Passkeys и FIDO2: подробное сравнение для безопасной аутентификации без пароля

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

Сравнение passkeys и ключей безопасности FIDO2 для устойчивой к фишингу аутентификации без пароля: WebAuthn, Microsoft Entra ID, восстановление доступа и развертывание в организации.

Automatically translated with AI from the original post. Read the English original

Titelbild: Passkeys vs FIDO2: In-Depth Comparison for Secure, Passwordless Authentication

Выбор между passkeys и FIDO2 требует осознанного и практичного решения, которое зависит от пользовательского сценария, требований безопасности и среды Microsoft 365. Начните с желаемого результата, проверьте актуальные рекомендации Microsoft, протестируйте решение с типичными пользователями и задокументируйте владельцев процесса, прежде чем широко внедрять этот подход.

Практический чек-лист по passkeys и FIDO2

Определите бизнес-сценарий и ответственного владельца.
Проверьте решение на репрезентативном пилотном проекте.
Оцените последствия для безопасности, доступа и поддержки.

Актуальные рекомендации по продуктам см. в Microsoft Learn.

Последний пересмотр: июль 2026 г.

Защита цифровых учетных записей без лишних хлопот и без риска, связанного с паролями, становится новым золотым стандартом. Если вы изучаете современные способы аутентификации для себя или для своей организации, вы наверняка уже слышали о FIDO2 и passkeys. Эти термины употребляются очень часто, но что они означают и как они соотносятся друг с другом с точки зрения реальной безопасности, удобства и потребностей развертывания, особенно в средах, где широко используется Microsoft?

В этом руководстве разбираются основы: как работают FIDO2 и passkeys, чем они отличаются и почему они меняют то, как мы входим в систему на разных устройствах и в облачных сервисах. Вы найдете практические выводы о моделях угроз, соответствии требованиям, пользовательском опыте и тонкостях настройки аутентификации без пароля, которая действительно приживается. Управляете ли вы Microsoft 365, отвечаете ли за ИT-инфраструктуру своей компании или просто хотите, чтобы ваши учетные записи было сложнее взломать, вы попали по адресу.

Что такое FIDO2 и passkeys?

FIDO2 — это открытый стандарт аутентификации без пароля, разработанный FIDO Alliance и World Wide Web Consortium (W3C). Его основная цель — позволить пользователям безопасно входить в систему без паролей с помощью криптографии открытого ключа. В основе FIDO2 лежат два ключевых протокола: WebAuthn (для веб-сайтов и приложений) и CTAP (для взаимодействия с аутентификаторами, такими как телефоны или аппаратные ключи).

Passkeys — это удобная для пользователя реализация стандарта FIDO2. Простыми словами, «passkey» — это по сути учетные данные FIDO2, которыми за вас управляет операционная система устройства, например iCloud Keychain от Apple, Google Password Manager или Credential Manager от Microsoft. Passkeys заменяют отдельные пароли: вы входите, разблокировав устройство или используя биометрию, например Face ID, Touch ID или Windows Hello.

Главное здесь вот что: хотя все passkeys работают на основе FIDO2, не каждые учетные данные FIDO2 называются «passkey». Passkeys обычно обеспечивают дополнительные удобства, такие как синхронизация между устройствами или простое восстановление доступа, но криптографические механизмы, которые они используют, открытый и закрытый ключи, те же самые. Если традиционный пароль — это секрет, который нужно запомнить, то FIDO2 и passkeys хранят секрет (закрытый ключ) на вашем устройстве и никогда не передают сам ключ, а только подтверждение серверу.

Если подытожить: FIDO2 задает стандартизированный набор инструментов, а passkeys помещают этот набор в ваш телефон, ноутбук или облако, обеспечивая вход без пароля и устойчивый к фишингу.

