Ключі доступу: як вони замінюють паролі та протистоять фішингу

Пароль мають знати і ви, і вебсайт — саме тому його можна викрасти. Ключ доступу створений, щоб цього уникнути: його не потрібно вводити чи запам’ятовувати, а фальшивий сайт не може його зібрати й використати повторно.

Розповідаємо, що таке ключ доступу, як відбувається вхід за його допомогою, чому він захищає від фішингу та від чого все ще залежить його безпека.

Що таке ключ доступу

За визначенням FIDO Alliance, галузевої організації, що стоїть за цим стандартом, ключ доступу — це облікові дані, які дають змогу входити в застосунок або на вебсайт так само, як ви розблоковуєте пристрій: за допомогою відбитка пальця, сканування обличчя, PIN-коду або графічного ключа. Він прив’язаний до вашого облікового запису на конкретному сайті та замінює і пароль, і, у більшості випадків, додатковий код.

Технічно ключ доступу — це пара криптографічних ключів. Вебсайт зберігає відкритий ключ, який сам по собі не має користі, а приватний ключ залишається на вашому пристрої. Для кожного сайту створюється окрема пара, тож ключ доступу, на відміну від пароля, не можна використовувати повторно в різних сервісах.

Як відбувається вхід за допомогою ключа доступу

Коли ви входите, вебсайт надсилає вашому пристрою одноразовий виклик. Пристрій просить розблокувати його за допомогою біометричних даних або PIN-коду, після чого підписує виклик приватним ключем і надсилає підписану відповідь. Вебсайт перевіряє підпис за збереженим відкритим ключем і надає вам доступ. NCSC, національне агентство з кібербезпеки Великої Британії, описує той самий процес, у якому приватний ключ ніколи не передається вебсайту чи браузеру.

За даними FIDO, під час входу не передаються жодні персональні чи біометричні дані. Відбиток пальця або сканування обличчя використовується лише локально, щоб розблокувати ключ на вашому пристрої.

Чому ключі доступу захищають від фішингу

Ключова відмінність полягає в тому, що ключ доступу прив’язаний до домену справжнього сайту. NCSC пояснює, що автентифікатор FIDO пропонує лише ті облікові дані, які відповідають сайту, на якому ви перебуваєте, а перевірку виконує ваш довірений браузер або застосунок, тому фальшива сторінка не може на неї вплинути. На відміну від пароля чи коду, фальшивому сайту нічого викрасти.

NCSC порівнює цей спосіб із традиційними другими факторами й доходить висновку, що всі вони, зокрема коди з застосунків-автентифікаторів, вразливі до атак, коли зловмисники в реальному часі перенаправляють вхід через фальшиву сторінку, тоді як облікові дані FIDO2 — ні. Також агентство повідомляло, що на момент написання матеріалу в реальних умовах не було зафіксовано атак безпосередньо на автентифікацію FIDO2, хоча зловмисники намагаються перевести облікові записи на слабші запасні методи. Тому важливо враховувати найслабший спосіб входу, який досі ввімкнено в обліковому записі.

Синхронізовані ключі доступу та ключі, прив’язані до пристрою

Ключі доступу бувають двох типів. Синхронізований ключ доступу резервно копіюється через службу синхронізації та стає доступним на інших ваших пристроях, тож втрата одного пристрою не позбавляє вас доступу. Ключ доступу, прив’язаний до пристрою, наприклад збережений на фізичному ключі безпеки, залишається лише на цьому пристрої, і його не можна скопіювати.

Кожен із цих типів має свої компроміси. NCSC радить захистити від фішингу обліковий запис, пов’язаний зі службою синхронізації, і подбати про надійний спосіб його відновлення. Агентство також зазначає, що під час перевірки основних власних служб синхронізації у 2025 році виявило вимогу двофакторної автентифікації для збереження ключів доступу, тоді як вимоги сторонніх служб різнилися. Для ключів доступу, прив’язаних до пристрою, NCSC радить зареєструвати резервний ключ, оскільки втрачений ключ відновити неможливо.

Чого не роблять ключі доступу

Ключ доступу захищає етап входу, але не все, що його оточує. Він не допоможе, якщо хтось отримає ваш пристрій і зможе скористатися слабким PIN-кодом. NCSC зазначає, що відновлення облікового запису часто захищене гірше, ніж сам вхід, і саме на нього націлюються зловмисники. Ключ доступу також не є ключем криптогаманця. Він дає змогу увійти в обліковий запис, тоді як сід-фраза або приватний ключ гаманця контролює кошти в гаманці із самостійним зберіганням, і ключ доступу не може захистити чи замінити ні те, ні інше.

Нагадування від WEEX: ключ доступу — це не сід-фраза

WEEX нагадує користувачам: ключ доступу дає змогу увійти в обліковий запис, а сід-фраза або приватний ключ контролює гаманець із самостійним зберіганням. Ніколи не вводьте сід-фразу на сторінці, яка просить її для «перевірки» або «відновлення» ключа доступу, і нікому її не повідомляйте, зокрема людям, які стверджують, що представляють службу підтримки. Використовуйте надійний PIN-код на своїх пристроях, оновлюйте способи відновлення облікового запису та перевіряйте адресу сайту перед входом. Цей матеріал не є фінансовою консультацією.

Висновок

Ключ доступу замінює спільний секрет парою ключів, тож вебсайт не зберігає нічого, що можна викрасти й використати повторно, а фальшивому сайту нічого зібрати. Це робить ключ доступу одним із найнадійніших доступних способів входу в особисті облікові записи. Водночас його безпека залежить від захищеного пристрою, убезпеченого облікового запису для синхронізації та надійного способу відновлення, а сід-фразу гаманця він ніяк не захищає.

Поширені запитання

1. Що таке ключ доступу?
Ключ доступу — це облікові дані FIDO, які дають змогу входити в застосунок або на вебсайт за допомогою біометричних даних, PIN-коду чи графічного ключа, якими ви розблоковуєте пристрій, замість пароля.

2. Чим ключ доступу відрізняється від пароля?
Пароль — це спільний секрет, який ви вводите, а сайт зберігає. Ключ доступу — це пара ключів: на сайті зберігається лише відкритий ключ. Для кожного облікового запису створюється окрема пара, а ключ розблоковується на вашому пристрої.

3. Чи є ключ доступу двофакторною автентифікацією?
Якщо для входу потрібні біометричні дані або PIN-код, поєднуються те, що у вас є (ключ на пристрої), і те, чим ви є, або те, що ви знаєте. FIDO зазначає, що це може замінити окремий код, а NCSC вважає такий спосіб рівнозначним двофакторній автентифікації.

4. Чи можна викрасти ключ доступу за допомогою фішингу?
Він розроблений для захисту від фішингу, оскільки прив’язаний до домену справжнього сайту. Зловмисники все ще можуть намагатися перевести обліковий запис на слабший запасний спосіб входу, тому важливі й інші способи входу, доступні для облікового запису.

5. Що станеться, якщо я втрачу пристрій із ключем доступу?
Синхронізований ключ доступу буде доступний на інших пристроях у тому самому обліковому записі синхронізації або його можна буде відновити, відновивши цей обліковий запис на новому пристрої. Ключ доступу, прив’язаний до пристрою, скопіювати не можна, тому потрібен резервний ключ або інший спосіб відновлення.