Създадох първия си passkey на моя телефон преди около година и за известно време ми се струваше, че проблемът с влизането най-накрая е решен. Разпознаването на лицето ми позволяваше да вляза почти мигновено; не се налагаше да въвеждам нищо и нямаше нищо ново, което да трябва да запомня. После опитах да вляза от взет назаем лаптоп, използвайки друг браузър, докато телефонът ми не беше на разположение, и безпроблемното преживяване започна да се разпада.
Това не ме блокира, но ми показа колко бързо удобството може да изчезне, щом устройството, съдържащо данните за достъп, не е на разположение. Passkeys премахват необходимостта от въвеждане на парола при поддържаните логини, но не премахват възстановяването на акаунта. Те прехвърлят голяма част от тази отговорност към устройството, доставчика на данните за достъп и облачния акаунт, съдържащ данните за достъп.
Passkeys изглеждат невидими, докато устройството не се замениУдобството има локация за съхранение, независимо дали го знаете или не.
Когато даден уебсайт ви предложи да създадете ключ за достъп (passkey), браузърът или операционната ви система обикновено ви предлагат къде да го съхраните, макар че наличните варианти зависят от вашето устройство, активираните доставчици и политиката на уебсайта. Доставчикът на идентификационни данни е услугата на операционната система или мениджърът на пароли, който съхранява и, в някои случаи, синхронизира ключа за достъп. Този етап на съхранение става много по-лесен за разбиране, когато мениджърът на пароли прави ключовете за достъп видими и управляеми, вместо да ги оставя скрити в прозореца на операционната система.
След това потвърждавате самоличността си с пръстов отпечатък, Face ID, ПИН код или Windows Hello и влизате, без да въвеждате парола. Всеки passkey принадлежи на един конкретен уебсайт или акаунт в приложението, така че не е nqkakyw „главен ключ“, който отключва абсолютно всичко.
Създаването на такъв генерира криптографска двойка ключове. Уебсайтът съхранява публичния ключ, докато съответният частен ключ остава под контрола на вашето устройство или доставчика на удостоверения . Един синхронизиран доставчик може да разпространява копия на ключа с криптиране от край до край към другите ви устройства, но уеб сайтът никога не получава частния ключ.
Различните устройстваНа практика разликата е между синхронизираните и обвързаните с устройството пароли. Една парола, запазена в iCloud Keychain, ви следва на всички одобрени устройства на Apple, докато Google Password Manager синхронизира паролите между устройства с Android и поддържаните инсталации на Chrome. Обвързаните с устройството пароли остават на едно-единствено устройство за удостоверяване.
Паролата за достъп на Microsoft Entra в Windows, която понастоящем е функция в предварителна версия, съхранява данните за удостоверяване в локалния контейнер на Windows Hello и изисква отделна регистрация на всеки компютър.Преносимостта между доставчиците също се подобрява. Спецификациите за обмен на данни за удостоверяване на FIDO Alliance осигуряват сигурен стандарт за участващите приложения за прехвърляне на данните за удостоверяване, включително паролите за достъп. Новите платформи на Apple поддържат тези прехвърляния, а Google Password Manager вече поддържа импортиране и експортиране на пароли за достъп със съвместимите мениджъри на Android. Неудобството обаче не е отпаднало, тъй като поддръжката все още зависи от актуалния софтуер и от участието на двамата доставчици.
Когато паролата е съхранена в телефона ви, а не в компютъра пред вас, автентификацията между устройствата може да преодолее тази пречка. Лаптопът показва QR код, телефонът ви го сканира, а Bluetooth потвърждава, че двете устройства са физически близо, преди влизането да бъде одобрено. В тази ситуация вашият Android телефон ефективно действа като ключ за сигурност за устройството пред вас.
Самата заявка преминава през интернет връзка с криптиране от край до край, а телефонът подписва еднократно потвърждение, без да предава самата парола. Ако телефонът е извън обхвата на Bluetooth, офлайн, недостъпен или у дома, този начин на достъп изчезва заедно с него.
Загубата на телефона е преодолима, но възстановяването има два етапаПаролата може да е сигурна, но акаунтът за нея да е изложен на риск.
Ако телефонът ви падне в някое езеро или в морето, обикновено данните могат да бъдат възстановени, ако паролите ви са били синхронизирани чрез доставчик с криптиране „от край до край“. Влизането в системата от едно ново устройство може да ги възстанови. Apple предоставя защитени механизми за възстановяване за iCloud Keychain. В същото време Google може да изисква ПИН код за Google Password Manager или заключване на екрана на съществуващо устройство, преди да направи синхронизираните пароли достъпни в нова среда.
Всъщност има два проблема, свързани с възстановяването. Първият е възстановяването на идентификационните данни, което възстановява криптираното хранилище, съдържащо вашите пароли. Вторият е възстановяването на акаунта в уеб сайта, което ви позволява да влезете отново в дадена услуга, когато няма останала използваема парола.
Ако загубите достъпа до акаунта в Apple, Microsoft, трета страна или Google, който управлява вашите синхронизирани данни, възстановяването на идентификационните данни може да стане трудно или невъзможно. Същият риск възниква, когато единственият passkey се намира на изгубеното устройство, когато сменяте доставчика, без първо да прехвърлите идентификационните си данни, или когато управляван служебен компютър блокира доставчика, който сте очаквали да използвате.
В този момент възстановяването зависи изцяло от резервния метод, който услугата все още предлага – това може да бъде парола, линк в имейл, кодове за възстановяване, друг регистриран ключ за достъп или процедура чрез поддръжката. Това не означава, че всеки резервен метод е несигурен, но показва, че практическата устойчивост на акаунта срещу превземане може да се определя от най-слабия разрешен метод за възстановяване.
Паролата може да устои на фишинг, докато един компрометиран имейл акаунт все пак отваря друг път за проникване. Откраднат телефонен номер, използван за SMS автентификация, може да има същия ефект, ако услугата го допуска като начин за възстановяване.
Сега моите пароли са придружени от план за евакуацияВече проверявам аварийния изход, преди да затворя вратата.
Все още създавам ключове за достъп (Passkeys), макар че вече обмислям много по-внимателно къде ще се съхранява всеки от тях, преди да потвърдя заявката. За акаунтите, които наистина са важни, обикновено регистрирам втори ключ за достъп на друго устройство или при друг доставчик, когато уебсайтът го позволява. Хардуерен ключ за сигурност, който замества въвежданите пароли, също е отличен резервен вариант, стига да се съхранява на място, различно от чантичката или джоба, в които е и телефонът ми.
Също така съхранявам кодовете за възстановяване на място, различно от устройството, което те трябва да заменят, и се уверявам, че акаунтът, който синхронизира моите пароли, все още разполага с работещи опции за възстановяване. Същият принцип важи и когато правите сигурно резервно копие на хранилището на мениджъра за пароли: внимание – резервно копие, съхранявано до устройството или акаунта, който трябва да спаси, може да не е особено полезно като резервно копие.
Преглеждам страницата за управление на паролите на уебсайта, преди да изведа от употреба стар телефон или да премахна резервната парола. Всяка услуга борави с паролите по малко по-различен начин. Някои ги преименуват, други показват повече информация, а изтриването на парола от нейния доставчик не означава непременно, че съответната регистрация ще бъде премахната от самия уебсайт.
Навикът, който ми дава най-голяма увереност, е и най-малко вълнуващият. Преди да изтрия данните от старото устройство, влизам от друго, за да се уверя, че всичко работи както трябва, и поддържам сигурен резервен вариант, докато новото устройство не бъде напълно конфигурирано. Отнема няколко минути повече, но е далеч по-добре, отколкото да открия, че в плана ми за възстановяване има пропуск, когато вече нямам достъп.
Паролите за достъп все още са отлични, стига да знаете къде се съхраняватНе се отказвам от passkey, в никакъв случай. Когато дадена услуга ги прилага правилно, те превъзхождат паролите по почти всички показатели, които ме интересуват – от удобство до устойчивост срещу фишинг.
Слабото място никога не е било криптографията или ежедневното влизане в системата. То се крие в механизма отдолу, включително акаунта за синхронизация, доставчика на удостоверения, екосистемата на устройствата и пътя за възстановяване, които могат лесно да бъдат пренебрегнати, докато телефонът не престане да работи или промяна на платформата не ги изведе на преден план.
Щом знаете къде се съхраняват вашите ключове за достъп (passkeys), чрез какво се синхронизират и как бихте възстановили достъпа си без обичайното си устройство, този скрит капан става много по-лесен за овладяване.