Вспомните, когда вы в последний раз забыли пароль. Вы нажали «Забыли пароль?», дождались письма, придумали новый и забыли и его. Пароли — идея 1960-х годов, и они подводят нас двумя способами: они раздражают нас и полезны преступникам. Passkey решает обе проблемы.
Короткий ответ: passkey позволяет входить с помощью того же отпечатка пальца, скана лица или PIN-кода, которым вы разблокируете телефон. Ничего не нужно вводить или запоминать, и нет ничего, что мошенник мог бы выманить у вас. Настройка занимает около минуты на каждый аккаунт.
Почему пароли постоянно подводят
Пароль — это секрет, которым вы делитесь с сайтом. Эта фраза объясняет большую часть проблемы, ведь всё, чем делятся, можно скопировать, угадать или украсть. Вот как всё идёт не так:
- Мы используем их повторно. Запомнить разный пароль для каждого аккаунта почти невозможно, поэтому мы используем один и тот же во многих местах. Когда взламывают один сайт, преступники пробуют этот пароль на вашей почте и в вашем банке.
- Мы делаем их слабыми. Короткие знакомые пароли (имя, дата рождения, «123456») программе легко угадать.
- Сайты взламывают. Компания может тщательно охранять ваш пароль и всё равно потерять его. Украденные пароли часто продают и пробуют на других сайтах.
- Нас обманывают. Фишинг — это поддельное письмо, сообщение или сайт, которые выглядят настоящими и просят вас войти. Введите пароль — и он у преступника. Даже осторожные люди попадаются, потому что подделки могут выглядеть идеально.
Суть проблемы: с паролем секрет путешествует. Вы вводите его, он пересекает интернет, и сайт его проверяет. Каждый шаг — шанс для кого-то его перехватить. Passkey устроен так, что секрет не путешествует вовсе.
Что такое passkey
Passkey — это способ доказать, кто вы, не делясь секретом. Он хранится на вашем устройстве (телефоне, ноутбуке или планшете) и разблокируется тем же способом, которым вы уже разблокируете это устройство.
Представьте замок и ключ к нему. Когда вы создаёте passkey, ваше устройство создаёт подходящую пару:
- Замок (открытый ключ) отправляется на сайт. Его может увидеть любой, но он лишь проверяет ваше доказательство. Открыть ваш аккаунт он не может.
- Ключ (закрытый ключ) остаётся на вашем устройстве и никогда его не покидает. Только он может доказать, что это действительно вы.
Сайт никогда не видит ваш ключ, поэтому на сайте нет ничего, что стоило бы красть.
Как работает вход
Passkey настраивается один раз. После этого каждый вход проходит так:
- Вы заходите на сайт и выбираете вход. Устройство предлагает ваш passkey.
- Сайт присылает случайную одноразовую загадку.
- Вы подтверждаете отпечатком, лицом или PIN-кодом. Это позволяет устройству использовать ключ.
- Устройство решает загадку с помощью ключа и отправляет назад только ответ.
- Сайт проверяет ответ с помощью замка. Если он подходит, вы внутри.
Загадка каждый раз другая, поэтому копия старого ответа бесполезна. Вор, записавший ваш последний вход, не сможет его повторить.
Для любознательных: открытые стандарты, на которых это построено, называются FIDO2 и WebAuthn. Поэтому passkey одинаково работают на устройствах Apple, Google и Microsoft. Знать их вам не нужно, чтобы пользоваться passkey.
Почему это безопаснее
1. Поддельный сайт не может вас обмануть
Это главное преимущество. Passkey привязан к точному адресу сайта, для которого он создан. Если вы попали на поддельную копию своего банка, устройство просто не предложит passkey, потому что адрес неверный. На поддельной странице нет пароля, который можно ввести, а значит, нечего красть. Это работает, даже когда вы устали или спешите, потому что не зависит от того, заметите ли вы обман.
2. Взломанный сайт не даёт ворам ничего полезного
Если взломан сайт, хранящий пароли, преступники получают секреты, которые можно пробовать в других местах. Если взломан сайт, хранящий passkey, они получают только замки, а замок не может никого впустить.
3. Его нельзя использовать повторно или сделать слабым
Каждый passkey принадлежит одному сайту и создаётся вашим устройством, поэтому он всегда длинный и случайный. Версии «123456» не существует, а беда одного сайта не может перекинуться на другой.
