Logowanie bez hasła w firmie - passkeys, FIDO2 i Windows Hello

Hasła są najsłabszym ogniwem firmowych zabezpieczeń. Pracownicy używają tych samych haseł w wielu miejscach, zapisują je na kartkach, a nawet silne hasło można podać na fałszywej stronie logowania. Uwierzytelnianie wieloskładnikowe (MFA) znacznie podnosi poziom ochrony, ale popularne metody, takie jak kody SMS czy powiadomienia w aplikacji, też da się obejść. Logowanie bez hasła rozwiązuje ten problem u źródła. 

Czym jest logowanie bez hasła w firmie?

Logowanie bez hasła (passwordless) to sposób uwierzytelniania, w którym pracownik nie wpisuje hasła. Zamiast tego potwierdza tożsamość czymś, co ma, np. laptopem, telefonem lub kluczem sprzętowym, i czymś, czym jest lub co zna lokalnie, np. odciskiem palca, rozpoznaniem twarzy albo kodem PIN.

Najważniejsza różnica w porównaniu z hasłem polega na tym, że sekret nie opuszcza urządzenia. Logowanie opiera się na kryptografii klucza publicznego. Urządzenie pracownika przechowuje klucz prywatny, a usługa, np. Microsoft Entra ID, zna tylko klucz publiczny. Przy logowaniu urządzenie podpisuje wyzwanie wysłane przez serwer, a biometria lub PIN jedynie odblokowuje klucz na urządzeniu. Nie ma czego ukraść z serwera ani czego podać na fałszywej stronie.

Logowanie bez hasła jest jednocześnie formą MFA. Łączy posiadanie urządzenia z biometrią lub PIN-em, więc spełnia wymagania uwierzytelniania wieloskładnikowego bez dodatkowego kroku.

Dlaczego firmy odchodzą od haseł?

Phishing i przejmowanie kont

Większość przejęć kont firmowych zaczyna się od wyłudzenia hasła. Atakujący coraz częściej używają też zestawów phishingowych typu adversary-in-the-middle, które przechwytują zarówno hasło, jak i jednorazowy kod MFA. Metody bez hasła oparte na standardzie FIDO2 są odporne na takie ataki, bo klucz jest powiązany z prawdziwą domeną usługi i nie zadziała na fałszywej stronie. O tym, jak zmieniają się ataki phishingowe, piszemy w artykule phishing w erze AI.

Koszty obsługi

Resetowanie zapomnianych haseł to jedno z najczęstszych zgłoszeń do helpdesku. Każde takie zgłoszenie to czas pracownika i działu IT, a telefoniczne prośby o reset są też furtką dla socjotechniki.

Wymagania regulacyjne i ubezpieczycieli

Ustawa o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych stosowania uwierzytelniania wieloskładnikowego tam, gdzie to właściwe. Ubezpieczyciele w ankietach do polis cyber coraz częściej pytają nie tylko o MFA, ale o metody odporne na phishing, szczególnie dla kont administratorów.

Wygoda pracowników

Przyłożenie palca do czytnika lub spojrzenie w kamerę jest szybsze niż wpisywanie długiego hasła i kodu z SMS-a. Dobrze wdrożone logowanie bez hasła zwiększa bezpieczeństwo bez pogarszania wygody pracy, co rzadko się zdarza.

Jakie metody logowania bez hasła są dostępne dla firm?

W środowisku Microsoft firma ma do wyboru kilka metod. Najczęściej łączy się je, dopasowując do typu stanowiska i urządzenia.

Windows Hello for Business

Windows Hello for Business pozwala logować się do komputera z Windows i usług Microsoft za pomocą rozpoznawania twarzy, odcisku palca lub PIN-u. Klucz jest zapisany w module TPM komputera i powiązany z konkretnym urządzeniem. To naturalny wybór dla pracowników, którzy mają własny laptop służbowy. Wdrażany jest centralnie, np. przez Microsoft Intune.

Warto pamiętać, że PIN w Windows Hello nie jest hasłem. Działa tylko na danym urządzeniu i jego poznanie nie pozwala zalogować się z innego komputera.

Klucze bezpieczeństwa FIDO2

Klucze sprzętowe, np. w formie pendrive'a USB lub karty NFC, przechowują klucz prywatny w odpornym na wydobycie układzie. Pracownik podłącza klucz lub przykłada go do telefonu i potwierdza logowanie PIN-em lub odciskiem palca. Klucze FIDO2 sprawdzają się szczególnie dla:

• administratorów i osób z dostępem do wrażliwych danych,
• pracowników korzystających ze współdzielonych komputerów,
• środowisk, w których nie można używać prywatnych telefonów.

Passkeys w Microsoft Authenticator i na urządzeniach

Passkey to poświadczenie oparte na tym samym standardzie FIDO2, przechowywane w aplikacji lub systemie operacyjnym telefonu albo komputera. Microsoft Entra ID pozwala przechowywać passkeys m.in. w aplikacji Microsoft Authenticator. Pracownik loguje się na komputerze, skanując kod QR telefonem i potwierdzając to biometrią.

