Что такое Passkey?

Ключ доступа — это современный метод аутентификации без пароля, который использует криптографию с открытым ключом. Вместо пароля пользователи проходят аутентификацию с помощью пары криптографических ключей: открытого ключа, хранящегося в сервисе, и закрытого ключа, надежно хранящегося на устройстве пользователя или в менеджере паролей.

Аутентификация при использовании ключей доступа обычно включает биометрию (например, отпечаток пальца или распознавание лица), PIN-код или графический ключ, аналогично разблокировке смартфона. Большинство пользователей выберут биометрию для удобства.

Как работают ключи доступа?

Ключи доступа работают, используя криптографию с открытым ключом, чтобы вы могли входить на веб-сайты и в приложения без необходимости вводить традиционный пароль. Вот как они работают, шаг за шагом:

1. Настройка ключа доступа

Пользователь входит в свою учетную запись как обычно.
В настройках безопасности включают опцию ключа доступа.
Приложение или веб-сайт предлагает пользователю сохранить ключ доступа, связанный с его устройством.
Если вы используете менеджер паролей, он предложит вам создать и сохранить ключ доступа.
Для подтверждения настройки запрашивается биометрическая аутентификация (например, Face ID, отпечаток пальца).
Ключ доступа надежно хранится на устройстве или в менеджере паролей.

2. Вход с помощью ключа доступа

При последующих входах в систему пользователю предлагается пройти аутентификацию с использованием сохраненного ключа доступа.
Пароль не требуется, только код доступа.

3. Межустройственная аутентификация

Если пользователь пытается войти на устройство без ключа доступа, он может пройти аутентификацию с использованием другого устройства.
Браузер может отобразить QR-код для сканирования с мобильного устройства, чтобы завершить процесс входа.
Bluetooth часто используется для обеспечения близости и безопасности при аутентификации между устройствами.
Если вы используете менеджер паролей, ключ доступа можно получить и использовать на нескольких устройствах.

Ключи доступа и пароли: в чем разница?

Поскольку организации и платформы внедряют ключи доступа, важно понимать, чем они отличаются от традиционных паролей и почему они представляют собой значительный прогресс в области цифровой безопасности и пользовательского опыта.

Вот ключевые различия между ключами доступа и паролями:

Процесс создания

Пароли требуют от пользователей вручную создавать и запоминать надежные, уникальные учетные данные, что может быть сложной задачей. Тем не менее, ключи доступа генерируются автоматически, что означает, что пользователям не нужно беспокоиться о создании или запоминании чего-либо. После настройки они смогут легко войти, используя свое устройство или менеджер паролей.

Устойчивость к фишингу

Пароли уязвимы для фишинга, так как пользователи вводят их вручную, что делает их подверженными фальшивым веб-сайтам. С другой стороны, ключи доступа устойчивы к фишингу. Поскольку вводить ничего не нужно, киберпреступники не могут украсть данные для входа через фишинговые атаки.

Риск компрометации

Пароли легко скомпрометировать, особенно если пользователи повторно используют их или выбирают слабые. Если пароль будет скомпрометирован, киберпреступник сможет немедленно его использовать. Однако ключи доступа более безопасны. Приватный ключ никогда не хранится на сервере; поэтому даже если сервер будет взломан, один только публичный ключ бесполезен без приватного ключа.

Поддержка сайта

Хотя пароли поддерживаются повсеместно, ключи доступа все еще внедряются. Крупные веб-сайты, такие как Apple, Google и PayPal, теперь поддерживают их, но многие сайты по-прежнему полагаются на пароли. Чтобы узнать, какие сайты поддерживают ключи доступа, ознакомьтесь с каталогом ключей доступа Keeper.

Ключ доступа	Пароль
Автоматически создано	Создано пользователем
Устойчивый к фишингу	Подверженность фишинговым угрозам
Нельзя легко скомпрометировать	Легко скомпрометировать, если они слабые
В настоящее время поддерживается ограниченным числом веб-сайтов	Поддерживается на всех веб-сайтах

Преимущества использования ключей доступа

Ключи доступа предлагают ряд преимуществ, обеспечивая более безопасный и удобный способ аутентификации в интернете.

