uključuje ukradene ili slabe lozinke. Prosječan korisnik ima oko 100 online računa ali aktivno koristi samo 4-5 različitih kombinacija. Izračunajte sami: jednom kada jedno od tih mjesta bude hakirano, napadač dobiva pristup svemu ostalome.
Passkeys ne pokušavaju biti bolja lozinka. Oni su fundamentalno drugačiji pristup — jedan koji ukida sam problem.
Zašto lozinke strukturno ne funkcioniraju
Problem s lozinkama nije to što ih ljudi biraju loše, premda je i to točno. Problem je što je cijeli model temeljen na dijeljenom tajnom podatku koji mora putovati mrežom i koji mora negdje biti pohranjen.
Svaki put kad se prijavljujete lozinkom, taj podatak (ili njegov hash) prolazi kroz vašu internetsku vezu, dolazi do servera i uspoređuje se s pohranom u bazi podataka. Ako je mrežna veza presretnuta — problem. Ako je baza podataka hakirana — problem. Ako ste istu lozinku koristili na drugom sajtu koji je bio hakiran prošle godine — problem.
Istraživanja konzistentno pokazuju da 65% korisnika reciklira lozinke između usluga. To nije nesmotreno — to je racionalan odgovor na kognitivno opterećenje pamćenja desetaka jedinstvenih kombinacija. Ali to znači da svaka baza podataka s lozinkama koja ikad procuri postaje potencijalni ključ za sve ostale račune tih korisnika.
Što je passkey tehnički
Passkey je implementacija FIDO2/WebAuthn standarda koji su zajedno definirali Apple, Google, Microsoft i FIDO Alliance. Osnova je kriptografija javnog ključa — ista matematika koja stoji iza HTTPS-a i šifriranih komunikacija.
Kada registrirate passkey za neki servis, vaš uređaj generira par ključeva: privatni i javni. Javni ključ se šalje serveru i pohranjuje tamo. Privatni ključ nikad ne napušta vaš uređaj — pohranjen je u zaštićenom hardverskom enklavu (Secure Enclave na Appleu, Trusted Platform Module na Windowsima, sličan čip na Androidu).
Kada se prijavljujete, server šalje "challenge" — nasumičan niz podataka. Vaš uređaj ga potpisuje privatnim ključem i vraća potpis. Server provjerava potpis javnim ključem. Cijela komunikacija ne sadrži ništa što bi napadaču koristilo čak i da je presretne — nije lozinka, nije hash, nije ništa što se može koristiti ponovo.
Biometrija (otisak prsta, Face ID, Windows Hello) nije sama po sebi passkey — to je metoda otključavanja privatnog ključa lokalno na uređaju. Vaš otisak prsta nikad ne napušta telefon. Biometrija je samo "ključ u bravu" koji oslobađa privatni ključ za potpisivanje challengea.
Brojke govore same za sebe
Adopcija passkeys-a prešla je iz eksperimentalne faze u mainstream. FIDO Alliance bilježi 5 milijardi passkeys u aktivnoj upotrebi globalno (2025.). Google je passkeys postavio kao zadanu opciju prijave za osobne račune još 2023. i od tada bilježi rast od 352% u broju autentikacija — 800 milijuna računa koristi passkeys, s ukupno 2,5 milijardi prijava.
Microsoft je u svibnju 2025. napravio sličan korak: passkeys su postali zadani način prijave za sve nove Microsoft račune. Apple je s iOS-om 26 (rujan 2025.) riješio dugotrajan problem prijenosnosti — passkeys se sada mogu prenijeti između Apple Keychain-a i vanjskih password managera poput Bitwardena ili 1Passworda kroz novi Credential Exchange standard.
48% od top 100 web stranica danas podržava passkeys — više od dvostruko u usporedbi s 2022. godinom. E-commerce platforme generiraju gotovo polovicu svih passkey autentikacija jer su bile prve koje su primijetile dramatičan pad napuštanja košarice kad korisnici ne moraju pamtiti lozinku.
Sigurnosne prednosti koje su stvarne
Passkeys su otporni na phishing po dizajnu. Privatni ključ je kriptografski vezan uz specifičnu domenu za koju je kreiran. Čak i ako napadač stvori savršenu kopiju bankovne stranice i uspije vas navesti da je posjetite, vaš uređaj odbija potpisati challenge jer domena ne odgovara. Lozinka na phishing stranici ide pravo napadaču; passkey na phishing stranici ne radi ništa.
Nema baze podataka lozinki koja može biti ukradena jer server nikad ne pohranjuje ništa tajno — samo vaš javni ključ koji je svakako javno dostupan. Database breachevi koji izlože milijune hashiranih lozinki ne kompromitiraju passkeys. Brute-force napadi su besmisleni. Credential stuffing — automatsko isprobavanje ukradenih kombinacija email/lozinka — ne funkcionira.
Ograničenja koja treba znati
Passkeys nisu bez komplikacija, i pošteno je to reći.
Dijeljeni uređaji predstavljaju problem: ako više osoba koristi isti računalo, passkey pohranjen u browseru ili operativnom sustavu može biti dostupan svima koji imaju pristup profilu. Rješenje je koristiti password manager koji zahtijeva zasebnu lozinku za pristup passkey repozitoriju.
Što se dogodi ako izgubite telefon? Passkeys su sinkronizirani u oblak (iCloud Keychain, Google Password Manager), tako da novi uređaj može automatski preuzeti passkeys nakon verifikacije identiteta. Ali za usluge koje podržavaju passkeys kao jedinu metodu prijave, gubitak uređaja bez pristupa cloud accountu može biti problematičan. Uvijek je pametno imati recovery codes pohranjene negdje fizički.
Još uvijek ne podržavaju sve web stranice passkeys — 52% top 100 stranica ih nema, a situacija u manjem e-commerceu i korporativnim sustavima je još sporija. Ovo nije razlog da ih ne koristite tamo gdje su dostupni, ali znači da password manager ostaje neophodan za ostatak.
Kako prijeći danas
Za Google račun: idite na myaccount.google.com, otvorite Sigurnost, potražite Passkeys i slijedite upute. Vaš uređaj (telefon, laptop s Windows Hello, Mac s Touch ID) može odmah postati autentikator.
Za Microsoft račun: prijava s passkey je dostupna na account.microsoft.com za sve račune.
Bitwarden i 1Password podržavaju pohranu i korištenje passkeys-a od 2024. i omogućuju da ih koristite s bilo kojeg uređaja, neovisno o operativnom sustavu.
Preporuka za postepen prelazak: nemojte brisati lozinke odmah. Dodajte passkey kao primarnu metodu prijave tamo gdje je moguće, zadržite lozinku kao backup. Nakon nekoliko tjedana korištenja passkeys-a sami ćete primijetiti da je iskustvo manje trenja — i počet ćete se pitati zašto to niste napravili ranije.
Passkeys nisu revolucionarna tehnologija koja se tek otkriva — to je infrastruktura koja je tiho postala zrela, pouzdana i dostupna. Jedino što je ostalo na vama je da je počnete koristiti.
Izvori i dodatno čitanje
Više članaka
- ugljični otisakAI energija
Ugljični otisak interneta: jedan ChatGPT upit troši 10× više struje od Google pretrage
1. lipnja 2026.
- e-otpadrecikliranje
E-otpad: 72 milijuna tona godišnje i samo 20% se pravilno reciklira
1. lipnja 2026.
- sleep trackingwearables
Sleep tracking: vaš smartwatch kaže 23% deep sleep — ali možete li mu vjerovati?
1. lipnja 2026.