Ключи доступа: как они заменяют пароли и защищают от фишинга

Пароль должны знать и вы, и сайт, поэтому его можно украсть. Ключ доступа устроен так, чтобы этого избежать: его не нужно вводить или запоминать, а поддельный сайт не сможет его получить и использовать повторно.

Рассказываем, что такое ключ доступа, как с его помощью выполняется вход, почему он защищает от фишинга и в чём всё ещё зависит от вас.

Что такое ключ доступа

По определению FIDO Alliance — отраслевой организации, разработавшей этот стандарт, — ключ доступа представляет собой учётные данные, позволяющие войти в приложение или на сайт так же, как вы разблокируете устройство: с помощью отпечатка пальца, сканирования лица, PIN-кода или графического ключа. Он привязан к вашей учётной записи на конкретном сайте и заменяет пароль, а в большинстве случаев — и дополнительный код.

Технически ключ доступа — это пара криптографических ключей. Сайт хранит открытый ключ, который сам по себе бесполезен, а закрытый ключ остаётся на вашем устройстве. Для каждого сайта создаётся отдельная пара, поэтому ключ доступа, в отличие от пароля, нельзя повторно использовать в разных сервисах.

Как выполняется вход с ключом доступа

При входе сайт отправляет на ваше устройство одноразовый запрос-проверку. Устройство предлагает разблокировать его с помощью биометрии или PIN-кода, а затем использует закрытый ключ, чтобы подписать запрос, и отправляет подписанный ответ обратно. Сайт проверяет подпись с помощью сохранённого открытого ключа и предоставляет доступ. NCSC — национальное агентство Великобритании по кибербезопасности — описывает ту же последовательность действий и отмечает, что закрытый ключ никогда не передаётся сайту или браузеру.

По данным FIDO, при входе не передаются никакие персональные или биометрические данные. Отпечаток пальца или сканирование лица используются только локально, чтобы разблокировать ключ на вашем устройстве.

Почему ключи доступа защищают от фишинга

Главное отличие в том, что ключ доступа привязан к домену настоящего сайта. NCSC объясняет, что аутентификатор FIDO предлагает только те учётные данные, которые соответствуют сайту, на котором вы действительно находитесь. Проверку выполняет ваш доверенный браузер или приложение, поэтому поддельная страница не может на неё повлиять. У фальшивого сайта нет пароля или кода, которые можно было бы перехватить.

NCSC сравнивает ключи доступа с традиционными дополнительными факторами аутентификации и приходит к выводу, что все они, включая коды из приложений-аутентификаторов, уязвимы перед злоумышленниками, которые в реальном времени перенаправляют процесс входа через поддельную страницу. Учётные данные FIDO2 такой уязвимости не подвержены. Агентство также сообщало, что на момент написания материала случаев атак непосредственно на аутентификацию FIDO2 в реальных условиях не выявили, хотя злоумышленники пытаются перевести учётные записи на менее защищённые запасные способы входа. Поэтому важно, какой наименее защищённый способ входа остаётся включённым в учётной записи.

Синхронизируемые и привязанные к устройству ключи доступа

Ключи доступа бывают двух видов. Синхронизируемый ключ доступа сохраняется в резервной копии через службу синхронизации и становится доступен на других ваших устройствах, поэтому потеря одного устройства не приведёт к потере доступа. Ключ доступа, привязанный к устройству, например сохранённый на физическом ключе безопасности, остаётся на этом устройстве и не может быть скопирован.

У каждого варианта есть свои компромиссы. NCSC рекомендует защищать от фишинга учётную запись, связанную со службой синхронизации, и предусмотреть надёжный способ её восстановления. Агентство также отмечает, что в ходе проверки в 2025 году основных служб синхронизации от самих производителей выяснилось: для сохранения ключей доступа они требовали двухфакторную аутентификацию, тогда как требования сторонних сервисов различались. Для ключей доступа, привязанных к устройству, NCSC советует зарегистрировать резервный ключ, поскольку потерянный ключ восстановить нельзя.

Чего ключи доступа не делают

Ключ доступа защищает этап входа, но не всё остальное. Он не поможет, если у кого-то окажется ваше устройство и слабый PIN-код. Кроме того, NCSC отмечает, что восстановление учётной записи зачастую защищено хуже, чем сам вход, и злоумышленники этим пользуются. Ключ доступа — это также не ключ от криптокошелька. Он используется для входа в учётную запись, тогда как сид-фраза или закрытый ключ кошелька контролируют средства в некастодиальном кошельке. Ключ доступа не может защитить или заменить ни то, ни другое.

Напоминание от WEEX: ключ доступа — это не сид-фраза

WEEX напоминает: ключ доступа используется для входа в учётную запись, а сид-фраза или закрытый ключ контролируют некастодиальный кошелёк. Никогда не вводите сид-фразу на странице, где её просят указать для «проверки» или «восстановления» ключа доступа, и никому её не сообщайте, в том числе тем, кто представляется сотрудником службы поддержки. Установите надёжный PIN-код на своих устройствах, поддерживайте способы восстановления учётной записи в актуальном состоянии и проверяйте адрес сайта перед входом. Этот материал не является финансовой рекомендацией.

Заключение

Ключ доступа заменяет общий секрет парой ключей, поэтому сайт не хранит ничего, что можно украсть и использовать повторно, а поддельному сайту нечего перехватывать. Это делает ключ доступа одним из самых надёжных способов входа в личные учётные записи. При этом он по-прежнему зависит от безопасности устройства, защиты учётной записи службы синхронизации и надёжного способа восстановления, а сид-фразу кошелька не защищает.

Часто задаваемые вопросы

1. Что такое ключ доступа?
Ключ доступа — это учётные данные FIDO, позволяющие войти в приложение или на сайт с помощью той же биометрии, PIN-кода или графического ключа, которые используются для разблокировки устройства, вместо пароля.

2. Чем ключ доступа отличается от пароля?
Пароль — это общий секрет, который вы вводите, а сайт хранит. Ключ доступа — это пара ключей: на сайте хранится только открытый ключ. Для каждой учётной записи создаётся отдельная пара, а разблокируется она на вашем устройстве.

3. Является ли ключ доступа двухфакторной аутентификацией?
Если для входа требуется биометрия или PIN-код, он сочетает то, чем вы владеете (ключ на устройстве), с тем, кем вы являетесь, или тем, что знаете. По данным FIDO, ключ доступа может заменить отдельный код, а NCSC оценивает его как эквивалент двухфакторной аутентификации.

4. Можно ли провести фишинговую атаку с помощью ключа доступа?
Ключ доступа разработан для защиты от фишинга, поскольку он привязан к домену настоящего сайта. Злоумышленники всё ещё могут попытаться перевести учётную запись на менее защищённый запасной способ входа, поэтому важно учитывать другие способы входа, включённые в учётной записи.

5. Что произойдёт, если я потеряю устройство с ключом доступа?
Синхронизируемый ключ доступа будет доступен на других устройствах в той же учётной записи службы синхронизации. Также его можно восстановить, вернув доступ к этой учётной записи на новом устройстве. Ключ доступа, привязанный к устройству, скопировать нельзя, поэтому понадобится резервный ключ или другой способ восстановления.