Passkey (ключ доступа)

Как устроен вход по ключу доступа

При регистрации устройство создаёт пару ключей для конкретного сайта. Открытый ключ уходит на сервер, закрытый остаётся у вас — в самом устройстве, в аппаратном ключе безопасности или в защищённой связке ключей. При входе сервер присылает случайный запрос, устройство просит подтвердить, что это вы, — отпечатком, лицом, ПИН-кодом или графическим ключом экрана блокировки, — подписывает запрос закрытым ключом, а сервер проверяет подпись открытым. Биометрические данные при этом остаются на устройстве, наружу уходит только результат проверки.

Отсюда главное отличие от пароля и от кода TOTP: у сервера нет секрета, который можно украсть. Утечка базы выдаст только открытые ключи, а войти по ним нельзя. Нет и того, что можно подсмотреть, угадать или продиктовать по телефону.

За технологией стоят два стандарта. WebAuthn — программный интерфейс браузера, его развивает W3C: первая редакция вышла рекомендацией 4 марта 2019 года, вторая — 8 апреля 2021 года, а третья (Level 3) стала рекомендацией 25 августа 2026 года. CTAP — протокол общения браузера с устройством-аутентификатором, он принадлежит FIDO Alliance. Вместе их называют FIDO2. В спецификации WebAuthn passkey — это учётные данные, которые устройство находит само, без подсказки сервера; в русских интерфейсах их называют «ключом доступа».

Принцип родствен электронной подписи: пара ключей и подпись закрытым ключом. Но юридической силы у passkey нет: он подписывает запрос на вход, а не документ.

Почему поддельный сайт не получит вход

Ключ создаётся для определённого домена. Браузер сам подставляет адрес сайта, и по спецификации идентификатор стороны должен совпадать с доменом страницы или быть его родительским. Фишинговая копия банка на другом адресе просто не найдёт нужного ключа, браузер ничего не предложит. Вводить и диктовать нечего — в этом разница с кодом из SMS, который можно сообщить мошеннику или набрать на поддельной странице.

Но защита работает только тогда, когда пароль не остаётся запасным путём. Если сервис разрешает вход и по паролю, мошенник будет убеждать вас выбрать именно его. Восстановление доступа — тоже слабое звено. Поэтому passkey стоит включать там, где можно отключить вход по паролю или хотя бы закрыть его вторым фактором — например, кодом из приложения; как его подключить, описано в статье о двухфакторной аутентификации.

Синхронизируемые и привязанные к устройству

Тип	Где хранится закрытый ключ	Плюсы	Минусы
Синхронизируемый	В менеджере ключей: iCloud, Google Password Manager, менеджеры паролей	Переживает смену телефона, доступен на нескольких устройствах	Доступ к облачному аккаунту открывает и доступ к ключам
Привязанный к устройству	Только в аппаратном ключе безопасности или на одном устройстве	Ключ не покидает устройство	При потере нужен второй ключ или другой способ восстановления

Для самого строгого уровня доверия, AAL3 в рекомендациях NIST SP 800-63B-4 (июль 2025), синхронизируемые ключи не допускаются, для остальных уровней допустимы. Обычному пользователю хватает синхронизируемого варианта: он удобен, и потеря телефона не лишает доступа.

Вход на чужом компьютере: QR и Bluetooth

Passkey на телефоне можно использовать для входа на компьютере, где ключа нет. На экране компьютера выберите вход с телефона, и появится QR-код. Вы наводите на него камеру, телефон устанавливает связь и по Bluetooth проверяет, что находится физически рядом с компьютером, после чего просит приложить палец или взглянуть в камеру. Сам закрытый ключ с телефона не уходит. Протокол называется hybrid, он входит в CTAP. Смысл проверки близости — исключить сценарий, когда вам присылают картинку с QR-кодом и просят отсканировать, а злоумышленник в это время сидит за другим компьютером. Общие правила обращения с такими картинками — в термине безопасность QR-кодов.

В России поддержка неравномерна и меняется, поэтому проверяйте раздел безопасности нужного сервиса. Яндекс ID с 27 февраля 2024 года предлагает вход по лицу или отпечатку на основе WebAuthn; в справке такой ключ называется ключом доступа, подтвердить вход можно телефоном по QR-коду или внешним ключом безопасности, а к аккаунту привязывается не более 10 ключей. Telegram в справке описывает passkey как дополнительный способ входа вместо SMS-кода.

Частые вопросы

Passkey заменяет двухфакторную аутентификацию?

Он заменяет пароль, а не добавляет шаг. Сам по себе вход уже сочетает владение устройством и подтверждение вашим отпечатком или ПИН-кодом. В справке Google прямо сказано, что при входе с ключом доступа второй шаг не требуется.

Что будет, если потерять телефон с passkey?

Если ключ синхронизируется через iCloud или Google, на новом устройстве после входа в тот же аккаунт он вернётся. Если ключ привязан к аппаратному ключу безопасности, понадобится второй такой ключ или другой способ входа. Заведите запасной путь заранее.

Это то же самое, что вход по отпечатку пальца?

Нет. Отпечаток лишь разблокирует закрытый ключ на вашем устройстве, а сервер получает подпись, а не отпечаток. Если отпечатки не распознаются, вход обычно возможен ПИН-кодом или паролем экрана блокировки.

Как переводится passkey на русский?

«Ключ доступа»: так его называют русскоязычные справки Google и Яндекса, с пояснением passkey в скобках. Смысл один: пара ключей, заменяющая пароль для входа на сайт или в приложение.