Passkeys 2026: Ο θάνατος του κωδικού πρόσβασης

Όλο το άρθρο σε 60 δευτερόλεπτα

Ένα passkey αντικαθιστά τον κωδικό με ένα κρυπτογραφικό ζεύγος κλειδιών (FIDO2/WebAuthn). Ο ιστότοπος αποθηκεύει μόνο το δημόσιο κλειδί. Το ιδιωτικό κλειδί μένει στις συσκευές σου — ποτέ δεν στέλνεται πουθενά. Συνδέεσαι με δάχτυλο, Face ID ή PIN: η συσκευή υπογράφει με το ιδιωτικό κλειδί, ο server επαληθεύει με το δημόσιο. Ο κωδικός «θάνατος» του κωδικού πρόσβασης σημαίνει απλά: δεν υπάρχει πια μυστικό που μπορεί να κλαπεί από server ή ψυχοφθόρα phishing σελίδα.

Πώς δουλεύει — αναλυτικά (χωρίς μαθηματικά)

Το FIDO2 αποτελείται από δύο κομμάτια: το WebAuthn (το API του browser, πρότυπο W3C) και το CTAP2 (ο τρόπος επικοινωνίας browser ↔ authenticator). «Authenticator» είναι ό,τι κρατάει τα κλειδιά: το secure enclave του τηλεφώνου σου, το TPM του laptop, ένα YubiKey ή το vault του password manager σου.

Η λεπτομέρεια που αλλάζει τα πάντα: το origin binding

Το passkey είναι δεσμευμένο στο rp.id — το πραγματικό domain για το οποίο δημιουργήθηκε. Ο browser αρνείται να υπογράψει challenge που προέρχεται από διαφορετικό domain. Έτσι, αν κάποιος σε στείλει στο paypa1-login.com, το authenticator βλέπει διαφορετικό rp.id από το paypal.com και απλά δεν υπογράφει. Το phishing δεν «γίνεται πιο δύσκολο» — γίνεται μαθηματικά αδύνατο, γιατί δεν υπάρχει κωδικός να παραχωρήσεις σε κανέναν.

Synced vs Device-bound

• Synced passkeys: το κλειδί αποθηκεύεται κρυπτογραφημένα σε cloud vault (iCloud Keychain, Google Password Manager, 1Password, Bitwarden…) και sync-άρει σε όλες τις συσκευές σου. Το 2026 είναι το default μοντέλο.
• Device-bound passkeys: το κλειδί ζει ΜΟΝΟ σε ένα hardware (YubiKey, smart card). Δεν φεύγει ποτέ — το πιο ασφαλές, αλλά αν χάσεις το κλειδί, χάνεις και την πρόσβαση (εκτός αν έχεις δεύτερο).

Γιατί ο κωδικός πρόσβασης πέθανε (και το ήξεραν όλοι)

Ο κωδικός πρόσβασης είναι μια λύση της δεκαετίας του ’60 που κράτησε 60 χρόνια παραπάνω από ό,τι έπρεπε. Το πρόβλημα δεν είναι ότι οι χρήστες είναι «βλακείες» που βάζουν 123456 — είναι ότι ο άνθρωπος δεν είναι designed να θυμάται δεκάδες μοναδικά, τυχαία strings. Κάθε «λύση» πάνω σε αυτό (password managers, 2FA, password policies) μεταφέρει απλά το πρόβλημα ένα σκαλί παρακάτω.

Με τα AI εργαλεία του 2026, το phishing έγινε αυτοματοποιημένο, εξατομικευμένο και πολλαπλών γλωσσών — δες το AI-WALL: Phishing Trends 2026. Ο κωδικός δεν είναι πλέον «ελαφρώς ρίσκο»: είναι η μοναδική κλειδαμπαριά που μπορεί να σου ζητηθεί από τον ίδιο τον attacker, εθελοντικά, σε 3 δευτερόλεπτα. Το passkey εξαφανίζει αυτή τη χειρονομία.

Sync & Cross-Device: πώς τα passkeys ταξιδεύουν

1. Cloud sync (το κοινό μοντέλο)

Το ιδιωτικό κλειδί αποθηκεύεται end-to-end κρυπτογραφημένο στο cloud vault σου και εμφανίζεται σε όλες τις συσκευές σου. iCloud Keychain, Google Password Manager, Samsung Pass, 1Password, Bitwarden, Dashlane, Proton Pass, NordPass — όλα το υποστηρίζουν στο 2026. Σημαντικό: το vault είναι κρυπτογραφημένο με κλειδία που δεν βλέπει ο πάροχος — ούτε η Apple ούτε η Google μπορούν να διαβάσουν τα passkeys σου.

