Για δεκαετίες, ο κωδικός πρόσβασης ήταν η πρώτη —και συχνά η μοναδική— γραμμή άμυνας ανάμεσα σε εμάς και τους λογαριασμούς μας. Το 2026, όμως, όλο και περισσότερες υπηρεσίες μάς ζητούν απλώς να κοιτάξουμε την κάμερα του κινητού μας ή να ακουμπήσουμε το δάχτυλό μας σε έναν αισθητήρα. Ο κωδικός πρόσβασης, όπως τον ξέραμε, μοιάζει να μπαίνει σιγά σιγά στην τελευταία του φάση.
Γιατί ο κωδικός πρόσβασης «απέτυχε»
Το πρόβλημα με τους κωδικούς δεν ήταν ποτέ τεχνικό —ήταν ανθρώπινο. Οι χρήστες τους επαναχρησιμοποιούν σε πολλαπλές υπηρεσίες, επιλέγουν εύκολα να θυμούνται συνδυασμούς, και είναι ευάλωτοι σε επιθέσεις phishing, όπου ακόμη και ο πιο πολύπλοκος κωδικός μπορεί να «δοθεί» εκούσια σε μια ψεύτικη ιστοσελίδα. Προστίθεται και η γνωστική κόπωση: ο μέσος χρήστης διαχειρίζεται δεκάδες διαφορετικούς λογαριασμούς, κάτι που καθιστά μη ρεαλιστική την τήρηση αυστηρών κανόνων ασφάλειας για τον καθένα ξεχωριστά. Το αποτέλεσμα είναι ότι, παρά τους αυστηρότερους κανόνες πολυπλοκότητας και τις υποχρεωτικές αλλαγές που επέβαλαν εταιρείες επί χρόνια, οι παραβιάσεις δεδομένων συνεχίζουν να εντοπίζουν την αιτία τους σε κλεμμένα διαπιστευτήρια.
Τι ακριβώς αλλάζει: passkeys εναντίον βιομετρικών
Στη συζήτηση για το «τέλος των κωδικών» συχνά συγχέονται δύο διαφορετικές τεχνολογίες. Το «passkey» είναι ένα κρυπτογραφικό διαπιστευτήριο αποθηκευμένο στη συσκευή σου, το οποίο ξεκλειδώνεται με μια τοπική χειρονομία —ένα δαχτυλικό αποτύπωμα, μια σάρωση προσώπου ή ένα PIN. Η βιομετρική πιστοποίηση, από την άλλη, επαληθεύει ένα φυσικό χαρακτηριστικό του ίδιου του ανθρώπου, όχι της συσκευής. Τα δύο συγχέονται εύκολα επειδή τα περισσότερα passkeys ξεκλειδώνονται μέσω βιομετρικών δεδομένων —όμως ο διακομιστής της υπηρεσίας δεν «βλέπει» ποτέ το πρόσωπο ή το δαχτυλικό σου αποτύπωμα· απλώς εμπιστεύεται πως η συσκευή σου επιβεβαίωσε το ξεκλείδωμα.
Η διαδικασία λειτουργεί σε τρία βήματα: όταν εγγράφεσαι σε μια υπηρεσία, η συσκευή σου δημιουργεί ένα ζεύγος κρυπτογραφικών κλειδιών για εκείνη συγκεκριμένα· το ιδιωτικό κλειδί παραμένει ασφαλισμένο στη συσκευή, ενώ το δημόσιο στέλνεται στην υπηρεσία. Όταν συνδέεσαι ξανά, η υπηρεσία στέλνει μια «πρόκληση» την οποία η συσκευή σου υπογράφει με το ιδιωτικό κλειδί —αλλά μόνο αφού το ξεκλειδώσεις τοπικά μέσω βιομετρικών ή PIN. Αυτό καθιστά τα passkeys ιδιαίτερα ανθεκτικά σε phishing: ένας κωδικός μπορεί κανείς να τον πληκτρολογήσει σε μια ψεύτικη σελίδα, ένα passkey όμως είναι δεμένο κρυπτογραφικά με τη γνήσια διεύθυνση της υπηρεσίας και δεν θα «απελευθερώσει» ποτέ υπογραφή σε μια παραπλανητική, όμοια ιστοσελίδα.
Οι αριθμοί δείχνουν επιτάχυνση
Η υιοθέτηση αυτής της τεχνολογίας δεν είναι πλέον θεωρητική συζήτηση. Σύμφωνα με το FIDO Alliance, τον διεθνή οργανισμό που ηγείται της προσπάθειας για πιστοποίηση χωρίς κωδικό, πάνω από ένα δισεκατομμύριο άνθρωποι έχουν ενεργοποιήσει τουλάχιστον ένα passkey, ενώ περισσότεροι από 15 δισεκατομμύρια διαδικτυακοί λογαριασμοί υποστηρίζουν πλέον πιστοποίηση μέσω passkey. Η ίδια η Google αναφέρει πως πάνω από 800 εκατομμύρια Google Accounts υποστηρίζουν πλέον passkeys, με περισσότερες από 2,5 δισεκατομμύρια συνδέσεις μέσω passkey, ενώ η Amazon δηλώνει ότι 175 εκατομμύρια πελάτες της τα έχουν ενεργοποιήσει στους λογαριασμούς τους.
