Беспарольная аутентификация: как работает вход без пароля

Беспарольная аутентификация — вход в систему без ввода пароля. Вместо запоминаемой строки используется то, чем пользователь владеет (устройство с ключом), или то, чем он является (отпечаток, черты лица).

Смысл не в удобстве, хотя оно тоже есть. Смысл в устранении самого проблемного элемента схемы.

Что не так с паролями

Пароль воспроизводим. Узнав его, злоумышленник пользуется им сколько угодно и откуда угодно, а владелец об этом не знает.

Пароли повторяют. Человек не в состоянии помнить тридцать разных сложных строк, поэтому использует одну с вариациями. Утечка на стороннем сайте открывает доступ к рабочим системам.

Пароль можно выманить. Фишинговая страница, похожая на настоящую, — и пользователь вводит пароль сам, добровольно.

Пароли перебирают. Утечки прошлых лет дали злоумышленникам огромные словари реальных паролей.

Требования сложности и регулярной смены проблему не решают: они лишь заставляют людей изобретать предсказуемые схемы вроде добавления цифры в конце.

Способы беспарольного входа

Passkeys и ключи FIDO2

Самый надёжный вариант. При регистрации устройство создаёт пару ключей: закрытый остаётся на устройстве и никогда его не покидает, открытый передаётся сервису.

При входе сервис присылает случайные данные, устройство подписывает их закрытым ключом, сервис проверяет подпись открытым.

Два принципиальных следствия:

• Красть нечего. У сервиса нет секрета, который можно похитить при утечке базы, — только открытый ключ, бесполезный для входа.
• Фишинг не работает. Ключ привязан к адресу сайта. На поддельном домене подпись не будет создана — не потому, что пользователь заметил подмену, а потому что это невозможно технически.

Биометрия устройства

Отпечаток пальца или распознавание лица разблокируют доступ к ключу, хранящемуся на устройстве. Важная деталь: биометрические данные не передаются на сервер и не хранятся у сервиса — они остаются в защищённой области устройства.

Магические ссылки

Пользователь вводит адрес почты, получает письмо со ссылкой, переходит по ней и оказывается внутри.

Просто в реализации, но защита сводится к защите почтового ящика. Если ящик скомпрометирован, скомпрометирован и доступ. Для критичных систем не подходит.

Одноразовые коды

Код по SMS или на почту. Формально пароля нет, но по надёжности вариант слабый: SMS уязвим к перевыпуску SIM-карты, а код можно выманить фишингом ровно так же, как пароль.

Сравнение надёжности

Способ	Устойчивость к фишингу	Что происходит при утечке базы
Passkeys, FIDO2	Да	Ничего: открытый ключ бесполезен
Биометрия устройства	Да	Ничего: данные не покидали устройство
Магическая ссылка	Нет	Зависит от защищённости почты
Код по SMS	Нет	Зависит от оператора связи

Вывод простой: беспарольный вход не является синонимом надёжного входа. Магические ссылки и SMS-коды убирают пароль, но не устраняют возможность обмануть пользователя. Настоящий выигрыш даёт криптография.

Беспарольный вход и MFA

Их часто противопоставляют, хотя они сочетаются.

MFA добавляет фактор поверх пароля. Беспарольный вход убирает пароль, оставляя более надёжный фактор.

Passkey сам по себе объединяет два фактора: владение устройством и подтверждение личности через биометрию или PIN-код. То есть беспарольный вход через passkey — это уже многофакторная аутентификация, просто в один шаг для пользователя.

Как переходить

Не отключайте пароли сразу. Некоторое время способы сосуществуют: пользователи привязывают passkey, продолжая иметь возможность войти по паролю.

Начните с администраторов. У них выше риск и обычно выше техническая подготовка.

Обеспечьте запасной путь. Устройства теряются и ломаются. Резервные коды и понятная процедура восстановления нужны до перехода, а не после первого обращения в поддержку.

Учтите несколько устройств. Passkey привязан к устройству; пользователю с рабочим ноутбуком и телефоном нужно зарегистрировать оба.

Объясните смысл. Формулировка «теперь вход по отпечатку, пароль больше не нужен» воспринимается лучше, чем технические подробности.

Как это устроено в Keydee

• Passkeys поддерживаются как способ входа; ключ привязывается к устройству пользователя.
• Второй фактор через TOTP доступен для сценариев, где passkeys неприменимы.
• Способ входа настраивается политикой компании — можно разрешить passkeys наравне с паролем или требовать второй фактор.
• Резервные коды выдаются при подключении факторов.
• Управление устройствами: пользователь видит активные сессии и может завершить любую.
• Администратор может отозвать фактор сотрудника — например, при утере устройства.

Чего беспарольный вход не решает

Он защищает точку входа, но не заменяет остальное. Права по-прежнему нужно ограничивать ролями, сессии — контролировать и уметь завершать, действия — журналировать.

Вход без пароля убирает самый эксплуатируемый вектор атаки. Остальные остаются на месте.