4. Это быстрее
Вход занимает одно касание или один взгляд. Никакого набора, писем для сброса и кодов, которые нужно переписывать. Быть одновременно безопаснее и проще в сфере безопасности редкость.
Запомните так: пароль говорит «вот мой секрет, пожалуйста, проверьте». Passkey говорит «вот доказательство, что секрет у меня есть, и я не собираюсь вам его показывать».
Два главных опасения
«Мой отпечаток пальца загружается?»
Нет. Отпечаток или скан лица лишь разблокирует ключ на вашем собственном устройстве, точно так же, как разблокирует телефон. Сайт никогда его не получает. Не используете биометрию? Подойдёт и PIN-код экрана или графический ключ.
«Что, если я потеряю телефон?»
Большинство passkey резервируются в зашифрованном виде, так что открыть их можете только вы. Получите новое устройство, войдите в тот же аккаунт, и они вернутся.
| Где сохранён passkey | Если вы потеряете устройство |
|---|---|
| Apple (Связка ключей iCloud) | Войдите на новом устройстве Apple, и passkey вернутся |
| Менеджер паролей Google | Войдите в аккаунт Google на новом устройстве |
| Менеджер паролей (например, 1Password или Bitwarden) | Разблокируйте хранилище на новом устройстве |
| Физический ключ безопасности | Используйте запасной, поэтому купите два |
Можно пользоваться и ноутбуком, на котором нет вашего passkey. Ноутбук показывает QR-код, вы сканируете его телефоном, и телефон подтверждает вход. Телефон должен быть рядом, что не позволяет удалённым злоумышленникам воспользоваться этим путём.
Пароли и passkey
| Вопрос | Пароль | Passkey |
|---|---|---|
| Нужно ли его помнить? | Да | Нет |
| Отправляется ли секрет сайту? | Да | Нет, только ответ |
| Может ли поддельный сайт его украсть? | Да, если вас обманут | Нет, он работает только на настоящем сайте |
| Что раскрывает взлом сайта? | Пароли, которые пробуют в других местах | Замки, которые ничего не открывают |
| Работает везде? | Да | Пока нет, но быстро распространяется |
Настройка за пять минут
Названия меню время от времени меняются, поэтому ищите «passkey» или «параметры входа» в настройках безопасности вашего аккаунта.
- Начните с основной электронной почты. Она ключ к сбросу всего остального, поэтому защитите её первой.
- Найдите «Создать passkey» в настройках безопасности Google, Apple, Microsoft или любого другого сайта, который его предлагает.
- Подтвердите отпечатком, лицом или PIN-кодом, когда устройство попросит.
- Проверьте, где он сохранён. Вам нужно синхронизируемое место, например Связка ключей iCloud, Менеджер паролей Google или ваш менеджер паролей, чтобы была резервная копия.
- Проверьте его. Выйдите из аккаунта и снова войдите с помощью passkey.
Пока оставьте старый пароль и убедитесь, что резервная почта и номер телефона для восстановления актуальны. Затем со временем добавляйте другие аккаунты: банк, интернет-магазины и соцсети — хорошие следующие шаги.
Чего passkey не решают
Passkey — большое улучшение, а не волшебство.
- Пока не все сайты их поддерживают. Для остальных держите менеджер паролей и уникальные пароли.
- Слабое место — восстановление аккаунта. Если сайт позволяет сбросить аккаунт только по письму или SMS, преступник может обойти passkey. Берегите резервную почту и телефон.
- Блокировка телефона важна. Passkey настолько безопасен, насколько безопасен способ разблокировки устройства. Используйте надёжный PIN-код и никому его не сообщайте.
- Вредоносные программы на устройстве остаются риском. Обновляйте телефон и компьютер.
- Общедоступные и общие компьютеры. Никогда не сохраняйте passkey на компьютере, которым пользуются другие.
Коротко
- Пароли подводят, потому что это общие секреты, которые используют повторно, которые утекают и которые выманивают фишингом.
- Passkey — это замок для сайта и ключ, который остаётся на вашем устройстве.
- Ваш отпечаток или лицо никогда не покидают устройство.
- Синхронизируемые passkey переживают потерю телефона.
- Начните с почты, затем добавляйте по одному аккаунту.
Passkey не просит вас быть осторожнее, помнить больше или замечать каждый обман. Он тихо убирает самое слабое звено онлайн-безопасности: человека, вводящего секрет в поле. Начните сегодня с аккаунта, который вам было бы больнее всего потерять.