Τα στοιχεία απόδοσης είναι εξίσου εντυπωσιακά: τα passkeys πετυχαίνουν ποσοστό επιτυχούς σύνδεσης 93%, σε σύγκριση με 63% για άλλες μεθόδους πιστοποίησης, ενώ η Microsoft έχει διαπιστώσει ότι οι συνδέσεις μέσω passkey είναι τρεις φορές ταχύτερες από τους παραδοσιακούς κωδικούς και οκτώ φορές ταχύτερες σε σχέση με έναν κωδικό συνδυασμένο με τυπική διπλή επαλήθευση. Σχεδόν οι μισές από τις 100 δημοφιλέστερες ιστοσελίδες παγκοσμίως υποστηρίζουν σήμερα passkeys —περισσότερες από τις διπλάσιες σε σχέση με το 2022— μεταξύ αυτών η Google, η Apple, η Microsoft, η Amazon, το PayPal και το WhatsApp, καθώς και ένας αυξανόμενος αριθμός τραπεζικών ιδρυμάτων.
Ακόμη και μεγάλοι τεχνολογικοί κολοσσοί επιταχύνουν τη μετάβαση: η Microsoft ανακοίνωσε πρόσφατα την επέκταση της υποστήριξης passkeys σε προσωπικές και μη διαχειριζόμενες συσκευές Windows μέσω του Windows Hello, καθώς και τη δυνατότητα αποθήκευσης και συγχρονισμού passkeys μεταξύ συσκευών μέσω του Password Manager της εταιρείας.
Πού «σπάει» το μοντέλο —και πού χρειάζεται πραγματική βιομετρική
Παρά την ευκολία τους, τα διαπιστευτήρια δεμένα σε συγκεκριμένη συσκευή δεν λύνουν όλα τα προβλήματα. Υπάρχουν δύο περιπτώσεις όπου δυσκολεύονται: πρώτον, σε κοινόχρηστα ή δημόσια τερματικά —κιόσκια, ταμεία, μηχανήματα check-in κλινικών, ΑΤΜ— όπου δεν υπάρχει μία προσωπική συσκευή να «κρατήσει» το κλειδί· δεύτερον, σε εγκρίσεις υψηλού κινδύνου όπου χρειάζεται να αποδειχθεί η φυσική παρουσία ενός συγκεκριμένου ανθρώπου, όχι απλώς μιας καταχωρημένης συσκευής. Σε αυτά τα σενάρια, η καθαρή βιομετρική πιστοποίηση —όπου το ίδιο το πρόσωπο ή το αποτύπωμα λειτουργεί ως το «κλειδί», χωρίς ενδιάμεση συσκευή— παραμένει πιο χρήσιμη, και αναμένεται να συνυπάρξει με τα passkeys παρά να αντικατασταθεί πλήρως από αυτά.
Το ερώτημα της ιδιωτικότητας
Η μετάβαση σε ένα πρόσωπο-ως-κωδικό μέλλον δεν είναι χωρίς προβληματισμούς. Η αποθήκευση βιομετρικών δεδομένων —ακόμη κι αν παραμένει κρυπτογραφημένη τοπικά στη συσκευή, όπως συμβαίνει σε συστήματα τύπου Face ID ή Windows Hello— εγείρει ζητήματα ιδιωτικότητας, συμμόρφωσης με κανονισμούς προστασίας δεδομένων, και ασφάλειας σε επίπεδο συσκευής. Σε αντίθεση με έναν κωδικό, το πρόσωπο ή το δαχτυλικό αποτύπωμά σου δεν μπορεί να «αλλάξει» αν κλαπεί ή διαρρεύσει, κάτι που καθιστά την ασφαλή αποθήκευση αυτών των δεδομένων ζήτημα πολύ μεγαλύτερης βαρύτητας απ’ ό,τι η διαρροή ενός απλού κωδικού.
Ένα μέλλον χωρίς κωδικούς, αλλά όχι χωρίς προκλήσεις
Το ερώτημα για τους οργανισμούς και τις υπηρεσίες δεν είναι πια αν οι κωδικοί πρόσβασης θα εξαφανιστούν, αλλά αν οι υποδομές ταυτοποίησής τους είναι έτοιμες για έναν κόσμο χωρίς αυτούς. Η τεχνολογία έχει πλέον ωριμάσει αρκετά ώστε να θεωρείται προεπιλογή και όχι πείραμα, όμως η πλήρης μετάβαση θα απαιτήσει χρόνια ακόμη —τόσο για να καλυφθούν τα κενά σε δημόσια και κοινόχρηστα συστήματα όσο και για να χτιστεί η εμπιστοσύνη του κοινού απέναντι στην ιδέα ότι το ίδιο του το πρόσωπο γίνεται, κυριολεκτικά, το κλειδί της ψηφιακής του ταυτότητας.