Досить використовувати паролі: чому ключі доступу є кращою альтернативою

Як працюють ключі доступу і чи справді вони безпечніші?

Технологію passkeys просуває альянс FIDO Alliance. Її вже впроваджують великі компанії – зокрема Microsoft, Amazon, Apple та Google. У своїй суті це пара криптографічних ключів, один з яких публічний і зберігається на сервері сервісу, а інший – приватний та перебуває лише на вашому пристрої або в менеджері паролів, пише 24 Канал.

Під час входу система поєднує ці два ключі після підтвердження особи через Face ID, відбиток пальця або PIN-код. Сам приватний ключ ніколи не передається на сервер, тому його неможливо викрасти через злам бази даних або перехопити.

У випадку екосистеми Apple ключі синхронізуються через iCloud Keychain, а в Android – через Google Password Manager. Багато сторонніх менеджерів, наприклад NordPass чи Proton Pass, також підтримують створення та зберігання ключів доступу.

Чому вони стійкіші до атак?

Ключі доступу мають кілька ключових переваг:

• Їх неможливо вгадати або підібрати перебором;
• Вони не працюють на фальшивих сайтах – кожен ключ прив’язаний до конкретного домену;
• При витоку даних на стороні компанії зловмисник не отримує нічого корисного.

Втім, повного захисту не існує. Експерти з кібербезпеки попереджають, що зловмисники можуть викрадати так звані сесійні cookie через шкідливе ПЗ. Якщо cookie вже підтверджений сервером, сайт вважає користувача авторизованим – незалежно від того, чи використовувався пароль або ключ доступу.

Зменшити ризик можна, встановлюючи коротший термін дії сесії в налаштуваннях cookie та не залишаючи відкриті сесії на публічних пристроях.

Поширені проблеми та обмеження

Попри очевидні переваги, технологія ще не ідеальна:

• Плутанина з термінами. Ключі доступу часто змішують із двофакторною автентифікацією або апаратними ключами безпеки. Насправді passkey вже поєднує багатофакторну перевірку.
• Залежність від пристрою. Якщо втратити телефон або доступ до менеджера паролів, відновлення акаунта може бути складним, а в деяких випадках, імовірно, неможливим.
• Обмежена підтримка. Хоча великі платформи вже додали новий спосіб входу, частина сайтів усе ще вимагає класичну пару "логін – пароль".

Як перейти на ключі доступу?

На iPhone необхідно активувати синхронізацію ключів в iCloud і дозволити автозаповнення через застосунок Apple Passwords. Після цього під час створення нового акаунта або в налаштуваннях безпеки існуючого профілю з’явиться можливість створити ключ.

На Android достатньо ввімкнути Google Password Manager. У браузерах Chrome і Edge підтримка вже інтегрована.

Багато сервісів спершу вимагають створити пароль, а потім пропонують перейти на ключі. Проте нові акаунти в деяких екосистемах можуть бути повністю "безпарольними".

Чи зникнуть паролі повністю?

Повна відмова від паролів – питання часу. Великі компанії активно рухаються в цьому напрямку. Нові акаунти Microsoft уже створюються без класичного пароля за замовчуванням.

Проте на перехідний період паролі та ключі доступу співіснуватимуть. Для користувачів оптимальна стратегія – використовувати ключі там, де це доступно, а для інших сервісів застосовувати унікальні складні паролі та менеджер паролів.