Microsoft Entra rozróżnia dwa rodzaje passkeys:

• Passkeys powiązane z urządzeniem (device-bound) - klucz nigdy nie opuszcza konkretnego urządzenia lub klucza sprzętowego. Zapewniają najwyższy poziom kontroli.
• Passkeys synchronizowane (synced) - klucz jest przechowywany u dostawcy, np. w pęku kluczy Apple lub menedżerze haseł Google, i synchronizowany między urządzeniami użytkownika. Są wygodniejsze, ale firma ma mniejszą kontrolę nad tym, gdzie trafia poświadczenie.

W 2026 roku Microsoft wprowadził w Entra ID profile passkeys. Pozwalają one określić osobno dla różnych grup użytkowników, które rodzaje passkeys są dozwolone, np. tylko klucze powiązane z urządzeniem dla administratorów i także synchronizowane dla pozostałych pracowników. Microsoft automatycznie włączył te profile w dzierżawach, które same tego nie zrobiły. Dlatego warto sprawdzić obecne ustawienia w centrum administracyjnym Microsoft Entra, w sekcji metod uwierzytelniania.

Logowanie telefonem w Microsoft Authenticator

Aplikacja Authenticator umożliwia też logowanie telefonem bez hasła, w którym użytkownik potwierdza powiadomienie, dopasowując wyświetloną liczbę. Ta metoda jest wygodna i eliminuje hasło, ale nie jest tak odporna na phishing jak passkeys i klucze FIDO2.

Platform SSO dla komputerów Mac

Firmy korzystające z komputerów Apple mogą wdrożyć Platform SSO, które łączy logowanie do macOS z kontem Entra ID i pozwala używać klucza zapisanego w bezpiecznym układzie komputera.

Porównanie metod logowania bez hasła

Jak wdrożyć logowanie bez hasła w firmie?

Krok 1. Sprawdź punkt wyjścia

Ustal, jakie metody uwierzytelniania są dziś włączone, ilu użytkowników ma MFA i jakie urządzenia są w użyciu. Ważne są też aplikacje, które nie obsługują nowoczesnego logowania. Starsze systemy lokalne mogą wymagać hasła jeszcze przez jakiś czas.

Krok 2. Uporządkuj tożsamość i urządzenia

Logowanie bez hasła działa najlepiej, gdy konta są zarządzane w Microsoft Entra ID, a komputery zarejestrowane w Intune. W tym obszarze pomagamy w ramach usługi wdrożenie Microsoft Entra ID.

Krok 3. Dobierz metody do grup pracowników

Przykładowy podział:

• administratorzy IT - klucze FIDO2 lub passkeys powiązane z urządzeniem,
• zarząd i finanse - Windows Hello for Business i passkey w Authenticatorze jako metoda zapasowa,
• pracownicy biurowi i zdalni - Windows Hello for Business i passkey w Authenticatorze,
• stanowiska współdzielone i produkcja - klucze FIDO2 lub karty NFC.

Krok 4. Zaplanuj rejestrację metod

Pierwsza rejestracja jest kluczowym momentem. Jeśli pracownik rejestruje passkey po zalogowaniu się samym hasłem, atakujący znający to hasło mógłby zrobić to samo. Bezpieczniejszym rozwiązaniem jest Temporary Access Pass (TAP), czyli jednorazowy kod wydawany przez dział IT, który pozwala zarejestrować metodę bez hasła. TAP sprawdza się też przy wdrażaniu nowych pracowników i odzyskiwaniu dostępu po utracie telefonu.

Krok 5. Wymuś silne metody dostępem warunkowym

Microsoft Entra ID pozwala tworzyć reguły dostępu warunkowego wymagające określonej siły uwierzytelniania (authentication strength), np. wyłącznie metod odpornych na phishing przy logowaniu administratorów lub dostępie do wrażliwych aplikacji. Wymaga to licencji Entra ID P1, dostępnej m.in. w Microsoft 365 Business Premium. Jak skonfigurować pozostałe zabezpieczenia, opisujemy w artykule jak zabezpieczyć Microsoft 365 w firmie.

Krok 6. Wdrażaj etapami

Zacznij od działu IT i administratorów, potem rozszerzaj na kolejne działy. Każdy etap to okazja, by poprawić instrukcje dla użytkowników i procedury helpdesku.

Krok 7. Ogranicz i wyłącz słabe metody

Docelowo warto wyłączyć kody SMS i połączenia głosowe jako metody MFA oraz ograniczyć użycie hasła tam, gdzie to możliwe. Hasło może pozostać technicznie przypisane do konta, ale użytkownicy przestają z niego korzystać na co dzień.

Co z systemami, które wymagają hasła?