Отказ от паролей и защита от фишинга

Главное в FIDO2 и passkeys — не просто упростить вход, хотя это приятный бонус. Речь идет о том, чтобы наконец отказаться от паролей, которые известны своей слабостью перед фишингом, атаками повторного использования и перебором. В основе FIDO2 и passkeys лежит криптография открытого ключа: ни один пароль не передается и не хранится в виде, который злоумышленник мог бы выманить или украсть.

Вход начинается с разблокировки устройства: отпечаток пальца, сканирование лица или PIN-код устройства. Затем устройство криптографически подтверждает владение закрытым ключом способом, который работает только с нужным сервером (так называемой стороной, которая полагается на аутентификацию, relying party) и никогда не отправляет сам ключ по сети. Даже если хакер подменит сайт поддельным, ключ не сработает, поскольку он привязан к источнику (origin) настоящего сайта.

Такой подход делает классический фишинг — например, кражу учётных данных через поддельные сайты — практически бесполезным. Пароля, который можно украсть и повторно использовать на других сервисах, больше нет, а злоумышленники не могут воспроизвести перехваченные учётные данные, поскольку при каждом входе используется новый запрос (challenge). Атаки методом подбора учётных данных (credential stuffing), когда злоумышленники используют утёкшие пароли для массовых входов, с passkey тоже теряют смысл.

Организации переходят на эти технологии не только ради технической безопасности, но и по соображениям соответствия требованиям и бизнес-задач. Внедряя FIDO2 и passkey, особенно вместе с такими инструментами, как Microsoft Defender for Office 365 и Microsoft Purview для управления данными, компании могут заблокировать целый класс атак на основе учётных данных, не создавая дополнительной нагрузки на пользователей.

Как работает аутентификация FIDO2 изнутри

Чтобы понять, почему FIDO2 гораздо безопаснее традиционного входа по паролю, полезно заглянуть внутрь этого «чёрного ящика». По сути, FIDO2 основан на криптографии с открытым ключом: он позволяет доказать сервису свою личность, никогда не раскрывая секреты, которые открывают доступ к вашим учётным записям.

Когда вы настраиваете вход по FIDO2 (или регистрируете passkey), ваше устройство генерирует уникальную пару ключей: открытый и закрытый. Открытый ключ передаётся сервису, в который вы хотите войти, а закрытый ключ никогда не покидает устройство. При каждом входе сервер отправляет устройству запрос, чтобы оно подтвердило наличие закрытого ключа, — обычно подписав случайное значение, — и проверяет результат с помощью сохранённого открытого ключа.

Всё это опирается на строго контролируемое хранение и подтверждение пользователя: ваш закрытый ключ хранится в защищённой изолированной среде (secure enclave) и становится доступен только после разблокировки устройства или биометрической проверки. Именно поэтому внедрение FIDO2 и passkey быстро растёт в системах, которые могут обеспечить безопасность на аппаратном уровне, например в Microsoft Windows, Apple macOS/iOS и Android.

Далее мы подробнее разберём, как устроены процессы регистрации и аутентификации, а также как учётные данные защищаются и привязываются к устройству.

Процесс регистрации и аутентификации FIDO2: подробное объяснение

Регистрация: Когда вы впервые регистрируетесь в сервисе с использованием FIDO2, ваше устройство создаёт новую криптографическую пару ключей. Открытый ключ отправляется сервису (доверяющей стороне, relying party), а закрытый ключ остаётся на вашем устройстве.
Аттестация: Устройство может подтвердить сервису, что это легитимный аутентификатор, предоставив сертификат аттестации. Это гарантирует, что учётные данные были созданы в защищённом аппаратном обеспечении.
Аутентификация: При входе сервис отправляет уникальный запрос. Ваше устройство подписывает его закрытым ключом после подтверждения пользователя с помощью PIN-кода, отпечатка пальца и т. д.
Проверка на сервере: Подписанный запрос возвращается на сервер, где он проверяется с помощью сохранённого открытого ключа. Если проверка успешна, вход разрешён: секреты не передаются, и подменить здесь нечего.

