Ключ доступу (passkey)

Що це означає

Passkey - спосіб входу без пароля на основі стандарту FIDO. Користувач підтверджує себе так само, як розблоковує телефон чи комп’ютер, тобто відбитком пальця, обличчям або PIN-кодом, а пристрій потім доводить сервісу особу криптографічним ключем, який ніколи не залишає пристрій.

Головна перевага - стійкість до фішингу. Ключ прив’язаний до конкретного домену, тож на підробленій сторінці, яка лише видає себе за банк чи пошту, вхід просто не спрацьовує. Зловмисникові нічого виманити, бо користувач не вводить жодного секрету.

Passkey замінює пароль і водночас виконує роль, яку раніше мала двофакторна автентифікація: поєднує те, що користувач має, тобто пристрій, із тим, ким він є чи що знає, тобто біометрією або PIN-кодом. Його можна синхронізувати між пристроями через обліковий запис виробника або менеджер паролів.

Як це працює на практиці

Фірмам ми радимо вмикати passkey спершу там, де витік доступу вдарив би найсильніше: корпоративна пошта, інтернет-банк, облікова система й доступи до державних порталів. Саме зламана пошта часто стає входом для BEC-шахрайства з підробленими платіжними дорученнями.

Під час упровадження треба продумати відновлення доступу. Кожен працівник має мати щонайменше два способи входу, наприклад passkey у телефоні й у ноутбуці або апаратний ключ, щоб втрата одного пристрою не означала заблокованого облікового запису.

Якщо працівники працюють зі своїх пристроїв у режимі BYOD, фірма має знати, де зберігаються корпоративні passkey і як їх відкликають, коли працівник іде. Адміністратор доступів має видалити їх у той самий день, коли закінчуються трудові відносини.

На що звернути увагу

Passkey захищає вхід, а не весь пристрій. Якщо телефон розблокований і в чужих руках або заражений шкідливим кодом, зловмисник може діяти від імені користувача. Тому блокування екрана й оновлена система залишаються обов’язковими.

Ризик і в тому, щоб лишити старий пароль запасним шляхом. Поки пароль до облікового запису працює, його можна виманити й використати. Після впровадження passkey варто змінити пароль на довгий випадковий і зберігати його лише в менеджері або зовсім вимкнути, якщо сервіс це дозволяє.