Що таке PassKey і як входити без пароля?
Автор: Редакція Domeny.ForSale Опубліковано
Коротко: Passkey, або ключ доступу, — це спосіб входу в обліковий запис без введення пароля. Зазвичай вхід підтверджують відбитком пальця, розпізнаванням обличчя або PIN-кодом пристрою. Ключ доступу прив’язаний до конкретного сервісу, тому значно краще за звичайний пароль захищає від викрадення даних на підробленому сайті.
Як працює passkey і чим він відрізняється від пароля?
Під час створення ключа доступу утворюється пара криптографічних ключів — математично пов’язаних даних: відкритий і приватний ключі. Сервіс зберігає відкритий ключ, а приватний залишається під контролем вашого пристрою або постачальника, який зберігає та синхронізує ключі доступу. Під час входу приватний ключ не передається сервісу.
Коли ви хочете ввійти в обліковий запис, сервіс надсилає одноразовий запит для перевірки. Після вашого підтвердження пристрій підписує його приватним ключем, а сервіс перевіряє підпис за допомогою відкритого ключа. Вам не потрібно запам’ятовувати чи вводити жодних секретних даних.
Відбиток пальця, скан обличчя та PIN — це не сам passkey. Вони потрібні, щоб безпосередньо на пристрої підтвердити ваше право використати ключ. Під час звичайного входу за допомогою passkey сервіс не отримує вашого відбитка пальця чи зображення обличчя. PIN пристрою також не стає паролем до сайту.
Passkey — це й не звичайний пароль, збережений у браузері. Менеджер паролів може заповнити поля логіна й пароля, а ключ доступу використовує інший механізм автентифікації. Водночас той самий менеджер може підтримувати обидва способи.
Від чого захищає ключ доступу?
Головна перевага passkey — стійкість до типового фішингу, коли зловмисники видають себе за сервіс, щоб виманити дані для входу. Ключ прив’язаний до ідентифікатора сервісу, що ґрунтується на його домені. Підроблений сайт за іншою адресою не може просто попросити браузер використати ключ справжнього сервісу.
Наприклад, ви отримуєте повідомлення про нібито блокування облікового запису в магазині. Посилання веде на сайт, дуже схожий на справжній, але розміщений на іншому домені. Звичайний пароль ви можете помилково ввести на такому сайті, а відповідний passkey на ньому не спрацює.
Витік відкритих ключів із сервісу не дає змоги безпосередньо відновити відповідні приватні ключі чи ввійти лише за допомогою відкритого ключа. Також зникає проблема використання одного пароля в кількох сервісах.
Це не означає захисту від будь-якої атаки. Шкідливе програмне забезпечення, перехоплений активний сеанс або ненадійна процедура відновлення облікового запису й далі можуть становити загрозу. Якщо сервіс залишає можливість входу за паролем чи відновлення доступу через електронну пошту, безпека цих способів залишається важливою.
Де зберігається passkey?
Від способу зберігання залежить, чи зможете ви ввійти також з іншого пристрою. Не кожен ключ доступу автоматично доступний усюди.
- Синхронізовані ключі постачальник робить доступними на сумісних пристроях, наприклад через системний або сторонній менеджер облікових даних. Доступ до них залежить від облікового запису в постачальника та його правил відновлення доступу.
- Ключі, прив’язані до пристрою, залишаються на конкретному пристрої, наприклад на апаратному ключі безпеки. Вони не копіюються автоматично на інші пристрої.
Телефон також може підтвердити вхід на комп’ютері, де ваш passkey не зберігається. Якщо такий спосіб підтримується, комп’ютер показує код QR, ви скануєте його телефоном і підтверджуєте вхід. Зазвичай потрібні інтернет і Bluetooth для підтвердження того, що пристрої перебувають поруч. Це не означає, що ключ буде збережено на комп’ютері.
Підтримка залежить від сервісу, системи, браузера й менеджера облікових даних. Перш ніж змінити телефон або перейти до іншої екосистеми, перевірте в офіційній документації постачальника актуальні можливості синхронізації та перенесення ключів.
Як увімкнути passkey для свого облікового запису?
Самостійно ввімкнути ключ доступу для будь-якого сайту неможливо — сервіс має підтримувати цю функцію. Відповідна опція зазвичай розташована в налаштуваннях безпеки облікового запису під назвою «Ключі доступу» або «Passkeys».
- Увійдіть у сервіс звичним способом і відкрийте налаштування безпеки.
- Виберіть додавання ключа доступу. Перевірте, де він буде збережений: у менеджері облікових даних чи на апаратному ключі.
- Підтвердьте створення ключа способом, який запропонує пристрій.
- Перевірте новий спосіб входу, поки у вас ще є активний сеанс або інший спосіб доступу.
- Якщо сервіс це дозволяє, додайте другий ключ на незалежному пристрої або підготуйте коди відновлення.
Використовуйте для цього власний захищений пристрій. Не зберігайте особистий ключ доступу в профілі браузера на загальнодоступному комп’ютері чи комп’ютері спільного користування.
Що робити, якщо ви загубили телефон?
Втрата телефона не обов’язково означає втрату облікового запису. Синхронізований passkey може бути доступний на іншому сумісному пристрої, а додатковий апаратний ключ — забезпечити незалежний спосіб входу. Якщо єдиний ключ був прив’язаний до втраченого пристрою, може знадобитися процедура відновлення доступу, яку пропонує сервіс.
Після втрати пристрою скористайтеся функцією його віддаленого блокування та перевірте активні сеанси в облікових записах. Коли відновите доступ, за потреби видаліть облікові дані, пов’язані з утраченим пристроєм, відповідно до інструкцій постачальника.
Перш ніж вимкнути вхід за паролем, виконайте одну практичну перевірку: спробуйте ввійти без свого основного телефона. Так ви дізнаєтеся, чи справді маєте запасний спосіб доступу, а не лише сподіваєтеся, що синхронізації буде достатньо.
Читайте також: Що таке 2FA?
Читайте також