Безопасное хранение и привязка passkey к устройству

Защита на уровне аппаратного обеспечения: Passkey и учётные данные FIDO2 часто хранятся в специализированном защищённом оборудовании, например в доверенном платформенном модуле (TPM), Secure Enclave (Apple) или чипе Titan M (Google). Это изолирует ключи от остальной части устройства и значительно усложняет атаки.
Аутентификация по биометрии или PIN-коду: Чтобы использовать passkey, его нужно разблокировать, как правило, биометрическим методом или PIN-кодом устройства. Биометрические данные никогда не покидают аппаратное обеспечение и не отправляются онлайн-сервису, что сохраняет конфиденциальность ваших идентификационных признаков.
Привязка к устройству: Пара криптографических ключей привязана к вашему физическому устройству, а не только к онлайн-учётной записи. Это означает, что злоумышленнику придётся скомпрометировать ваше устройство и обойти локальные защиты, чтобы получить доступ.
Защита при экспорте и синхронизации учётных данных: Для платформ, которые синхронизируют passkey между устройствами (например, iCloud Keychain или Менеджер паролей Google), учётные данные шифруются сквозным шифрованием. Читать и использовать passkey могут только ваши устройства при надлежащей аутентификации.
Безопасность на всех этапах жизненного цикла: При сбросе или выводе устройства из эксплуатации учётные данные на нём можно надёжно стереть. Организации могут обеспечить условный доступ и управление через такие решения, как Microsoft Entra ID и политики условного доступа, чтобы контролировать использование учётных данных и устранять последствия компрометации.

Сравнение синхронизируемых ключей доступа и решений с привязкой к программному обеспечению

Не все ключи доступа (passkeys) одинаковы. Как только вы настроите беспарольную аутентификацию, вы быстро заметите различия в управлении учётными данными — прежде всего в том, синхронизируются ли они между вашими устройствами через облако или привязаны к одному устройству. Эти архитектурные решения напрямую влияют на удобство использования и уровень риска.

Синхронизируемые ключи доступа, например, которые предлагает iCloud Keychain на устройствах Apple или Google Password Manager на Android, позволяют получать доступ к вашим учётным записям на телефонах, планшетах и компьютерах, зачастую очень удобно. Однако при этом возникают свои компромиссы в области безопасности и надёжности, особенно из-за потенциальной утечки в случае взлома облачного провайдера или прерывания синхронизации.

С другой стороны, ключи доступа с привязкой к программному обеспечению полностью находятся на одном устройстве. Если вы хотите перейти на новое устройство, нужно вручную перенести их или зарегистрировать заново. Иногда это небольшое неудобство, а иногда — serious препятствие для организаций, которые управляют тысячами пользователей и обновлением устройств без участия ИТ-службы.

Далее мы разберём, почему важны эти модели, какие риски несёт каждый подход и как выбрать подходящий вариант для вашей среды — будь то защита личных учётных записей или внедрение беспарольной аутентификации во всей компании.

Синхронизируемые ключи доступа между устройствами: преимущества и риски

Удобство работы на нескольких устройствах: Синхронизируемые ключи доступа (например, iCloud или Google Password Manager) позволяют входить с любого устройства в вашей экосистеме мгновенно, обеспечивая бесшовный опыт на телефонах, планшетах и ноутбуках.
Автоматическое восстановление: Потеряли устройство? Ваши ключи доступа сохранятся и могут быть восстановлены с другого доверенного устройства, что снижает количество случаев блокировки учётной записи и обращений в поддержку.
Риски, связанные с зависимостью от облака: Поскольку учётные данные передаются через облако — даже в зашифрованном виде, — риски возрастают при взломе провайдера синхронизации или сбоях в его работе, а уровень безопасности начинает зависеть от стороннего поставщика.
Замкнутые экосистемы платформ: Синхронизация обычно лучше всего работает внутри одной экосистемы, например, между устройствами только Apple или только Google, и создаёт трудности, когда пользователи переходят между iOS, Android, Windows или macOS.