Nie wszystkie systemy w firmie obsługują logowanie bez hasła. Starsze aplikacje lokalne, urządzenia sieciowe czy panele dostawców zewnętrznych często wciąż wymagają hasła. Dla takich przypadków warto:

• przenieść logowanie do aplikacji na Entra ID przez jednokrotne logowanie (SSO), jeśli aplikacja na to pozwala,
• przechowywać hasła w firmowym menedżerze haseł, np. Vaultwarden, zamiast w przeglądarkach i arkuszach,
• stosować unikalne, generowane hasła i MFA wszędzie tam, gdzie to możliwe.

Logowanie bez hasła i menedżer haseł nie wykluczają się. W okresie przejściowym zwykle działają obok siebie.

Jakie są najczęstsze błędy przy wdrażaniu logowania bez hasła?

• Brak metody zapasowej. Pracownik gubi telefon lub klucz i nie może się zalogować. Każdy użytkownik powinien mieć co najmniej dwie zarejestrowane metody albo dostęp do procedury z TAP.
• Niezabezpieczona rejestracja. Rejestracja passkey po samym haśle osłabia całe wdrożenie.
• Zostawienie słabych metod. Jeśli SMS nadal jest dozwolony, atakujący wybierze właśnie tę drogę.
• Brak komunikacji z pracownikami. Nowy sposób logowania bez wyjaśnienia budzi opór i zwiększa liczbę zgłoszeń do helpdesku.
• Brak decyzji o passkeys synchronizowanych. Domyślne ustawienia mogą dopuszczać rodzaje passkeys, których firma świadomie nie wybrała.

Jak możemy pomóc?

W Lemon Pro pomagamy firmom zaplanować i wdrożyć logowanie bez hasła w środowisku Microsoft: od audytu metod uwierzytelniania, przez konfigurację Windows Hello for Business, passkeys i reguł dostępu warunkowego, po przygotowanie instrukcji dla pracowników i procedur dla helpdesku. Wdrożenie łączymy z szerszym zabezpieczeniem środowiska w ramach usługi bezpieczeństwo w Microsoft 365. Jeśli chcesz najpierw sprawdzić, jak wypada Twoja obecna konfiguracja, zacznij od testu bezpieczeństwa Microsoft 365.

FAQ - najczęstsze pytania o logowanie bez hasła w firmie

Na czym polega logowanie bez hasła?

Pracownik nie wpisuje hasła, tylko potwierdza tożsamość urządzeniem, np. laptopem, telefonem lub kluczem sprzętowym, oraz biometrią lub PIN-em. Logowanie opiera się na kryptografii klucza publicznego, więc sekret nie opuszcza urządzenia i nie da się go wyłudzić na fałszywej stronie.

Czym jest passkey?

Passkey to poświadczenie zgodne ze standardem FIDO2, które zastępuje hasło. Może być przechowywane w aplikacji Microsoft Authenticator, w systemie operacyjnym urządzenia lub na kluczu sprzętowym. Jest powiązane z prawdziwą domeną usługi, dlatego jest odporne na phishing.

Czy logowanie bez hasła jest bezpieczniejsze niż MFA?

Logowanie bez hasła jest formą MFA, bo łączy posiadanie urządzenia z biometrią lub PIN-em. Metody oparte na FIDO2, takie jak passkeys, klucze sprzętowe i Windows Hello for Business, są odporne na phishing, w przeciwieństwie do kodów SMS czy zwykłych powiadomień push.

Czy PIN w Windows Hello to to samo co hasło?

Nie. PIN w Windows Hello for Business działa tylko na konkretnym urządzeniu i odblokowuje klucz zapisany w jego module TPM. Osoba, która pozna PIN, nie zaloguje się nim z innego komputera.

Co się stanie, gdy pracownik zgubi telefon lub klucz?

Dlatego każdy użytkownik powinien mieć co najmniej dwie zarejestrowane metody logowania. Dział IT może też wydać jednorazowy kod Temporary Access Pass, który pozwala zalogować się i zarejestrować nową metodę.

Czy logowanie bez hasła wymaga Microsoft 365 Business Premium?

Podstawowe metody bez hasła, takie jak passkeys w Microsoft Authenticator czy Windows Hello for Business, można włączyć w Microsoft Entra ID bez dodatkowych licencji. Wymuszanie metod odpornych na phishing za pomocą dostępu warunkowego wymaga Entra ID P1, dostępnego m.in. w Business Premium.

Podsumowanie od zespołu

Logowanie bez hasła usuwa z firmy najczęściej atakowany element zabezpieczeń. Passkeys, klucze FIDO2 i Windows Hello for Business chronią przed phishingiem, zmniejszają liczbę zgłoszeń do helpdesku i są wygodniejsze dla pracowników. Kluczem do udanego wdrożenia jest dobór metod do grup użytkowników, bezpieczna rejestracja, metody zapasowe i wyłączenie słabszych opcji. Jeśli chcesz zaplanować takie wdrożenie w swojej firmie, skontaktuj się z nami.