Более надежная защита

Большинство людей испытывают трудности с гигиеной паролей, часто выбирая короткие, легко угадываемые пароли, повторно используя пароли на разных сайтах или храня их небезопасно. Ключи доступа решают эту проблему, так как они автоматически генерируются и уникальны для каждой учетной записи.

Кроме того, ключи доступа используют криптографию с открытым ключом. Закрытый ключ надежно хранится на устройстве пользователя или в менеджере паролей, в то время как открытый ключ сохраняется сервисом. При входе в систему закрытый ключ подтверждает вашу личность, не будучи переданным. Это означает, что даже если сервер будет взломан, киберпреступники получат только открытый ключ, который бесполезен без закрытого ключа, что делает ключи доступа гораздо более безопасными, чем традиционные учетные данные.

Встроенная двухфакторная аутентификация (2FA)

В отличие от паролей, которые многим пользователям не удается защитить с помощью 2FA, ключи доступа по своей сути защищены ею. Чтобы использовать ключ доступа, вам нужно то, что у вас есть (ваше устройство аутентификации), и то, чем вы являетесь (биометрическая аутентификация). Встроенная функция 2FA делает ключи доступа более безопасными, чем традиционные пароли, которым часто не хватает дополнительной защиты.

Устойчивый к фишингу

Одним из основных преимуществ ключей доступа является их устойчивость к фишингу. Поскольку ключи доступа не требуют от пользователей ввода учетных данных вручную, киберпреступники не могут обманом заставить их ввести свои учетные данные на мошенническом веб-сайте. Это означает, что ключи доступа невозможно украсть с помощью фишинговых атак — в отличие от паролей, которые часто становятся их целью.

Недостатки и ограничения

Хотя ключи доступа предлагают множество преимуществ, все же существуют некоторые ограничения:

Поддержка веб-сайта остается неполной

Несмотря на ускоренное внедрение, ключи доступа по-прежнему не поддерживаются повсеместно. Многие небольшие или устаревшие веб-сайты и приложения по-прежнему зависят от паролей, что означает, что пользователям часто приходится управлять обеими системами параллельно. Согласно данным FIDO Alliance, около 48% из 100 самых популярных веб-сайтов в настоящее время поддерживают ключи доступа, что свидетельствует о значительном прогрессе, но не о полном охвате.

Зависимость от устройства по-прежнему существует

Ключи доступа обычно привязаны к определённым устройствам или экосистемам. Если пользователь потеряет доступ к устройству, у него могут возникнуть трудности с доступом к учетным записям, если ключи доступа не синхронизированы или не перенесены. Один из способов предотвратить это — хранить ключи доступа в менеджере паролей, таком как Keeper.

Принятие во всех сервисах продолжается

Несмотря на высокую динамику, большинство людей по-прежнему используют пароли в качестве метода входа по умолчанию. Пользователям следует ожидать, что в обозримом будущем им придется поддерживать менеджер паролей или стратегию резервного копирования, так как переход к миру без паролей все еще в процессе.

Будущее ключей доступа

Хотя ключи доступа могут заменить пароли, они не устранят необходимость в менеджерах паролей. На самом деле, они могут сделать их более значимыми.

Это связано с тем, что ключи доступа привязаны к аутентификатору, который может быть либо:

Устройство, например, смартфон, планшет или ноутбук
Менеджер паролей, поддерживающий ключи доступа

На первый взгляд, использование смартфона в качестве основного средства аутентификации кажется удобным — ведь большинство людей всегда носят свои телефоны с собой. Однако в действительности полагаться исключительно на одно устройство может быть неудобно, особенно для пользователей, которые переключаются между несколькими устройствами.

Например, если вы пытаетесь войти на ноутбуке или планшете без телефона поблизости, вам необходимо:

Создайте QR-код на устройстве, которое вы используете
Отсканируйте его с помощью вашего смартфона (аутентификатора)
Подтвердите свою личность с помощью биометрии, такой как Face ID или отпечаток пальца

Это дополнительное трение подчеркивает преимущества использования менеджера паролей, который поддерживает синхронизацию ключей доступа на различных устройствах. Keeper, который поддерживает ключи доступа уже несколько лет, упрощает процесс входа, связывая ключи доступа с приложением, а не полагаясь исключительно на физическое устройство. Этот подход значительно упрощает и делает более бесшовным доступ к учетным записям на нескольких устройствах.