Passkeys (Пасскеи) - это современный способ аутентификации, который заменяет традиционные пароли парой криптографических ключей: приватным и публичным. Приватный ключ хранится на устройстве пользователя в защищённом анклаве (Secure Enclave) и никогда не покидает его, а публичный ключ размещается на сервере сервиса. При входе сервер отправляет случайную строку-запрос (Challenge), устройство подписывает её приватным ключом, а сервер проверяет подпись публичным ключом. Пользователь не вводит и не передаёт никаких секретов, что принципиально меняет модель угроз.
Криптографическая основа
Технология опирается на стандарт WebAuthn - веб-интерфейс, разработанный консорциумом W3C совместно с альянсом FIDO, и являющийся ядром спецификации FIDO2. Взаимодействие строится по схеме «вызов-ответ» (Challenge-Response) с использованием асимметричной криптографии: то, чем подписывается ответ, и то, чем проверяется подпись, - это разные ключи. В процессе участвуют три стороны: проверяющая сторона (Relying Party, то есть сайт или приложение), клиент (браузер или операционная система) и аутентификатор (Authenticator) - аппаратный токен или защищённый модуль устройства.
Почему это устойчиво к фишингу
Ключевое свойство пасскеев - привязка к источнику (Origin-Bound). Каждый ключ создаётся для конкретного домена (Relying Party ID), и браузер не предложит его на сайте с другим адресом. Если пользователь попадёт на фишинговую копию, аутентификатор просто не найдёт подходящего ключа и не сформирует подпись - поддельный сайт не получит ничего, в отличие от одноразовых кодов (TOTP) или SMS, которые фишинговый прокси может перехватить и переиспользовать. Именно поэтому Национальный центр кибербезопасности Великобритании (NCSC) классифицирует FIDO2-учётные данные как устойчивые ко всем распространённым атакам на кражу и повторное использование учётных данных.
Примеры из практики
Несмотря на структурную защиту, пасскеи не являются абсолютной гарантией. В октябре 2025 года группировка CryptoChameleon развернула кампанию против пользователей менеджера паролей LastPass. Злоумышленники рассылали письма о якобы поступившем «запросе на наследование» хранилища и вели жертву на поддельный сайт восстановления, где та вводила мастер-пароль. Параллельно использовались домены с названиями вроде mypasskey[.]info, что указывало на попытку добраться и до синхронизируемых пасскеев, хранящихся в облаке. Атака показала: сама криптография пасскея взломать нельзя, но если скомпрометировать учётную запись, через которую синхронизируются ключи, или обманом заставить пользователя ввести мастер-пароль, защита обходится на уровне инфраструктуры.
Другой инцидент произошёл в декабре 2025 года: журналист французского издания Numerama лишился аккаунта PlayStation Network, защищённого пасскеем, дважды за короткое время. Причиной стала не уязвимость FIDO2, а особенности процедуры восстановления доступа на стороне сервиса - злоумышленники воспользовались ею, чтобы обойти фактор аутентификации. Этот случай подчёркивает, что безопасность пасскеев зависит не только от устройства пользователя, но и от корректности реализации на стороне проверяющей стороны.
Ограничения и эволюция
Пасскеи не отменяют всех рисков. Синхронизируемые ключи (Synced Passkeys) хранятся в облачных хранилищах вроде iCloud Keychain или Google Password Manager, поэтому безопасность зависит от защиты аккаунта синхронизации. Устройство-привязка (Device-Bound) не даёт переносить ключ между устройствами, что повышает стойкость, но создаёт риск потери доступа при поломке гаджета. NIST с июля 2025 года классифицирует синхронизируемые пасскеи как соответствующие уровню AAL2, а для привилегированного доступа рекомендуются аппаратные ключи уровня AAL3. Для безопасного переноса между менеджерами паролей разработан протокол FIDO Credential Exchange Protocol, снижающий привязку к вендору. Таким образом, пасскеи устраняют целые классы атак, связанных с фишингом и кражей статических секретов, но требуют продуманной стратегии восстановления доступа и защиты канала синхронизации.
