Содержание
Ко Всемирному дню паролей, который проходит 1 мая, в индустрии снова подняли старую тему: хватит «усиливать» слабые пароли, лучше заменять их на passkeys. Это способ входа, который опирается на асимметричное шифрование и подтверждение через биометрию или защиту менеджера паролей.
Идея простая: вы не запоминаете и не вводите пароль. У вас появляется «ключ» на устройстве, а сайт хранит только публичную часть. В результате утечки баз данных и фишинг бьют по вам заметно слабее.
Почему passkeys считают сильнее паролей
Passkeys работают на паре ключей: публичный и приватный. Приватный ключ хранится у вас — на телефоне, планшете, ПК, в менеджере паролей или на аппаратном ключе. Публичный ключ получает сайт, где вы включили вход.
При входе сайт отправляет запрос на подтверждение. Дальше вы авторизуете действие отпечатком, лицом или другим методом. После этого устройство создаёт цифровую подпись приватным ключом. Сайт проверяет подпись публичным ключом. Если всё сходится, вы входите в аккаунт.
Ключевой момент: при корректной реализации нельзя восстановить приватный ключ по публичному. Поэтому даже если сайт взломали, злоумышленники не получают «пароль», который можно быстро перебрать или использовать на других сервисах.
- Фишинг-устойчивость: passkeys привязаны к конкретному сайту и не «срабатывают» на подделке.
- Защита при утечках: в базе сервиса нет секретной строки, которую можно украсть и применить.
- Меньше рутины: не нужно запоминать сложные комбинации и менять их по календарю.
Где хранятся passkeys и в чём главный риск
Поддерживаемые устройства включают телефоны, планшеты, аппаратные ключи и совместимые ПК. Passkeys можно хранить локально на устройстве или в облаке — зависит от экосистемы и настроек.
Главная «морщина» у подхода одна: если вы сознательно храните ключ только локально и потеряете устройство, можно упереться в блокировку доступа. Такой сценарий реалистичен, например, при хранении на ПК с локальной учётной записью или на аппаратном ключе.
Эту проблему обычно закрывают запасным устройством или вторым аппаратным ключом. В железе такие варианты давно известны, например YubiKeys.
С чего предлагают начинать переход
Логика перехода прагматичная: начинать с аккаунтов, куда вы заходите чаще всего и где лежат деньги или персональные данные. В первую очередь называют крупные экосистемы Google, Apple и Microsoft, а затем — большие магазины и сервисы с привязанной оплатой.
Материал с этим тезисом изначально выходил в январе 2025 года под другой инфоповод, а к World Password Day 2026 его обновили и переиздали.