2. Cross-device login (hybrid transport)

Θες να συνδεθείς σε laptop φίλου ή δημόσιο υπολογιστή; Ο browser δείχνει QR code → το σκανάρεις με το τηλέφωνο → ελέγχεται Bluetooth proximity (δεν στέλνεται τίποτα απόμακρα) → βιομετρική επιβεβαίωση στο τηλέφωνο → ο laptop λαμβάνει μόνο την υπογραφή, ποτέ το κλειδί. Αυτό είναι το CTAP2 «hybrid transport» — δουλεύει cross-ecosystem: Android τηλέφωνο μπορεί να συνδεθεί σε Safari/Mac και αντίστροφα.

3. Password managers ως universal providers

Το 2026, 1Password, Bitwarden, Dashlane, Proton Pass & co λειτουργούν ως παντού-passkey providers: μπορείς να ρυθμίσεις το vault σου ως default passkey provider σε iOS/Android, με αποτέλεσμα τα passkeys να sync-άρουν μεταξύ browsers και συσκευών ανεξαρτήτως οικοσυστήματος (Apple/Google/Windows/Linux).

Τι νέο το 2026: η χρονιά που το FIDO2 πέρασε στο mainstream

Το 2025 ήταν η χρονιά της ωρίμανσης· το 2026 είναι η χρονιά της υποχρεωτικότητας και της διαλειτουργικότητας. Αυτές είναι οι κινήσεις που άλλαξαν το τοπίο:

Μύθοι vs Πραγματικότητα για τα passkeys

Κάθε νέα τεχνολογία γεννάει πρώτα φόβους και μετά νούμερα. Ας καθαρίσουμε τους πιο διαδεδομένους:

Οδηγός setup: ανά συσκευή, βήμα-βήμα

🍎 iPhone / iPad / Mac (iCloud Keychain)

• Βεβαιώσου ότι έχεις 2FA στο Apple ID και ενεργό iCloud Keychain (Ρυθμίσεις → [το όνομά σου] → iCloud → Keychains).
• Σε κάθε site/app: Καταχώρηση λογαριασμού ή Ρυθμίσεις ασφαλείας → «Set up a passkey» → Face ID/Touch ID → τέλος.
• Ρύθμισε Recovery Contact και Recovery Key στο Apple ID ώστε να μη χάσεις ποτέ πρόσβαση στο Keychain.

🤖 Android / Chrome (Google Password Manager)

• Ενεργοποίησε screen lock + βιομετρικά στη συσκευή.
• Στο g.co/passkeys ή passwords.google.com → «Create passkey» για τον λογαριασμό Google σου.
• Σε sites: Settings → Security → Passkeys. Ο Chrome θα σου προτείνει αποθήκευση στο Google Password Manager αυτόματα.
• Ρύθμισε recovery email/phone + backup codes στο Google account.

🪟 Windows (Windows Hello)

• Settings → Accounts → Sign-in options → δώσε PIN/Hello face/fingerprint.
• Προσοχή: το Windows Hello είναι device-bound — δεν sync-άρει. Στήσε δεύτερο (τηλέφωνο ή hardware key) ως εφεδρεία.

🔐 Password managers (1Password / Bitwarden / Proton Pass / Dashlane)

• Ενημέρωσε την εφαρμογή + browser extension στην τελευταία έκδοση.
• Σε iOS/Android: Ρυθμίσεις → Passwords/Passkeys → επιλογή του vault ως AutoFill/passkey provider.
• Πλεονέκτημα: passkeys παντού — cross-browser, cross-OS, με οικογενειακά/ομαδικά vaults.

🔑 Hardware keys (YubiKey & co)

• Αγόρασε 2 (κύριο + backup) και κράτα το backup σε ασφαλές σημείο.
• Στο Google/Microsoft/GitHub: Security → 2FA → Add security key → άγγιξε το κλειδί.
• Ενεργοποίησε NFC ώστε να δουλεύει και με το κινητό.

Πού μπορείς να τις χρησιμοποιήσεις ήδη

Η λίστα μεγαλώνει κάθε μήνα — στο 2026 το passkey είναι πλέον standard option στα μεγάλα platforms:

• Google / Gmail / YouTube: πλήρης υποστήριξη — το default suggestion πλέον σε νέα devices.
• Apple ID: passkeys στο iCloud Keychain για όλα τα Apple services.
• Microsoft account / Entra: passkeys & Windows Hello σε consumer και enterprise level.
• Amazon, PayPal, eBay: checkout και login με passkey — ο PayPal το είχε κάνει πρώτο από το 2022.
• GitHub, GitLab, X (Twitter), WhatsApp, Discord, Twitch, LinkedIn, TikTok: όλα με passkey option στις ρυθμίσεις ασφαλείας.
• Nintendo / PlayStation / Epic: gaming accounts — εκεί όπου οι account steals είχαν «χρυσοφόρα» αγορά resale.
• Τράπεζες & fintech: σταδιακά, κυρίως μέσω των apps (in-app biometric auth βασισμένο σε FIDO). Δες ενότητα 2026.
• Δημόσιες υπηρεσίες ΕΕ: μέσω των EU Digital Identity Wallets που rollout-άρουν (βλ. eIDAS 2.0).

