Passkeys — це ключі доступу, які дають змогу входити на сайти та в застосунки без введення традиційного пароля: користувач підтверджує вхід тим самим способом, яким розблоковує свій пристрій — відбитком пальця, розпізнаванням обличчя, PIN-кодом або іншим локальним механізмом. Про це повідомляє редакція сайту UAHunter, посилаючись на офіційні матеріали FIDO Alliance, Google та специфікацію Web Authentication від W3C. Технологія базується на криптографії з відкритим ключем і створювалася як стійкіша до фішингу альтернатива паролям.
На відміну від звичайного пароля, який користувач і сервер фактично мають знати або перевіряти, passkey використовує пару криптографічних ключів. Відкритий ключ передається сервісу, а приватний залишається під контролем пристрою або провайдера ключів доступу. Під час входу сервер надсилає криптографічний запит, який може бути коректно підтверджений лише за допомогою відповідного приватного ключа. Сам приватний ключ сайту при цьому не передається.
FIDO Alliance описує passkeys як технологію, що є “phishing resistant and secure by design” — тобто стійкою до фішингу завдяки самій архітектурі механізму автентифікації.
Як passkey створюється і що відбувається під час входу
Основою сучасних passkeys є стандарти FIDO та WebAuthn. Web Authentication API дозволяє вебсервісам створювати та використовувати облікові дані на основі криптографії з відкритим ключем. За специфікацією W3C, credential створюється автентифікатором для конкретної сторони, яка здійснює автентифікацію користувача — так званої Relying Party.
Процес можна розділити на кілька етапів:
- під час налаштування passkey пристрій створює унікальну криптографічну пару;
- відкритий ключ реєструється сервісом, тоді як приватна частина залишається під контролем користувацького пристрою або захищеного провайдера ключів;
- при наступному вході сервер формує криптографічний виклик;
- користувач підтверджує свою присутність або особу через механізм розблокування пристрою;
- пристрій використовує приватний ключ для формування криптографічної відповіді, а сервер перевіряє її за збереженим відкритим ключем.
Для самого користувача ця процедура зазвичай значно простіша, ніж технічна схема: він обирає обліковий запис, підтверджує вхід через Face ID, відбиток пальця, PIN або інший дозволений системою спосіб і отримує доступ. Google зазначає, що passkeys можуть використовувати біометричний сенсор, PIN-код або графічний ключ залежно від пристрою та операційної системи.
При цьому біометрія не стає частиною облікових даних, які надсилаються сайту.
У документації Google прямо зазначено:
“Biometric information never leaves the device.”
Тобто серверу не передаються ані зображення обличчя, ані відбиток пальця. Біометрична перевірка відбувається локально, а сервіс отримує криптографічне підтвердження використання відповідного ключа.
Чому passkeys значно складніше викрасти через фішинг
Одна з ключових проблем паролів полягає в тому, що користувача можна переконати самостійно передати секрет зловмиснику. Підроблена сторінка авторизації може виглядати майже так само, як справжній сайт, а введений на ній логін і пароль потраплять до атакувальника.
Архітектура WebAuthn працює інакше. Облікові дані пов’язані з конкретною Relying Party та відповідним вебпоходженням — origin. Специфікація W3C прямо встановлює, що зареєстрований credential “can only be accessed by origins belonging to that Relying Party”. У практичному використанні це означає, що ключ, створений для справжнього сервісу, не повинен автентифікувати користувача на іншому домені, який лише копіює його зовнішній вигляд.
Цю властивість окремо виділяє британський National Cyber Security Centre. У рекомендаціях NCSC зазначено, що passkeys стійкі до фішингу, оскільки вони “can’t be intercepted, reused or stolen like passwords”.
Саме тут технологія принципово відрізняється від паролів і багатьох традиційних кодів підтвердження.
Якщо пароль став відомий сторонній особі, вона потенційно може спробувати використати його повторно. Якщо один пароль застосовується одразу на кількох ресурсах, компрометація одного сервісу створює ризик для інших акаунтів.
Passkey є окремим криптографічним credential для відповідного сервісу, тому схема повторного використання одного секрету на десятках сайтів тут не застосовується так, як у випадку зі звичайними паролями. FIDO Alliance також вказує на захист від credential stuffing — автоматизованих спроб використати викрадені облікові дані на інших сервісах.
Синхронізовані passkeys і ключі, прив’язані до одного пристрою
Passkeys можуть реалізовуватися по-різному. Один із принципових поділів — між синхронізованими та device-bound ключами.
Синхронізований passkey може бути доступний користувачеві на кількох його пристроях через відповідного провайдера ключів. Це спрощує перехід зі старого смартфона на новий і зменшує ризик втратити єдиний спосіб входу разом із пристроєм. FIDO Alliance зазначає, що synced passkeys можуть синхронізувати приватну частину credential між пристроями користувача в межах відповідної захищеної екосистеми.
Наприклад, Apple повідомляє, що passkeys можуть синхронізуватися між пристроями користувача за допомогою iCloud Keychain. За даними компанії, iCloud Keychain використовує наскрізне шифрування, а криптографічні ключі для його захисту не відомі Apple.
На iPhone функція синхронізації паролів і ключів доступу налаштовується через iCloud Passwords & Keychain. Apple також вказує, що для використання passkeys у її екосистемі необхідні відповідні засоби захисту облікового запису та пристрою.
Другий варіант — device-bound passkey. Microsoft визначає його як ключ, який зберігається лише на конкретному пристрої, де він був створений, і не синхронізується з іншими пристроями чи хмарою. У такому разі для входу потрібен саме цей пристрій або інший заздалегідь налаштований спосіб доступу.
Якщо пристрій із таким єдиним ключем втрачено і немає резервного ключа чи іншого дозволеного механізму відновлення, доступ доведеться відновлювати засобами самого сервісу.
Чи означає passkey повну відмову від паролів
Технічно passkey дозволяє сервісу реалізувати автентифікацію без введення пароля. Проте конкретний сайт або застосунок сам визначає доступні способи входу, резервні механізми та процедури відновлення облікового запису.
Google описує passkeys як спосіб створення облікових записів і входу без необхідності користуватися паролями. При цьому фактична реалізація залежить від сервісу: passkey може бути основним способом входу або існувати паралельно з іншими методами автентифікації.
NCSC окремо наголошує на значенні всієї системи автентифікації. Якщо поряд зі стійким до фішингу механізмом залишається слабший спосіб відновлення чи альтернативного входу, він також впливає на загальний захист облікового запису. FIDO Alliance аналогічно зазначає, що процеси відновлення традиційно можуть ставати слабким місцем системи автентифікації.
Тому для важливих акаунтів практичне значення мають не лише самі passkeys, а й:
- захищений доступ до смартфона, комп’ютера та облікового запису провайдера ключів;
- наявність резервного способу отримати доступ після втрати пристрою;
- актуальне програмне забезпечення та контроль над пристроями, на яких зберігаються або синхронізуються ключі.
Що відбувається, якщо користувач змінює смартфон
Для синхронізованих passkeys зміна пристрою не обов’язково означає створення ключів заново. Якщо новий пристрій підключений до того самого підтримуваного провайдера ключів і користувач успішно пройшов передбачену системою перевірку, синхронізовані credentials можуть стати доступними й на ньому.
Саме зручність відновлення після заміни або втрати пристрою є однією з відмінностей synced passkeys від ключів, прив’язаних до конкретного обладнання.
Microsoft прямо пояснює, що синхронізовані passkeys можна використовувати на кількох пристроях у межах підтримуваного провайдера. У Windows також передбачене керування локальними passkeys через розділ Accounts → Passkeys, де користувач може переглядати та видаляти збережені на пристрої ключі.
Наскільки passkeys безпечніші за звичайні паролі
За своїми базовими властивостями passkeys усувають кілька характерних проблем парольної автентифікації: користувачеві не потрібно вигадувати пароль, запам’ятовувати його, передавати сайту під час кожного входу або повторно використовувати один секрет на різних сервісах. Сервер натомість працює з відкритим криптографічним ключем, а секретний компонент залишається під контролем користувацької сторони.
У 2026 році британський NCSC назвав passkeys безпечнішою альтернативою традиційним методам входу та рекомендував їх ширше застосовувати як захист від фішингових атак. Центр наголошує, що криптографічне прив’язування автентифікації до справжнього сервісу усуває типовий сценарій, коли секрет користувача перехоплюють через підроблену сторінку входу.
Водночас passkey захищає саме механізм автентифікації — він не скасовує необхідності захищати пристрій, обліковий запис провайдера ключів та процедури відновлення доступу.
Для звичайного користувача головна зміна виглядає просто: замість введення пароля сервіс просить підтвердити вхід на власному пристрої. Під цією дією працює стандарт WebAuthn, криптографічна пара ключів і перевірка належності credential конкретному сервісу. Саме така конструкція робить passkeys насамперед заміною спільного секрету — пароля — на криптографічну автентифікацію, розраховану на значно вищу стійкість до фішингу та повторного використання викрадених облікових даних.
Читайте також: Штраф за орендоване авто за кордоном після повернення в Україну: чи можна не платити
