Passkey.

Passkey — это учётные данные с открытым ключом, которые создаются и хранятся аутентификатором (смартфоном, аппаратным ключом или платформенной связкой) и регистрируются у проверяющей стороны. Он опирается на два стандарта: API WebAuthn консорциума W3C (Level 1 стал Рекомендацией 4 марта 2019 года, Level 2 — 8 апреля 2021 года, Level 3 в стадии черновика) и протокол CTAP2 альянса FIDO между клиентом и аутентификатором — вместе они продвигаются под маркой FIDO2. Для входа пользователь разблокирует аутентификатор биометрией или PIN; устройство подписывает закрытым ключом одноразовый вызов от сервера, а сервер проверяет подпись зарегистрированным открытым ключом.

Поскольку закрытый ключ не покидает защищённый элемент, а подпись криптографически привязана к origin сайта (rpId), passkey исключает повторное использование паролей, фишинг, повтор (replay) и большинство прокси-наборов adversary-in-the-middle вроде Evilginx — подписанный origin не совпадает с доменом злоумышленника. Apple представила потребительские passkey на WWDC 2022; Google сделала их вариантом входа по умолчанию в 2023 году, а Microsoft последовала для личных аккаунтов в 2024 году. Синхронизируемые passkey (iCloud Keychain, Google Password Manager, 1Password) восстанавливаются на других устройствах, а привязанные к аппаратным ключам вроде YubiKey обеспечивают максимальный уровень доверия для корпоративного применения. Остаточные риски связаны с резервными механизмами восстановления аккаунта и доверием к провайдерам облачной синхронизации.

flowchart TD
  subgraph R[Регистрация]
    A[Пользователь] -->|разблокировка биометрия/PIN| B[Аутентификатор создаёт пару ключей]
    B -->|открытый ключ + ID учётных данных| C[Проверяющая сторона хранит открытый ключ]
  end
  subgraph V[Аутентификация]
    D[Сервер отправляет случайный вызов] --> E[Аутентификатор подписывает вызов<br/>закрытым ключом, привязка к rpId]
    E -->|подписанное утверждение| F{Подпись верна<br/>и origin совпадает?}
    F -->|Да| G[Доступ предоставлен]
    F -->|Нет| H[Отказ - фишинг/повтор заблокирован]
  end