Ключ доступа (passkey)

Что это значит

Passkey - способ входа без пароля на основе стандарта FIDO. Пользователь подтверждает себя так же, как разблокирует телефон или компьютер, то есть отпечатком пальца, лицом или PIN-кодом, а устройство затем доказывает сервису личность криптографическим ключом, который никогда не покидает устройство.

Главное преимущество - устойчивость к фишингу. Ключ привязан к конкретному домену, поэтому на поддельной странице, которая лишь выдаёт себя за банк или почту, вход просто не срабатывает. Злоумышленнику нечего выманить, потому что пользователь не вводит никакого секрета.

Passkey заменяет пароль и одновременно выполняет роль, которую раньше играла двухфакторная аутентификация: соединяет то, что у пользователя есть, то есть устройство, с тем, кем он является или что знает, то есть биометрией или PIN-кодом. Его можно синхронизировать между устройствами через аккаунт производителя или менеджер паролей.

Как это работает на практике

Фирмам мы советуем включать passkey сначала там, где утечка доступа ударила бы сильнее всего: корпоративная почта, интернет-банк, учётная система и доступы к государственным порталам. Именно взломанная почта часто становится входом для BEC-мошенничества с поддельными платёжными поручениями.

При внедрении нужно продумать восстановление доступа. У каждого сотрудника должно быть минимум два способа входа, например passkey в телефоне и в ноутбуке или аппаратный ключ, чтобы потеря одного устройства не означала заблокированный аккаунт.

Если сотрудники работают со своих устройств в режиме BYOD, фирма должна знать, где хранятся корпоративные passkey и как их отзывают при уходе сотрудника. Администратор доступов должен удалить их в тот же день, когда заканчивается трудовой договор.

На что обратить внимание

Passkey защищает вход, а не всё устройство. Если телефон разблокирован и в чужих руках или заражён вредоносным кодом, злоумышленник может действовать от имени пользователя. Поэтому блокировка экрана и обновлённая система остаются обязательными.

Риск и в том, чтобы оставить старый пароль запасным путём. Пока пароль к аккаунту работает, его можно выманить и использовать. После внедрения passkey имеет смысл сменить пароль на длинный случайный и хранить его только в менеджере или вовсе отключить, если сервис это позволяет.