Passkeys замість паролів: захист акаунтів від фішингу

Passkey — це ключ, який живе у вашому телефоні чи ноутбуці й ніколи не покидає пристрій. Замість пароля, який можна підгледіти, вгадати чи виманити фішинговим листом, ви підтверджуєте вхід відбитком пальця, обличчям або PIN-кодом екрана. Сервер ніколи не бачить ваш секрет — тільки математичний доказ того, що він у вас є.

Для журналіста чи активіста, якого цілеспрямовано полюють ворожі спецслужби, це не технічна дрібниця, а зміна правил гри. Пароль можна фішити. Passkey — ні.

Чому фішинг перестає працювати

Класична атака виглядає так: вам приходить лист нібито від Google, ви переходите за посиланням на сайт-двійник, вводите пароль і код з SMS — і зловмисник заходить у ваш акаунт із цими ж даними за кілька секунд. SMS-коди та навіть застосунки-аутентифікатори тут не рятують: ви самі передаєте одноразовий код підробленому сайту.

Passkey влаштований інакше. Ключ прив'язаний до конкретної адреси сайту на рівні браузера. Якщо адреса в рядку — goolge-security.com, а не google.com, ключ просто не спрацює. Не тому, що ви уважні й помітили підміну, а тому, що механізм фізично відмовляється працювати з чужим доменом. Людську помилку прибрано з рівняння.

Як перейти, крок за кроком

• Google: зайдіть у налаштування акаунта → «Безпека» → «Ключі доступу та ключі безпеки». Система запропонує створити passkey на поточному пристрої. Підтвердьте відбитком або PIN — готово.
• Microsoft: у налаштуваннях безпеки акаунта оберіть «Додати спосіб входу» → «Ключ доступу». Далі той самий сценарій з біометрією.
• Створіть passkeys на кількох пристроях одразу — на телефоні й на ноутбуці. Це ваша страховка.

Старий пароль при цьому нікуди не зникає сам собою. Його варто залишити складним і увімкнути двофакторку — passkey стане основним входом, а пароль резервним каналом, доки ви повністю не відмовитеся від нього.

А якщо телефон втрачено або вкрадено

Це головний страх, і він має просту відповідь: один passkey ≠ один акаунт назавжди. Якщо ви створили ключі на двох пристроях, втрата телефону означає лише, що ви заходите з ноутбука й видаляєте старий ключ зі списку в налаштуваннях безпеки.

Більше того, passkeys синхронізуються через хмару — Google-ключі через ваш Google-акаунт, Apple-ключі через iCloud Keychain. Купуєте новий телефон, входите у свій екосистемний акаунт — passkeys повертаються. Для надійності тримайте ще й окремий апаратний ключ (на кшталт YubiKey) у фізично безпечному місці як останній запасний вхід.

Є й тонкий момент, про який варто знати: Google останнім часом тихо зв'язує номери телефонів між усіма акаунтами, у які ви увійшли. Passkey не вимагає номера для входу — і це ще одна причина прибрати телефон із ланцюжка автентифікації там, де деанонімізація коштує дорого.

Пароль — це секрет, який ви комусь показуєте щоразу, коли входите. Passkey — секрет, який не показуєте нікому й ніколи. Для тих, за ким полюють, різниця між цими двома реченнями може виявитися різницею між захищеним джерелом і скомпрометованим.