Ключі доступу Passkeys: як увімкнути в Google та Apple і не втратити акаунт

Ключі доступу Passkeys, як пояснює FIDO Alliance, замінюють пароль парою криптографічних ключів. Секретна частина залишається на вашому пристрої або в захищеному менеджері, а сайт отримує відкритий ключ. Вхід підтверджується відбитком пальця, Face ID, PIN-кодом чи іншим локальним способом розблокування.

Головна перевага — стійкість до фішингу. Passkey прив’язаний до справжнього домену, тому підроблена сторінка не може просто виманити й повторно використати його, як пароль. Але безпека акаунта все одно залежить від блокування пристрою, резервних методів і захисту пошти.

Як працює вхід без пароля

1. Під час створення passkey пристрій генерує унікальну пару ключів.
2. Сайт зберігає відкритий ключ, який не дає змоги увійти сам по собі.
3. Закритий ключ залишається у вашому захищеному сховищі.
4. Під час входу сайт надсилає одноразовий криптографічний виклик.
5. Після локального підтвердження пристрій підписує виклик, не передаючи біометрію сайту.

Відбиток пальця або обличчя не «їде в інтернет». Біометрія лише дозволяє пристрою використати ключ. Сервіс отримує підтвердження правильної криптографічної відповіді.

Синхронізовані та прив’язані до пристрою ключі

Синхронізовані passkeys можуть зберігатися в екосистемному менеджері, наприклад iCloud Keychain або Google Password Manager, і з’являтися на ваших інших захищених пристроях. Це зручно після заміни телефона.

Апаратні ключі безпеки або деякі корпоративні сценарії використовують ключ, прив’язаний до конкретного пристрою. Він не синхронізується, тому потрібен другий фізичний ключ або інший резерв. Який тип дозволяє сервіс, залежить від його політики.

Як увімкнути passkey для Google

1. На власному оновленому пристрої відкрийте сторінку керування Google Account.
2. Перейдіть до розділу «Безпека» та знайдіть «Ключі доступу й ключі безпеки».
3. Підтвердьте особу чинним способом.
4. Створіть ключ доступу й погодьтеся на збереження в системному менеджері.
5. Вийдіть і протестуйте новий вхід у приватному вікні, не видаляючи резервні методи.

Google попереджає: створюйте passkey лише на особистому пристрої. Якщо ключ створено на чужому або спільному комп’ютері, людина, яка може його розблокувати, потенційно отримає доступ до акаунта. Видалити ключ можна в налаштуваннях безпеки Google Account.

Як використовувати passkeys на iPhone

На iPhone ключі доступу інтегровані із системним менеджером паролів та iCloud Keychain. Для синхронізації між пристроями потрібні захищений Apple Account, код-пароль пристрою та двофакторна автентифікація.

1. На сайті або в застосунку виберіть створення ключа доступу.
2. Підтвердьте збереження через Face ID, Touch ID або код-пароль.
3. Керуйте створеними записами у системному застосунку «Паролі».
4. Перед видаленням переконайтеся, що сервіс має інший спосіб входу.

Інтерфейс може трохи відрізнятися залежно від версії iOS і самого сервісу. Створення passkey завжди починається на офіційному сайті або в офіційному застосунку облікового запису.

Як увійти на чужому комп’ютері

Сумісний сайт може показати QR-код. Ви скануєте його телефоном, після чого пристрої встановлюють захищений зв’язок на близькій відстані, а вхід підтверджується на телефоні. Закритий ключ не копіюється на чужий комп’ютер.

Перевіряйте домен перед скануванням і не залишайте активну сесію. Після роботи вийдіть з акаунта на комп’ютері. QR-код passkey — не те саме, що код відновлення: його не треба фотографувати чи зберігати.

Що буде, якщо загубити телефон

Якщо ключі синхронізуються, новий пристрій може відновити їх після безпечного входу до вашої екосистеми. Якщо це єдиний пристрій або апаратний ключ, потрібен запасний метод. Підготуйте його до втрати, а не після неї:

• додайте другий довірений пристрій або запасний апаратний ключ;
• оновіть резервну адресу та номер телефона;
• збережіть коди відновлення офлайн у безпечному місці;
• увімкніть пошук і дистанційне блокування телефона;
• захистіть SIM-картку та поштову скриньку;
• періодично видаляйте старі пристрої із сесій акаунта.

Passkey, пароль і двофакторна автентифікація

Passkey часто поєднує перший фактор із локальним підтвердженням і краще протистоїть фішингу. Проте сервіс може залишати пароль, SMS або пошту як резерв. Зловмисник атакуватиме найслабший доступний шлях, тому перевірте всі методи відновлення.

Якщо пароль залишається, зробіть його унікальним і збережіть у менеджері. Не вимикайте сильну двофакторну автентифікацію, доки не зрозумієте політику сервісу. SMS краще за відсутність другого фактора, але застосунок-автентифікатор або апаратний ключ зазвичай стійкіші до перенесення SIM.

П’ять правил безпечного налаштування

1. Створюйте ключі лише на власних захищених пристроях.
2. Встановіть довгий код-пароль екрана, а не просту комбінацію.
3. Тримайте щонайменше один незалежний спосіб відновлення.
4. Перевіряйте список ключів і активних сесій після продажу або ремонту пристрою.
5. Не плутайте passkey з кодом із SMS: справжній ключ не потрібно диктувати підтримці.

Безпека локальної мережі також важлива. Якщо роутер досі має стандартний пароль, скористайтеся інструкцією як змінити пароль Wi-Fi.

Коли passkey ще не ідеальний

Проблеми виникають на старих пристроях, у змішаних корпоративних середовищах і при переході між екосистемами. Не кожен сайт реалізує відновлення однаково добре. Перед повною відмовою від пароля протестуйте вхід на всіх пристроях і прочитайте правила конкретного сервісу.

Не встановлюйте сумнівні «менеджери passkeys» із реклами. Використовуйте системний менеджер, відомий кросплатформний менеджер із підтримкою passkeys або апаратний FIDO-ключ, придбаний у надійного продавця.

Поширені запитання

Чи бачить сайт мій відбиток пальця?

Ні. Біометрична перевірка відбувається локально, а сайт отримує лише криптографічне підтвердження.

Чи можна мати кілька passkeys для одного акаунта?

Багато сервісів це дозволяють. Це корисно для другого пристрою або запасного апаратного ключа.

Чи треба видаляти пароль одразу?

Ні. Спершу протестуйте passkey і резервне відновлення. Можливість видалити пароль залежить від політики сервісу.