Смартфон на Android або iPhone може працювати як ключ безпеки для Google-акаунта: вхід підтверджується відбитком пальця, обличчям або PIN-кодом телефона, а пароль і SMS-код стають непотрібними. Технологія називається passkey (ключ доступу).

Google зробив її варіантом входу за замовчуванням для особистих акаунтів ще в жовтні 2023 року, проте багато користувачів досі не налаштували її або не знають, як увійти за допомогою телефона на чужому компʼютері.

Що таке passkey і чому він захищає від фішингу

Passkey — це пара криптографічних ключів. Публічний ключ зберігається на сервері Google, приватний — лише на пристрої користувача і нікуди не передається. Щоб скористатися приватним ключем, потрібно розблокувати пристрій біометрією, PIN-кодом або графічним ключем.

Головна перевага — стійкість до фішингу. Passkey привʼязаний до конкретного сайту чи застосунку, для якого його створено, тож на підробленій сторінці він просто не спрацює. Технологію розробили в FIDO Alliance на основі відкритих стандартів, тому вона працює на Android, iOS, Windows, macOS і в більшості сучасних браузерів.

Чи можна використовувати телефон як FIDO2-ключ

Так. Passkey на смартфоні побудований на тих самих стандартах FIDO2/WebAuthn, що й апаратні USB- чи NFC-ключі на кшталт Titan Security Key. Різниця в тому, де зберігається секрет.

Passkey на смартфоніАпаратний FIDO2-ключ

Для людей із підвищеним ризиком Google пропонує Програму додаткового захисту (Advanced Protection Program) із найсуворішими налаштуваннями безпеки.

Що потрібно для роботи

За даними довідки Google, passkey підтримують:

• телефони з Android 9 і новішим або з iOS 16 і новішим;
• компʼютери з Windows 10, macOS Ventura, ChromeOS 109 і новішими версіями;
• браузери Chrome 109+, Safari 16+, Edge 109+, Firefox 122+;
• апаратні ключі з підтримкою протоколу FIDO2.

Перед налаштуванням потрібно:

• увімкнути блокування екрана на телефоні;
• увімкнути Bluetooth — без нього телефон не зможе підтвердити вхід на компʼютері;
• на iPhone, iPad і Mac — увімкнути  Вʼязку ключів iCloud (iCloud Keychain).

Як створити passkey для Google-акаунта

На Android-смартфоні, де виконано вхід у Google-акаунт, система зазвичай сама пропонує створити passkey під час входу. Щоб зробити це вручну:

1. Відкрити google.com/security у будь-якому підтримуваному браузері.
2. У розділі входу в Google знайти пункт «Ключі доступу й ключі безпеки».
3. Натиснути «Створити ключ доступу».
4. Підтвердити створення відбитком пальця, обличчям або PIN-кодом пристрою.

Passkey, збережені в Google Password Manager, синхронізуються з наскрізним шифруванням і доступні на всіх пристроях, де виконано вхід у той самий акаунт у Chrome або Android. Chrome на macOS зберігає їх у Google Password Manager за замовчуванням, а на iPhone та iPad цю можливість вмикають у системних налаштуваннях.

Двоетапна перевірка для створення passkey не обовʼязкова: passkey замінює одночасно і пароль, і другий фактор. Водночас інші способи входу залишаються доступними як резервні.

Як увійти на компʼютері за допомогою телефона

Цей сценарій і перетворює смартфон на ключ безпеки: passkey лишається на телефоні, а вхід підтверджується на ньому.

1. На сторінці входу Google на компʼютері ввести адресу електронної пошти.
2. Натиснути «Спробувати інший спосіб» і вибрати «Використати ключ доступу».
3. На екрані зʼявиться QR-код — відсканувати його камерою телефона.
4. Підтвердити вхід на телефоні біометрією або PIN-кодом.

Після сканування QR-коду пристрої перевіряють через Bluetooth, що перебувають поруч. Саме тому зловмисник, який надіслав жертві QR-код дистанційно, не зможе ним скористатися. Якщо пристрої вже повʼязувалися раніше, замість QR-коду на телефон може одразу прийти запит на підтвердження.

Якщо passkey зберігається на апаратному FIDO2-ключі, у цьому ж вікні можна вибрати його.

Що робити, якщо телефон втрачено

Злодій не зможе скористатися passkey без розблокування телефона. Проте втрачений пристрій варто одразу прибрати з акаунта:

• з іншого пристрою відкрити google.com/security і видалити passkey втраченого телефона в розділі ключів доступу;
• у списку пристроїв, з яких виконано вхід, завершити сеанс на втраченому телефоні;
• якщо passkey синхронізувалися, на новому телефоні вони зʼявляться після входу в той самий акаунт.

Щоб не втратити доступ зовсім, варто тримати в акаунті щонайменше один резервний спосіб входу. Google радить обирати для двоетапної перевірки підказки Google замість SMS — вони захищають від атак із підміною SIM-картки.

Нюанси та обмеження

• Вихід з акаунта на Android. Після виходу увійти за допомогою passkey на цьому пристрої можна ще протягом 6 годин. Потім знадобиться інший спосіб входу, а під час наступного входу Android створить новий passkey, і старий перестане діяти.
• Сторонні менеджери паролів. На Android 14 і новіших можна зберігати passkey не лише в Google Password Manager, а й у сторонніх менеджерах паролів.
• Спільні пристрої. Не варто створювати passkey на чужому чи публічному компʼютері: будь-хто, хто його розблокує, отримає доступ до акаунта. Для таких випадків і призначений вхід через QR-код із власного телефона.
• Старі апаратні ключі. Якщо FIDO2-ключ додано в акаунт до травня 2023 року, для створення на ньому passkey його, можливо, доведеться видалити й додати знову.

Детальніше про інші способи захисту — у матеріалі про двофакторну автентифікацію на всіх пристроях, а власникам техніки Apple — у гайді про passkey на iPhone, iPad і Mac.

Ця стаття Як використовувати смартфон як ключ безпеки для Google-акаунта: passkey замість пароля раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим