Passkeys срещу пароли: как работят и защо са устойчиви на фишинг
Passkey е удостоверяване с криптографска двойка ключове, което не изпраща парола към сайта. Това го прави много по-устойчиво на фишинг, но не премахва нуждата от защита на устройството и recovery методите.
Когато услуга поддържа passkeys, регистрирайте ги през официалния сайт или приложение и пазете резервен метод за възстановяване. Не споделяйте PIN-а на устройството и не одобрявайте непоискан вход.
Какво е passkey
При създаване на passkey устройството ви генерира двойка криптографски ключове. Сайтът получава публичната част, а частният ключ остава защитен в устройството или синхронизирания ви credential manager. При вход се подписва предизвикателство, без да се изпраща парола, която фалшив сайт да копира.
Отключването може да използва биометрия, PIN или заключване на устройството. Биометрията обикновено не се изпраща към сайта; тя разрешава на устройството да използва ключа. Конкретното поведение зависи от операционната система и настройките на услугата.
Защо е по-устойчиво на фишинг
- Обвързано с домейна. Passkey се използва за регистрирания сайт, така че копие на домейна не получава същото удостоверяване.
- Няма код за диктуване. Не препращате еднократен код по телефон или чат и не го въвеждате във фалшив формуляр.
- Няма парола за повторна употреба. Отпада рискът една и съща парола да бъде открадната от друг сайт и използвана повторно.
- По-малко решения в паника. Потвърждавате входа на устройството, вместо да преценявате дали страницата и формулярът са истински.
Какво passkey не решава
Passkey не защитава устройство, което е отключено и споделено с друг човек. Зловреден софтуер може да промени средата около акаунта, а измамник може да ви убеди да одобрите вход или да дадете контрол над recovery метода. Следете известията и активните сесии.
Синхронизираните passkeys улесняват възстановяването на ново устройство, но зависят от сигурността на акаунта, който синхронизира данните. Device-bound вариантът ограничава прехвърлянето, но изисква надежден резервен план. Няма универсално най-добро решение за всеки човек.
Проверете какво се случва при загуба на единственото устройство още при настройката. Някои услуги разчитат на синхронизация между устройства, други предлагат recovery кодове или администраторска процедура. Запишете този план на сигурно място и не го заменяйте с изпращане на passkey, seed phrase или код по чат.
Практична настройка
Включете passkey само през официалния сайт или приложение, проверете домейна и добавете поне един резервен начин за възстановяване, който разбирате. Прегледайте списъка с устройства и премахнете старите. Не създавайте passkey след линк от непоискано съобщение.
Запазете recovery кодовете според указанията на услугата и тествайте възстановяването, преди да загубите старото устройство. При съмнение за компрометирано устройство първо защитете основния акаунт от доверено устройство.
Източници и допълнителна проверка
FIDO Alliance — Passkeys ENISA — phishing-resistant authentication Google Safety CenterМатериалът е информационен и използва обобщени примери. Източниците са прегледани при последната редакция.
Често задавани въпроси
Passkey прави ли акаунта невъзможен за хакване?
Не. Той е устойчив на много фишинг атаки, но устройството, recovery методите и активните сесии също трябва да бъдат защитени.
Мога ли да използвам passkey на повече от едно устройство?
Да, според услугата може да бъде синхронизиран или добавен на отделни устройства. Проверете списъка с регистрирани credentials.
Какво става, ако изгубя телефона?
Използвайте официалния recovery процес и резервния метод. Затова е важно да го настроите предварително, а не след инцидента.