Δεν υποστηρίζεται κάπου; Κράτα 2FA app ή hardware key εκεί — και check περιοδικά τον κατάλογο passkeys.directory.

Recovery: η αχίλλειος πτέρνα (και πώς τη δένεις)

Το passkey ως μηχανισμός είναι σχεδόν αήττητο. Το recovery όμως — «τι γίνεται όταν κάτι χαλάει;» — είναι όπου γίνεται η ζημιά. Οι attackers έχουν μεταφέρει εκεί τις επιθέσεις: recovery email compromises, SIM swaps, social engineering στο support.

Πώς στήνεις αλεξίπτωτο

• 2+ συσκευές με sync passkeys: τηλέφωνο + laptop στο ίδιο vault. Αν πεθάνει το ένα, ζει το άλλο.
• 1 hardware key backup για email και password manager — τα δύο «κουμπιά» που ξεκλειδώνουν όλα τα υπόλοιπα.
• Apple: Recovery Contact + Recovery Key · Google: recovery email, phone, backup codes — στήσε τα τώρα, όχι την ώρα του κακού.
• Backup codes offline: τύπωσε/κρύπτησε τα 2FA recovery codes σε φυσικό μέσο (δεν τα βάζεις σε notes app με sync).
• Μη σβήνεις το 2FA app μέχρι να επιβεβαιώσεις ότι το passkey δουλεύει παντού.

Θέλεις το βαθύτερο context για το γιατί όλα αυτά αφορούν και το post-quantum μέλλον; Δες το Post-Quantum Security in plain Greek.

Συχνές ερωτήσεις

Τι είναι ένα passkey με απλά λόγια;

Ένα ψηφιακό ζεύγος κλειδιών: δημόσιο (στον server) και ιδιωτικό (σε σένα). Συνδέεσαι αποδεικνύοντας με βιομετρικά ότι εσύ κρατάς το ιδιωτικό — ο server ποτέ δεν μαθαίνει μυστικό.

Τι γίνεται αν χάσω τη συσκευή μου;

Με cloud sync, τα passkeys σου επανέρχονται σε νέα συσκευή μόλις συνδεθείς στον λογαριασμό σου (iCloud/Google/password manager). Γι’ αυτό: 2+ συσκευές + hardware backup για κρίσιμους λογαριασμούς.

Λειτουργούν μεταξύ Apple, Google και Windows;

Ναι — WebAuthn είναι ανοιχτό πρότυπο W3C. Cross-device login με QR + proximity δουλεύει πανταχού παρόν, και το 2026 ήρθε και portability μέσω credential exchange πρωτοκόλλων.

Είναι πιο ασφαλή από τα 2FA apps;

Ναι. TOTP codes μπορεί να υποκλαπούν με phishing in real-time (AI proxies το κάνουν πλέον αυτόματα). Το passkey δεν δίνει τίποτα να «πληκτρολογήσεις» σε ψεύτικη σελίδα — αρνείται να υπογράψει λάθος domain.

Χρειάζομαι internet για να συνδεθώ;

Η βιομετρική επιβεβαίωση είναι τοπική, αλλά η login χρειάζεται σύνδεση με τον server — όπως κάθε authentication. Αυτό που ΔΕΝ χρειάζεσαι: να θυμάσαι κάτι.

Θα με κλειδώσουν σε μια εταιρεία;

Το 2026 όχι: credential exchange πρωτόκολλα επιτρέπουν export/import ανάμεσα σε providers. Και ούτως ή άλλως, ένας YubiKey δουλεύει με ό,τι platform κι αν αλλάξεις αύριο.

Το πλάνο 30 λεπτών — τι να κάνεις σήμερα

• Ενεργοποίησε 2FA παντού (αν δεν το έχεις ήδη) — είναι το προστατευτικό στρώμα μέχρι το passkey παντού.
• Πρόσθεσε passkey στους λογαριασμούς email σου πρώτα (Gmail/Outlook/iCloud).
• Πρόσθεσε passkey σε Apple ID / Google account / Microsoft account.
• Πρόσθεσε passkey στα social + financial apps που τα υποστηρίζουν — χωρίς να σβήνεις τίποτα ακόμα.
• Εγγυάσου 2+ paths: synced cloud + hardware key ή δεύτερη συσκευή.
• Ρύθμισε recovery: Apple Recovery Contact/Key, Google backup codes, επαληθευμένο recovery email.
• Στήσε password manager vault (1Password/Bitwarden/Proton Pass) ως passkey provider για cross-platform.
• Τύπωσε backup codes και βάλε τα σε ασφαλές φυσικό σημείο.
• Check κάθε 2-3 μήνες: νέα sites με υποστήριξη (passkeys.directory) — μετέφερε σταδιακά.
• Δίδαξε την οικογένεια: γονείς/παιδιά πρώτα σε email + τράπεζα — εκεί χτυπούν τους ανυπεράσπιστους.