Для сервиса создаётся пара ключей. Публичный ключ хранится у сервиса, а закрытый используется средством аутентификации для подтверждения входа. Серверу не требуется получать закрытый ключ.
Почему это защищает от фишинга
Ключ доступа связан с конкретным сервисом. Поддельный сайт не может просто запросить его и использовать так же, как украденный пароль или перехваченный одноразовый код.
Именно поэтому FIDO относит Passkeys к устойчивым к фишингу способам входа. Это свойство механизма аутентификации, а не обещание полной безопасности всего аккаунта.
Где находятся ключи
Существуют два основных варианта:
Вид | Как хранится |
|---|---|
Синхронизируемый ключ | Доступен на нескольких устройствах через поставщика хранилища ключей |
Ключ, привязанный к устройству | Остаётся на конкретном устройстве, например аппаратном ключе безопасности |
Поставщиком синхронизации может быть система, браузер или сторонний менеджер учётных данных. Поэтому условия переноса и восстановления зависят от выбранного решения.
Что проверить перед подключением
До перехода стоит выяснить:
где будет храниться ключ;
доступен ли он на другом вашем устройстве;
что произойдёт при потере телефона или аппаратного ключа;
какие запасные способы входа оставляет сервис.
Синхронизируемые ключи помогают сохранить доступ при смене устройства. Для ключей, которые не покидают одно устройство, особенно важен заранее предусмотренный запасной способ входа.
Passkeys защищают процедуру входа. Но безопасность аккаунта также зависит от восстановления доступа и оставленных запасных способов. Если сервис продолжает разрешать вход по паролю, этот пароль тоже нужно защищать.
Источники: FIDO Alliance о Passkeys, хранение и синхронизация ключей.
Комментарии