В начале мая в одном из блогов Microsoft вышла программная статья Pushing passkeys forward. Из неё в новости попало лишь объявление о том, что учётные записи Microsoft (MSA) по умолчанию будут создаваться беспарольными. Это я уже разобрал в канале Telegram.

При этом статья Microsoft в целом была посвящена ключам доступа (passkeys). Это относительно новый способ беспарольной аутентификации. Его активно продвигают лидеры ИТ-индустрии – Microsoft и Google, что неудивительно при их огромной пользовательской базе.

Про беспарольный вход в аккаунты этих компаний я рассказывал неоднократно: раз, два, три. Но там не было речи о ключах доступа. Теперь дошла очередь и до них.

[+] Сегодня в программе

Сейф с ключами доступа

Ключи доступа привязаны к устройствам, на которых они создаются и хранятся. Каждое устройство (например, компьютер под управлением Windows) можно сравнить с сейфом. В нём лежат ключи к различным аккаунтам — Google, Adobe, GitHub и другим сервисам.

Сейф заперт на замок, который может открыть только владелец учётной записи на устройстве. В Windows вы делаете это с помощью Hello, используя ПИН-код или биометрию. Тем самым вы извлекаете из сейфа ключ доступа, отпирающий дверь к аккаунту, в который выполняется вход.

Преимущества ключей доступа

Ключи доступа хранятся на компьютере, планшете или смартфоне и вступают в игру в момент входа в веб-сервис или приложение.

Основные плюсы:

• Устойчивость к фишингу. Это вытекает из беспарольной аутентификации. Невозможно перехватить пароль, если он никуда не передаётся.
• Простой и быстрый вход. Не надо вводить сложные пароли и одноразовые коды из аутентификатора.

Что под капотом

Криптография, разумеется! На устройстве генерируется пара криптографических ключей:

• публичный ключ сохраняется в онлайн-сервисе, в который вы входите
• частный ключ хранится на устройстве и защищается средствами его разблокировки (ПИН-код, биометрия)

Когда вы выполняете вход в сервис, тот отправляет запрос устройству. Если на нём есть ключ доступа, появляется приглашение предоставить ПИН-код или биометрию. Так вы подписываете полученный запрос частным ключом.

Подписанный запрос отправляется обратно на сервер. Тот сверяет подпись с публичным ключом. В случае успеха дверь в аккаунт отпирается.

Двойная беспарольность

Вы заметили, что в описании процесса не упоминался пароль? Причём не только при входе в сервис, но и при извлечении ключа доступа на устройстве.

Допустим, вы входите в аккаунт GitHub на компьютере под управлением Windows или смартфоне на Android. Вводите имя пользователя и получаете запрос на ввод ПИН-кода / биометрии от учётной записи компьютера или смартфона. То есть в процессе не участвует ни пароль GitHub, ни пароль учетной записи компьютера или смартфона.

У некоторых сервисов (например, Google) при входе на компьютере также есть возможность просканировать QR-код камерой смартфона, если на том уже сохранён ключ доступа.

Демо входа с ключом доступа

Вход с сохранёнными ключами моментальный! Судите сами:

Управление ключами доступа

Добавление ключей осуществляется в настройках сервиса. Обычно, это в разделе про безопасность или вход.

Читайте инструкции по управлению ключами доступа Microsoft и Google.

В Windows вы можете лишь удалить ключи, которые добавили на данное устройство.

В Android ключ доступа для вашей учётной записи Google создаётся автоматически. Управление ключами к другим аккаунтам по умолчанию завязано на менеджере паролей Google. Можно подтянуть их на новый телефон, введя ПИН-код от старого. То есть хранение ключей не ограничено устройствами, но связь с ними прослеживается. Есть интеграция и со сторонними поставщиками – вместо родного менеджера паролей можно использовать Samsung Pass, например.

Является ли аутентификация с ключом доступа двухэтапной или двухфакторной или…

Подписчик Camaro задал этот вопрос в личных сообщениях.

Аутентификация выглядит одноэтапной — вместо пароля вы вводите ПИН-код (вы знаете) или предоставляете биометрию (кем являетесь). Однако это второй фактор 2FA! Потому что первый — владение устройством, на котором выполняется вход. Факт владения подтверждается разблокировкой устройства.

Но есть нюанс © И я затрагивал его ранее в посте О двух факторах аутентификации на одном устройстве в контексте рекомендаций NIST. Там была фраза:

В общем случае верификатор не может знать, было ли устройство заблокировано изначально и выполнялась ли разблокировка с соблюдением требований для соответствующего типа аутентификатора.

Тогда я приводил пример разблокировки смартфона устройством Bluetooth. А здесь представьте автоматический вход в Windows. В этом случае разблокировка учётной записи Windows выполняется без ПИН-кода или биометрии.

Да, из коробки Microsoft отключает автологон, требуя аутентификацию с Hello для учётных записей Microsoft. Но это лишь пользовательская настройка, нежели граница безопасности.

Резюме

Выводы те же, что и в упомянутом выше посте канала про рекомендации NIST. Ключ доступа на устройстве — это достойный вариант двухэтапной аутентификации, хотя есть и более защищённые (например, ключ на USB-токене). Однако в нём хорошо сбалансированы безопасность и удобство, что и требуется для защиты широких масс.

Если вы храните ключи доступа к различным аккаунтам на своём устройстве, важно поддерживать на нём уровень безопасности, который рекомендует изготовитель ОС. Так, в Windows не следует включать парольный вход (тем более автоматический) или отключать шифрование BitLocker. Вы ведь не стали бы просверливать отверстия в своём сейфе?