Passkey подтверждает вход подписью закрытого ключа, а сервис хранит открытый ключ. Синхронизируемые passkey могут передавать зашифрованные учётные данные между устройствами; привязанные к устройству не синхронизируются. MFA зависит от обязательной проверки пользователя; защита устройства, аккаунта синхронизации и восстановления остаётся важной.
Закрытый ключ не передаётся сервису входа
FIDO2/WebAuthn использует пару ключей. Сервис получает открытый ключ и проверяет подписи, но не получает закрытый ключ. Синхронизируемые passkey могут передавать зашифрованные данные через провайдера, а привязанные к устройству остаются в аутентификаторе. Защищайте также аккаунт синхронизации и восстановление.
Пароль
вы и сервер делите один секрет. украдут, если сервер утечёт или вы введёте его на поддельном сайте
Passkey
Утечки одного открытого ключа недостаточно для создания подписи закрытым ключом и входа.
«У сервера есть только открытый ключ» — вот что важно. Открытый ключ по определению можно публиковать, поэтому даже при утечке базы данных по нему одному войти нельзя (противоположная предпосылка по сравнению с хранением паролей → что такое хеширование).
Чем он отличается от пароля + SMS
Пароль + SMS-код
- Общий секрет (пароль) может утечь / распространяется через повторное использование
- Введёте его на поддельном сайте — и код тоже будет ретранслирован
- Обычно полагается на «я распознаю подделку»
Passkey
- Утечки одного открытого ключа недостаточно для создания подписи закрытым ключом и входа.
- Подпись привязана к домену = на поддельном сайте не завершится
- Блокирует поддельный сайт по конструкции, даже если пользователь не заметит
Фишинг с злоумышленником посередине (AiTM) ретранслирует правильный код вместе со всем остальным, даже если вы аккуратно его вводите (→ что такое фишинг). Поскольку подпись passkey привязана к домену, этот путь закрыт в принципе.
Passkey, 2FA и аппаратный ключ безопасности
Passkey описывают и как «разновидность 2FA», и как «замену паролю», поэтому термины легко перепутать. Сравним их по роли:
| Passkey | Пароль + одноразовый пароль | Аппаратный ключ безопасности | |
|---|---|---|---|
| Чем вы входите | подпись привязана к домену; PIN или биометрия, если требуется проверка пользователя | Запомненная строка + код (часто 6 цифр) | Закрытый ключ внутри USB/NFC-ключа + PIN или касание |
| Что хранит сервер | Открытый ключ | Хеш пароля (плюс секрет для генерации кодов у приложений-аутентификаторов) | Открытый ключ |
| Если использовать на поддельном сайте | Подпись не завершится | И пароль, и код можно ретранслировать | Подпись не завершится |
| Если потерять устройство | Синхронизируемые passkey работают на другом устройстве | Нужен перенос аутентификатора или коды восстановления | Может потребоваться резервный ключ или другое поддерживаемое восстановление |
| Лучше всего подходит | Почти для всех личных случаев | Для сервисов без поддержки passkey | Для учётных записей администраторов и людей с высоким риском |
Аппаратный ключ с поддержкой FIDO2 может хранить привязанный к устройству passkey без облачной синхронизации. Резервный ключ или другой поддерживаемый способ восстановления помогает избежать блокировки. что такое двухфакторная аутентификация / что такое одноразовый пароль (OTP).
Синхронизируемые и привязанные к устройству passkey
В зависимости от места хранения passkey бывают двух видов.
- Синхронизируемые passkey: хранятся в Связке ключей iCloud, Менеджере паролей Google или в приложении менеджера паролей и доступны на других ваших устройствах, где выполнен вход в тот же аккаунт. Потеря одного устройства с меньшей вероятностью лишит вас доступа
- Привязанные к устройству passkey: хранятся только внутри устройства, которое их создало, например аппаратного ключа безопасности. Поскольку они не синхронизируются, вы точно контролируете, где они находятся
NIST SP 800-63B-4 (июль 2025) допускает синхронизируемые аутентификаторы при AAL2 с соблюдением требований, включая проверку пользователя и защиту инфраструктуры синхронизации. AAL3 требует неэкспортируемых ключей и дополнительных мер; отсутствие синхронизации само по себе не означает соответствия. Выбирайте по требуемому уровню, защите устройства и аккаунта синхронизации и условиям восстановления.
Слабые места, которые остаются после добавления passkey
Даже если сам passkey устойчив к поддельным сайтам, аккаунт защищён не лучше, чем его самый слабый способ входа.
- Вход по паролю всё ещё включён: во многих сервисах после добавления passkey вход по паролю и SMS-коду остаётся. Поддельный сайт запросит этот оставшийся способ вместо passkey
- Слабое восстановление: если для восстановления аккаунта достаточно SMS или зарегистрированной почты, это и станет входом. Защитите passkey и сам почтовый аккаунт для восстановления
- Слабая блокировка устройства: passkey становится доступен при разблокировке устройства, поэтому избегайте легко угадываемого PIN-кода блокировки экрана
Реальный пример: захват брокерских счетов и обязательные passkey
В 2025 году в Японии было много случаев, когда логины и пароли, украденные через поддельные сайты под видом брокерских компаний, использовались для несанкционированных сделок на чужих брокерских счетах. Агентство финансовых услуг Японии (FSA) на своей странице с предупреждением сообщает, что устойчивая к фишингу MFA, например passkey, становится обязательной, и призывает пользователей как можно скорее её настроить.
Ассоциация дилеров ценных бумаг Японии (JSDA) пересмотрела руководство по предотвращению несанкционированного доступа в онлайн-торговле; изменения вступили в силу 15 октября 2025 года. Оно требует от компаний внедрить устойчивую к фишингу MFA (например, аутентификацию на основе passkey или PKI) для важных действий — входа, вывода средств и смены банковского счёта для вывода — и сделать её обязательной по умолчанию. Клиентам без нужного устройства должна предлагаться альтернативная MFA.
Два урока из этого случая:
- Отрасль перешла от «бдительности пользователя» к «проектированию»: призывы распознавать поддельные сайты не остановили потери, поэтому по умолчанию стала аутентификация, которая не завершается на поддельном сайте
- В качестве примеров названы passkey и PKI, а не способы, при которых человек читает и вводит код: NIST также указывает, что вводимые вручную одноразовые пароли не могут быть устойчивыми к фишингу
Конкретные шаги для клиента брокера — вход по passkey и уведомления об операциях — см. в нашей статье о несанкционированном доступе у подрядчика Daiwa Securities (на английском).
Как проверить свои аккаунты и сервисы
Проверьте, поддерживают ли ваши важные аккаунты passkey
Поищите пункт «passkey» в настройках безопасности почты, менеджера паролей, облака, брокерского и банковского счетов, а также GitHub. В списке менеджера паролей также видно, для каких сервисов passkey уже сохранён.
Зарегистрируйте второе устройство или запасной ключ
Для синхронизируемых passkey убедитесь, что они работают на другом устройстве, где выполнен вход в тот же аккаунт. Если вы используете несинхронизируемые аппаратные ключи, зарегистрируйте запасной и храните его в другом месте.
Закройте обходные пути через пароль и SMS
После добавления passkey проверьте, можно ли по-прежнему войти или восстановить доступ только по паролю или только по SMS-коду. Если есть настройка, позволяющая обходиться без пароля или удалить SMS, используйте её. Храните коды восстановления в отдельном месте, например в менеджере паролей.
Если вы разрабатываете сервис, проверьте проверку домена и восстановление
При внедрении passkey (WebAuthn) проверяйте на сервере, что подпись относится к вашему домену (RP ID) и origin. Не пишите проверку подписи сами — используйте проверенную библиотеку. А если остался путь восстановления, которому достаточно одного SMS, он станет слабым местом и после запуска passkey.
Мнение этого сайта: не нужно заменять всё сразу
Passkey мощны, но сегодня не обязательно переводить каждый аккаунт полностью на беспарольный вход. Наша позиция: мигрируйте сначала важные аккаунты. Добавьте passkey к аккаунтам, через которые вы восстанавливаете другие аккаунты или управляете ими, — почта, облако, ваш менеджер паролей — и настройте восстановление (регистрация на нескольких устройствах, резервная копия). Для сервисов, где остаётся пароль, защищайте их менеджером паролей и устойчивой к фишингу MFA, а затем переходите на passkey по мере того, как каждый сервис добавляет поддержку.
Источники (первичные)
- FIDO Alliance, «Passkeys» — fidoalliance.org (определение, синхронизируемые и привязанные к устройству passkey, устойчивость к фишингу)
- W3C, «Web Authentication: An API for accessing Public Key Credentials Level 3» — w3.org (учётные данные, привязанные к RP ID и origin)
- NIST SP 800-63B-4, «Digital Identity Guidelines: Authentication and Authenticator Management» (июль 2025) — pages.nist.gov (синхронизируемые passkey допустимы на AAL2, но не на AAL3; что считается устойчивым к фишингу; сравнение биометрии на устройстве)
- Ассоциация дилеров ценных бумаг Японии, пересмотр руководства по предотвращению несанкционированного доступа в онлайн-торговле (15 октября 2025, на японском) — jsda.or.jp (PDF)
- Агентство финансовых услуг Японии, предупреждение о несанкционированном доступе и сделках в онлайн-брокерских сервисах (на японском) — fsa.go.jp
- passkeys.dev (руководство для разработчиков, внедряющих passkey) — passkeys.dev
Читать дальше
- Обучение: как выбрать менеджер паролей (он также хранит/синхронизирует passkey)
- Двухфакторность: как правильно выбрать MFA (что значит устойчивость к фишингу) / настройка 2FA на GitHub (добавление passkey как резервного способа)
- Как это работает: как безопасно хранить пароли / Глоссарий: что такое фишинг
- Глоссарий: что такое двухфакторная аутентификация / что такое одноразовый пароль (OTP) (способы, с которыми сравнивают passkey)