Что такое ключи доступа (passkey)
Ключ доступа (по-английски passkey) — способ входить на сайт без пароля. Вместо пароля вход подтверждается так же, как разблокировка телефона или компьютера: отпечатком пальца, лицом или PIN-кодом устройства. Ключи доступа поддерживают учётные записи Google, Apple и Майкрософт и всё больше других сайтов.
Как это работает
При создании ключа доступа ваше устройство создаёт пару ключей:
- закрытый ключ остаётся на устройстве или в вашем менеджере паролей и никуда не отправляется;
- открытый ключ получает сайт.
При входе сайт присылает случайную задачу, устройство решает её закрытым ключом — после того как вы подтвердили вход отпечатком или PIN-кодом, — а сайт проверяет ответ открытым ключом. Пароля, который можно украсть, подсмотреть или подобрать, просто нет. Утечка базы сайта бесполезна: в ней только открытые ключи.
Главное преимущество — защита от фишинга. Ключ привязан к адресу сайта, для которого создан. На поддельном сайте с похожим адресом устройство его не предложит, и выманить вход нельзя. Ключи доступа основаны на открытых стандартах FIDO2 и WebAuthn — тех же, что и аппаратные ключи безопасности.
Как создать
- Откройте настройки безопасности аккаунта на официальном сайте или в приложении.
- Найдите пункт с ключами доступа (passkey) и выберите создание ключа.
- Подтвердите отпечатком, лицом или PIN-кодом устройства.
- Проверьте: выйдите и войдите снова — сайт предложит ключ доступа.
Многие сайты сами предлагают создать ключ после входа по паролю.
Где хранится ключ
- в менеджере паролей системы — менеджер паролей Google на Android и в Chrome, «Пароли» (связка ключей iCloud) на iPhone и Mac. Ключ синхронизируется между вашими устройствами через аккаунт;
- в отдельном менеджере паролей, если он поддерживает ключи доступа;
- в аппаратном ключе безопасности — тогда ключ не покидает его.
Войти с чужого компьютера можно с помощью своего телефона: сайт показывает QR-код, вы сканируете его телефоном и подтверждаете вход на нём.
Подводные камни
- Потеря телефона. Если ключ синхронизирован через аккаунт, он появится на новом устройстве после входа в этот аккаунт. Если ключ хранился только на одном устройстве — пригодятся другой способ входа, резервные коды или второй ключ. Не удаляйте все остальные способы входа сразу.
- Блокировка экрана обязательна. Ключ доступа защищён так же, как ваш телефон: PIN-код из 6 цифр или пароль, а не «провести по экрану».
- Ключ — не код для передачи. Его нельзя продиктовать и не нужно никому показывать. Если кто-то просит отсканировать QR-код «для подтверждения» вне вашего собственного входа — это мошенник.
Подробнее о втором шаге входа и аппаратных ключах — урок Двухфакторная аутентификация.