В декабре 2024 года Microsoft объявила о переходе на Passkeys и начале удаления паролей из аккаунтов более миллиарда пользователей. По данным Forbes от декабря 2024 года, технология уже внедрена в Windows Hello и Microsoft Entra ID. Вход в систему осуществляется с помощью криптографического ключа, который хранится на устройстве. Биометрия и PIN используются только как метод разблокировки приватного ключа.
Passkeys основаны на стандартах FIDO21 и WebAuthn2. Информационный портал SecurityLab объясняет, что при регистрации создаётся пара ключей — приватный и публичный. Публичный хранится на сервере, приватный — на устройстве пользователя. Аутентификация происходит путём локального подтверждения, что исключает возможность перехвата данных. Это защищает от фишинга и атак методом подбора.
QuickLaunch уточняет, что Passkeys совместимы с биометрическими системами на Android, iOS и Windows, а также поддерживаются основными браузерами — Chrome, Safari, Edge, Firefox. Система не требует хранения паролей, одноразовых кодов или подтверждений по SMS. Все операции проходят на устройстве, которое выступает доверенной средой. Это полностью исключает участие сторонних каналов связи, часто уязвимых в случае классической двухфакторной аутентификации.
Google реализовал поддержку Passkeys в мае 2023 года, что позволило пользователям входить в Gmail, YouTube и другие сервисы без ввода пароля. Аутентификация осуществляется через биометрию или PIN, синхронизация ключей происходит через Google Password Manager. Google подчёркивает, что передача данных между устройствами также защищена сквозным шифрованием. Это позволило устранить необходимость запоминать пароли или хранить их в менеджерах.
Apple добавила поддержку Passkeys в iCloud Keychain в 2022 году. Пользователи могут входить в аккаунты с помощью Face ID или Touch ID, а сами ключи синхронизируются через зашифрованное облачное хранилище iCloud. Ключи могут использоваться кросс-платформенно — например, на Windows через браузер Chrome, если пользователь входит с Apple ID. Такая архитектура обеспечивает полную автономию от паролей и защищает от атак, которые направлены на перехват или подбор данных.
По информации SecurityLab от апреля 2024, Passkeys уже используются в таких сервисах, как PayPal, eBay, Amazon, GitHub. Все они реализуют локальную верификацию на устройстве пользователя, при этом сервер никогда не получает доступ к биометрии или приватным ключам. Такой подход исключает возможность утечки данных даже при компрометации базы данных компании, поскольку в ней не хранится ни пароль, ни полезная с точки зрения атак информация.
Переход к безпарольной аутентификации связан с ростом числа атак на классические системы входа. Forbes указал, что в 2023 году число атак на учётные записи выросло на 200%. Особенно уязвимыми остаются SMS и email-подтверждения, которые могут быть перехвачены, подменены или перехвачены с помощью социальной инженерии.
По данным TAdviser от июня 2024 года, даже многофакторная защита не всегда обеспечивает безопасность: злоумышленники активно используют атаки на доверенные каналы связи, включая перехват одноразовых кодов и подделку push-уведомлений. Технология Passkeys устраняет необходимость передачи токенов или кодов, заменяя их аутентификацией на устройстве, которой невозможно управлять извне.
Telus в 2025 году обращает внимание на риск потери всех устройств с ключами доступа. Если пользователь не настроил синхронизацию или резервное восстановление через облако, восстановить доступ будет невозможно. Кроме того, часть корпоративных решений до сих пор не поддерживает FIDO2, что требует обновления программного обеспечения и обучения сотрудников.
Если хотите узнать о масштабных технологиях: государственных проектах, вложениях ведущих мировых компаний в нейросети, генной инженерии — обращайтесь к статьям этого автора.