Мнение: ключи доступа (passkeys) дают меньше свободы, чем кажется
Технологический автор в эссе предупреждает, что ключи доступа, заменяющие пароли, дают пользователю меньше контроля, чем пароли или приложения-аутентификаторы. Он также критикует состав FIDO Alliance, в котором нет организаций по защите прав потребителей.
Пользователям интернета всё чаще предлагают отказаться от паролей в пользу ключей доступа (англ. passkeys). В эссе, опубликованном на Substack, автор утверждает, что эта технология надёжнее паролей и может быть удобнее, но не даёт пользователю полного контроля над своими учётными данными. Текст является мнением автора, а не независимым исследованием.
Кто стоит за ключами доступа
Ключи доступа разработал альянс FIDO Alliance, в который входят крупные технологические компании, небольшие фирмы, правительства, разведывательные службы, банки, государственные учреждения и несколько некоммерческих организаций, например Mozilla. Автор отмечает, что среди участников нет ни одной организации по защите прав потребителей. Для сравнения он приводит World Wide Web Consortium (W3C), который определяет веб-стандарты и в котором работают общественные организации, университеты и изобретатель Всемирной паутины Тим Бернерс-Ли.
Пароли и TOTP
Автор согласен, что пароли небезопасны, и приводит пример пароля «solarwinds123» на серверах IT-компании SolarWinds, а также пароль Агентства по чрезвычайным ситуациям Гавайев, попавший в кадр на стикере на фотографии. Однако, по его словам, проблема безопасности уже решена двухфакторной аутентификацией и одноразовыми паролями на основе времени (TOTP, «приложения-аутентификаторы»). TOTP каждые 30 секунд создаёт новое число на основе текущего времени и уникального ключа пользователя. Он опирается на открытый стандарт RFC 6238, поэтому не обязательно использовать конкретное приложение, например Google Authenticator. Пользователь сам решает, где хранить данные и с кем ими делиться.
«Ловушка» ключей доступа
Ключи доступа основаны на открытом стандарте WebAuthn, и автор сначала показывает, что такой ключ можно создать с помощью программ с открытым кодом и отправить другу по электронной почте. Но, по его мнению, FIDO Alliance называет одним словом «passkey» несколько разных видов: копируемые и некопируемые, передаваемые и непередаваемые, хранящиеся в файле или в защищённом чипе (например, Trusted Platform Module или Secure Enclave в iPhone). Автор считает, что это сбивает пользователей с толку, и призывает точно знать, какой именно ключ они создают. Фрагмент источника обрывается до завершения аргументации.
