Ключі доступу (passkeys) поступово витісняють паролі: вхід в акаунт зводиться до дотику до сканера відбитків пальців або погляду в камеру смартфона. Проте за цією зручністю стоїть питання, яке мало хто ставить собі заздалегідь: що буде з усіма акаунтами, захищеними ключами доступу, якщо телефон раптово вийде з ладу, загубиться чи його вкрадуть? Відповідь залежить передусім від того, де саме зберігаються ключі, — і здебільшого вона цілком заспокійлива.
Смартфон — не обовʼязково єдине сховище ключів
Якщо ключ доступу створено на Android-смартфоні й збережено в Google Password Manager, він не залишається «замкненим» у телефоні. Менеджер паролів шифрує ключі доступу та синхронізує їх через акаунт Google, тож вони стають доступними на інших підтримуваних пристроях, де виконано вхід у той самий акаунт.
Отже, зламаний телефон не забирає ці ключі з собою. Щоб повернути синхронізовані ключі на новому пристрої, потрібно увійти в акаунт Google і підтвердити особу способом розблокування екрана, який використовувався на Android-пристрої, — PIN-кодом, паролем або графічним ключем. Сам старий телефон для цього не потрібен: достатньо памʼятати його код. Інший варіант — PIN-код Google Password Manager, якщо його було налаштовано.
Apple працює за схожим принципом: ключі доступу синхронізуються між схваленими пристроями через iCloud Keychain. Для відновлення звʼязки ключів на новому пристрої використовуються акаунт Apple, SMS на довірений номер телефону та код-пароль пристрою. Ще один шлях — контакт для відновлення облікового запису, якщо його додано заздалегідь: він допоможе повернути доступ, навіть коли забуто пароль акаунта Apple чи код-пароль пристрою. Оскільки стандартна процедура відновлення спирається на SMS, такий контакт особливо цінний у разі одночасної втрати телефона й SIM-картки.
Сторонні менеджери паролів, що синхронізують ключі доступу, забезпечують аналогічне резервування. Тож знати, де саме зберігаються ключі, означає позбавити себе неприємних здогадок у момент, коли телефон уже розбився об асфальт.
Чому сайт тут не допоможе
Водночас сайт, на який виконується вхід, сам відновити ключ доступу не може. Під час реєстрації операційна система створює унікальну криптографічну пару ключів: сервіс зберігає лише відкритий ключ, яким перевіряє користувача, а закритий залишається в постачальника ключів доступу або на пристрої. Якщо закритий ключ утрачено й постачальник не може його повернути, сайт, як правило, не здатен його відтворити. Тоді доведеться скористатися іншим способом відновлення акаунта, а потім зареєструвати новий ключ доступу.
Ключі, привʼязані до пристрою, справді зникають разом із ним
Заспокійлива відповідь вище має суттєве застереження: ключі доступу бувають синхронізованими або привʼязаними до конкретного пристрою (device-bound). Останні на інші пристрої не синхронізуються.
Альянс FIDO використовує цей термін для облікових даних, які не можуть залишити пристрій, що їх видав, — зокрема ключів доступу на апаратних ключах безпеки. Microsoft застосовує той самий підхід до ключів доступу Microsoft Entra для робочих і навчальних облікових записів: вони зберігаються в локальному контейнері Windows Hello й не синхронізуються між пристроями. Якщо такий пристрій — єдине місце, де існує ключ доступу, то з утратою пристрою зникає і ключ.
Доступ до акаунта все ще можна повернути — через інший зареєстрований ключ доступу, апаратний ключ безпеки, код відновлення, пароль або процедуру відновлення, яку пропонує сервіс. Після цього варто створити новий ключ доступу. Складність у тому, що кожен сервіс організовує відновлення по-своєму, тож наявність одного ключа доступу ще не гарантує однакової страховки всюди.
QR-код не замінить робочий телефон
Хибне враження можуть створювати й входи через QR-код. Крос-пристроєва автентифікація дає змогу компʼютеру показати QR-код, а смартфону з ключем доступу, що лежить поруч, — підтвердити вхід. Для цього телефон має бути поруч і розблокований, а Bluetooth — увімкнений: через нього пристрої перевіряють, що перебувають близько один до одного. Смартфон зі згорілою материнською платою в цій схемі вже не бере участі.
Для акаунтів, утрата яких неприпустима, доцільно зареєструвати додатковий автентифікатор, якщо сервіс це дозволяє. Апаратний ключ безпеки може зберігати власний ключ доступу — і це шлях назад в акаунт, який не залежить від того самого телефона.
Як підготуватися, поки всі пристрої працюють
Головний висновок не в тому, що ключі доступу ненадійні. Синхронізовані ключі значно спрощують повернення в акаунти після втрати телефона. Але питання відновлення не варто залишати на волю випадку. Для кожного акаунта, втрата якого була б болісною, варто заздалегідь виконати кілька перевірок.
- Зʼясувати, де зберігається ключ доступу. У Google Password Manager чи в застосунку «Паролі» від Apple? У сторонньому менеджері паролів? Чи він існує лише на одному автентифікаторі?
- Переконатися, що доступ до самого постачальника ключів можна відновити. Менеджер паролів нерідко є «вхідними дверима» до десятків акаунтів, тож його налаштування відновлення варто перевірити до того, як ці двері зачиняться.
- Мати більше ніж один автентифікатор. Не варто робити ставку на єдиний пристрій: якщо сервіс дозволяє зареєструвати другий ключ доступу на іншому автентифікаторі, цим слід скористатися.
- Зберегти резервні коди. Якщо сервіс пропонує резервні коди або інший запасний механізм, їх слід тримати в надійному місці.
- Не покладатися лише на SMS. Текстове повідомлення мало чим допоможе, якщо разом із телефоном утрачено й доступ до номера. Там, де сервіс дозволяє, варто мати незалежний спосіб відновлення, — тим паче що є й інші вагомі причини відмовитися від двофакторної автентифікації через SMS.
Що зробити після відновлення доступу
Повернувшись в акаунт, варто видалити втрачений пристрій або повʼязаний із ним ключ доступу. Google, наприклад, дає змогу переглянути зареєстровані ключі доступу в налаштуваннях акаунта, а ключі, які Android створив автоматично, прибрати, вийшовши з акаунта на відповідному пристрої в розділі керування пристроями. Варто також урахувати, що новим ключем доступу Google іноді можна скористатися лише через сім днів після створення. Пришвидшити цей процес допомагає вже наявний довірений ключ доступу або апаратний ключ безпеки.
Резервний шлях має бути деінде
Зламаний телефон — лише половина проблеми, до якої варто підготуватися. Значно гірший сценарій — одночасна втрата смартфона, SIM-картки та доступу до акаунта, через який синхронізуються ключі доступу. В умовах війни, коли телефон можна втратити під час евакуації чи обстрілу, такий сценарій зовсім не теоретичний. Тому резервний варіант повинен вести назад в акаунти шляхом, який не залежить від того самого пристрою, що вже зник.
