Як використовувати смартфон як ключ безпеки для Google-акаунта: passkey замість пароля

Смартфон на Android або iPhone може працювати як ключ безпеки для Google-акаунта: вхід підтверджується відбитком пальця, обличчям або PIN-кодом телефона, а пароль і SMS-код стають непотрібними. Технологія називається passkey (ключ доступу).

Google зробив її варіантом входу за замовчуванням для особистих акаунтів ще в жовтні 2023 року, проте багато користувачів досі не налаштували її або не знають, як увійти за допомогою телефона на чужому компʼютері.

Що таке passkey і чому він захищає від фішингу

Passkey — це пара криптографічних ключів. Публічний ключ зберігається на сервері Google, приватний — лише на пристрої користувача і нікуди не передається. Щоб скористатися приватним ключем, потрібно розблокувати пристрій біометрією, PIN-кодом або графічним ключем.

Головна перевага — стійкість до фішингу. Passkey привʼязаний до конкретного сайту чи застосунку, для якого його створено, тож на підробленій сторінці він просто не спрацює. Технологію розробили в FIDO Alliance на основі відкритих стандартів, тому вона працює на Android, iOS, Windows, macOS і в більшості сучасних браузерів.

Чи можна використовувати телефон як FIDO2-ключ

Так. Passkey на смартфоні побудований на тих самих стандартах FIDO2/WebAuthn, що й апаратні USB- чи NFC-ключі на кшталт Titan Security Key. Різниця в тому, де зберігається секрет.

Passkey на смартфоніАпаратний FIDO2-ключ

Вартість	Безкоштовно — телефон уже є	Потрібно купувати, бажано два (основний і запасний)
Синхронізація	Синхронізується через менеджер паролів між пристроями одного акаунта	Привʼязаний до фізичного пристрою, не копіюється
Втрата пристрою	Passkey відновлюється на новому телефоні через акаунт	Без запасного ключа доведеться відновлювати доступ іншим способом
Кому підходить	Більшості користувачів	Журналістам, активістам, адміністраторам — усім, хто є ціллю цілеспрямованих атак

Для людей із підвищеним ризиком Google пропонує Програму додаткового захисту (Advanced Protection Program) із найсуворішими налаштуваннями безпеки.

Що потрібно для роботи

За даними довідки Google, passkey підтримують:

• телефони з Android 9 і новішим або з iOS 16 і новішим;
• компʼютери з Windows 10, macOS Ventura, ChromeOS 109 і новішими версіями;
• браузери Chrome 109+, Safari 16+, Edge 109+, Firefox 122+;
• апаратні ключі з підтримкою протоколу FIDO2.

Перед налаштуванням потрібно:

• увімкнути блокування екрана на телефоні;
• увімкнути Bluetooth — без нього телефон не зможе підтвердити вхід на компʼютері;
• на iPhone, iPad і Mac — увімкнути  Вʼязку ключів iCloud (iCloud Keychain).

Як створити passkey для Google-акаунта

На Android-смартфоні, де виконано вхід у Google-акаунт, система зазвичай сама пропонує створити passkey під час входу. Щоб зробити це вручну:

1. Відкрити google.com/security у будь-якому підтримуваному браузері.
2. У розділі входу в Google знайти пункт «Ключі доступу й ключі безпеки».
3. Натиснути «Створити ключ доступу».
4. Підтвердити створення відбитком пальця, обличчям або PIN-кодом пристрою.

Passkey, збережені в Google Password Manager, синхронізуються з наскрізним шифруванням і доступні на всіх пристроях, де виконано вхід у той самий акаунт у Chrome або Android. Chrome на macOS зберігає їх у Google Password Manager за замовчуванням, а на iPhone та iPad цю можливість вмикають у системних налаштуваннях.

Двоетапна перевірка для створення passkey не обовʼязкова: passkey замінює одночасно і пароль, і другий фактор. Водночас інші способи входу залишаються доступними як резервні.

Як увійти на компʼютері за допомогою телефона

Цей сценарій і перетворює смартфон на ключ безпеки: passkey лишається на телефоні, а вхід підтверджується на ньому.

1. На сторінці входу Google на компʼютері ввести адресу електронної пошти.
2. Натиснути «Спробувати інший спосіб» і вибрати «Використати ключ доступу».
3. На екрані зʼявиться QR-код — відсканувати його камерою телефона.
4. Підтвердити вхід на телефоні біометрією або PIN-кодом.

Після сканування QR-коду пристрої перевіряють через Bluetooth, що перебувають поруч. Саме тому зловмисник, який надіслав жертві QR-код дистанційно, не зможе ним скористатися. Якщо пристрої вже повʼязувалися раніше, замість QR-коду на телефон може одразу прийти запит на підтвердження.

Якщо passkey зберігається на апаратному FIDO2-ключі, у цьому ж вікні можна вибрати його.

Що робити, якщо телефон втрачено

Злодій не зможе скористатися passkey без розблокування телефона. Проте втрачений пристрій варто одразу прибрати з акаунта:

• з іншого пристрою відкрити google.com/security і видалити passkey втраченого телефона в розділі ключів доступу;
• у списку пристроїв, з яких виконано вхід, завершити сеанс на втраченому телефоні;
• якщо passkey синхронізувалися, на новому телефоні вони зʼявляться після входу в той самий акаунт.

Щоб не втратити доступ зовсім, варто тримати в акаунті щонайменше один резервний спосіб входу. Google радить обирати для двоетапної перевірки підказки Google замість SMS — вони захищають від атак із підміною SIM-картки.

Нюанси та обмеження

• Вихід з акаунта на Android. Після виходу увійти за допомогою passkey на цьому пристрої можна ще протягом 6 годин. Потім знадобиться інший спосіб входу, а під час наступного входу Android створить новий passkey, і старий перестане діяти.
• Сторонні менеджери паролів. На Android 14 і новіших можна зберігати passkey не лише в Google Password Manager, а й у сторонніх менеджерах паролів.
• Спільні пристрої. Не варто створювати passkey на чужому чи публічному компʼютері: будь-хто, хто його розблокує, отримає доступ до акаунта. Для таких випадків і призначений вхід через QR-код із власного телефона.
• Старі апаратні ключі. Якщо FIDO2-ключ додано в акаунт до травня 2023 року, для створення на ньому passkey його, можливо, доведеться видалити й додати знову.

Детальніше про інші способи захисту — у матеріалі про двофакторну автентифікацію на всіх пристроях, а власникам техніки Apple — у гайді про passkey на iPhone, iPad і Mac.