Будущее без паролей: как работают FIDO ключи доступа и насколько они безопасны

Каждый год эксперты по безопасности предоставляют нам список самых ненадежных паролей и лидеры там каждый год одни и те же: qwerty123, qwerty1 и 123456, a11111, 123456789 и прочие тому подобные ключи, на взлом которых у злоумышленников уходят доли секунд. На рынке есть масса генераторов надежных паролей и менеджеров паролей, как платных, так и бесплатных, однако большинство пользуется ими крайне неохотно, предпочитая создавать примитивные ключи или хранить надежные на совершенно нелепых носителях, например, стикерах, наклеенных на монитор, или в блокнотах.
Впрочем, даже опытную часть интернет-сообщества могут ждать неприятности, ведь все чаще мы сталкиваемся с утечками целых баз данных и это уже не списать на халатность рядовых пользователей.
И с той, и с другой проблемой помогают бороться FIDO ключи доступа, о которых все чаще говорят разработчики софта и эксперты по безопасности.

Как работают

В ближайшие годы вам наверняка все чаще придется сталкиваться с аббревиатурой FIDO — Fast Identity Online. Это открытый стандарт в котором ваше устройство используется для локального хранения данных учетных записей. Другими словами, вашу личность подтверждает не набор букв и цифр, а сам ваш смартфон.
Вы регистрируете учетную запись как обычно, но вместо пароля система предложит вам создать код доступа и подтвердить действие отпечатком пальца, пин-кодом или другим удобным вам способом и никаких дополнительных действий не требуется. При повторном входе вы сможете просто использовать автозаполнение как обычно.

А если использовать другое устройство?

Звучит круто, но ведь мы говорим об интернет-ресурсах и современный человек хочет получать доступ к ним с любого устройства, а не только с того, откуда изначально регистрировался. Разработчики софта прекрасно это понимают и предусмотрели решение. На новом устройстве вам нужно будет отсканировать QR-код при помощи своего смартфона и этого будет достаточно для аутентификации. Причем сам код доступа при этом не передается на новое устройство. А если мы говорим об Android-устройствах, вы сможете использовать беспарольный доступ на всех гаджетах, где вошли в свою учетную запись Google.
У стандарта FIDO есть и еще одна интересная опция: если ваш компьютер или ноутбук “увидит” доверенный смартфон рядом, то аутентификация пользователя пройдет максимально быстро. Для сопряжения при этом используется широко распространенный Bluetooth, так что проблем возникнуть не должно.

Это безопасно?

Коды доступа всегда уникальны, их нельзя использовать повторно для других сервисов и они не могут быть дискредитированы в результате утечки данных. Коды доступа устойчивы к фишингу: эти данные просто невозможно получить у наивного пользователя, более того, с FIDO мы получаем проверку не только пользователя, но и запрашивающего данные сервиса.
Предусмотрена и синхронизация ключей, при этом в менеджере паролей Google они защищены сквозным шифрованием и чтобы получить с ним доступ, вы должны будете подтвердить личность.

Перспективы развития

Как и любой другой технологии, ключам доступа нужны были популяризаторы, которые бы смогли привлечь внимание масс к новой возможности и теперь они есть, это Google, Microsoft и Apple
Не так давно браузер Chrome на Android в стабильной 108 версии предложил пользователям заменить пароли ключами доступа. Еще раньше такая возможность появилась у владельцев учетных записей Microsoft, но там вам нужно будет использовать фирменное приложение-аутентификатор.
Что до кодов доступа, это кросплатформенное решение (есть поддержка iOS, Android, macOS и Windows 11), которое уже сегодня работает с множеством сервисов и некоторыми менеджерами паролей, например, 1Password. Уверены, количество последних будет расти стремительно. С интеграцией кодов доступа в популярные менеджеры паролей решится и проблема украденного/утерянного смартфона, которая волнует многих потенциальных пользователей.

Что думают о новой технологии наши читатели? Уже используете беспарольный доступ или планируете использовать? Ждем ваших мнений в комментариях и обсуждениях на канале PDALIFE Official в Telegram.