Роками прихильники ключів доступу (passkeys) називають їх майбутнім автентифікації, а традиційні паролі – пережитком минулого. Нову технологію хвалять за зручність і значно вищий рівень безпеки. Проте навіть цього тижня мені довелося вводити звичайні паролі стільки разів, що годі й злічити.
Зрозумійте правильно: масштаби поширення ключів доступу справді вражають (про це – трохи згодом). Проте я не можу не дивуватися тому, як сьогодні виглядає процес авторизації. Чому застарілі технології продовжують домінувати, коли вже існують набагато кращі рішення?
Технічно ключ доступу складається з двох криптографічних ключів. Приватний ніколи не залишає ваш пристрій, а публічний – зберігається на сайті, де ви авторизуєтесь. Під час входу пристрій лише підтверджує наявність приватного ключа. Жодні дані, які міг би перехопити хакер, не передаються. Саме тому, на відміну від звичайних паролів, ключі доступу неможливо викрасти за допомогою фішингу.
Найпростіше це пояснити так: пароль – це те, що ви знаєте, а ключ доступу – це те, що ви маєте (ваш пристрій), або те, ким ви є (біометрія).
На пристроях Apple перевірку здійснює Face ID або Touch ID, а приватний ключ надійно зберігається в чипі Secure Enclave. Якщо у вас кілька гаджетів, «В’язка ключів iCloud» (iCloud Keychain) безпечно синхронізує приватні ключі між iPhone, iPad та Mac, залишаючи їх у межах захищених апаратних зон кожного пристрою.
За даними FIDO Alliance, вже понад 15 мільярдів облікових записів підтримують авторизацію за допомогою ключів доступу. Google стверджує, що її користувачі застосували цю технологію понад мільярд разів у 400 мільйонах акаунтів. На WWDC 2025 компанія Apple представила новий інструмент: тепер застосунки можуть реєструвати вас за допомогою ключа доступу від самого початку – взагалі без створення пароля. Microsoft пішла ще далі, зробивши нові облікові записи безпарольними за замовчуванням.
Проте бізнес усе ще неохоче переходить на нові стандарти. Нещодавно навіть з’явився спеціальний сайт, який публічно «соромить» популярні сервіси за відсутність підтримки ключів доступу. І деякі імена в цьому списку справді дивують: Instagram, Spotify, Netflix.
Така повільність здебільшого пов’язана з процедурою відновлення доступу. Стандарт FIDO2, на якому базуються passkeys, не має вбудованого механізму відновлення. Якщо ви втратите всі пристрої зі своїми ключами, єдиним запасним варіантом залишиться старе добре посилання для скидання, надіслане на електронну пошту. Але ж саме цю вразливість ключі доступу і мали усунути! Ось чому SaaS-платформи та інші сайти перестраховуються і залишають традиційне поле для введення пароля як резерв.
Ще однією перепоною є портативність, хоча цю проблему вже активно вирішують. Ключі доступу зберігаються в розрізнених системах: iCloud Keychain, Google Password Manager, різних браузерах. Історично ці сховища не взаємодіяли між собою, а отже, не могли обмінюватися обліковими даними. Але крига скресла. В iOS 26 Apple додала можливість кросплатформного імпорту та експорту ключів доступу. Це фундаментальна зміна курсу, особливо якщо згадати, наскільки закритою завжди була екосистема Apple.
Та поки протокол Credential Exchange Protocol, що лежить в основі цієї функції, не почне безперебійно працювати на всіх платформах, спроба відмовитися від паролів може обернутися жорсткою прив’язкою користувача до однієї екосистеми.
Замість висновку
Сама по собі криптографія надійна і значно стійкіша до фішингу. Однак це не закриває всіх технічних нюансів. Головна проблема ключів доступу – радше операційна. Щоб епоха паролів остаточно завершилася, процес відновлення має стати безвідмовним, перенесення даних – безперешкодним, а сайти повинні врешті-решт прибрати поле для введення пароля.
Apple сьогодні випереджає більшість конкурентів: вони пропонують найзручніший екосистемний досвід (що й не дивно) і запровадили підтримку експорту ключів навіть раніше за Google. Але поки згадані прогалини не будуть остаточно усунуті, традиційні форми входу нікуди не зникнуть.
Ключі доступу точно стануть майбутнім автентифікації… просто трохи згодом.