Ключи доступа с привязкой к программному обеспечению и компромиссы синхронизации устройств

Безопасность только на локальном устройстве: Такие ключи жёстко привязаны к одному устройству, поэтому никакое стороннее облако не сможет раскрыть их в случае взлома — это идеальный вариант для сред, где требуется более строгая изоляция.
Ограниченная переносимость: При смене устройства придётся вручную экспортировать, перенести или сбросить ключи доступа. Это добавляет работы,但 может сократить площадь потенциальных атак.
Сложное восстановление: Если устройство утеряно или вышло из строя, локальные ключи доступа тоже будут потеряны. Для того чтобы избежать постоянной блокировки, необходимо заранее продумать безопасное резервное копирование или чёткие процедуры восстановления.
Подходящие сценарии использования: Организации с повышенными требованиями к надёжности или с регуляторными ограничениями (например, финансовый и государственный сектора) часто предпочитают этот метод для привилегированных учётных записей и критически важных систем, несмотря на дополнительные операционные усилия.

Аппаратные ключи безопасности и внешние аутентификаторы: что нужно знать

Аппаратные ключи безопасности — это специальные физические устройства, которые используются для беспарольной аутентификации по FIDO2 и системам ключей доступа. Они выпускаются в различных форм-факторах — обычно это USB-, NFC- или Bluetooth-брелоки, которые можно носить на связке ключей или хранить рядом с рабочей станцией. Популярные модели включают YubiKey, SoloKey и Feitian.

Отличие аппаратных ключей безопасности заключается в их устойчивости к подмене и взлому. Криптографические секреты (закрытые ключи) генерируются внутри устройства и никогда его не покидают, даже если подключённый компьютер или телефон скомпрометирован. Это делает их чрезвычайно устойчивыми как к фишингу, так и к атакам вредоносного ПО, поэтому они предпочтительны для учётных записей администраторов, root-доступа и других учётных записей с высокой ценностью.

В отличие от passkeys, привязанных к платформе, аппаратные ключи опираются на отраслевые стандарты, такие как Client to Authenticator Protocol (CTAP), для взаимодействия с устройствами и API браузера (например, WebAuthn). Поэтому их, как правило, можно использовать во многих системах и они не привязаны к платформам Apple, Google или Microsoft, при условии что целевое приложение поддерживает FIDO2.

В некоторых средах, особенно в регулируемых или высокорисковых отраслях, использование таких ключей обязательно для соответствия требованиям или для уровня безопасности AAL3 (наивысший уровень гарантии согласно NIST SP 800-63B). Они не так удобны, как passkeys, синхронизированные между всеми вашими устройствами, но обеспечивают максимальный уровень защиты для ролей, где компрометация недопустима.

Жизненный цикл учетных данных и безопасность на каждом этапе

Переход на FIDO2 и passkeys — это не только более удобные экраны входа, но и повышение безопасности на всём протяжении жизненного цикла учетных данных. Каждый этап, от создания passkey до его использования, хранения или отзыва, создает свои задачи и поверхности атак.

Понимание этого жизненного цикла помогает организациям определить, где сосредоточить меры контроля безопасности и управления. Например, при создании учетных данных необходимы надежная аттестация и привязка, а при активном использовании нужно отслеживать попытки фишинга или компрометации устройства. Хранение и резервное копирование, которые всегда были слабым местом паролей, могут стать сильной стороной при правильно настроенных привязанных к устройству учетных данных или надежном облачном шифровании.

Управление жизненным циклом также охватывает менее заметную, но критически важную часть: ротацию, отзыв и восстановление доступа. Контроль над тем, у кого какие ключи, своевременная очистка при увольнении сотрудников и возможность реагировать на утерянные или скомпрометированные устройства без остановки работы входят в грамотный план перехода к беспарольной аутентификации.

Для сред Microsoft интеграция надежных практик управления жизненным циклом учетных данных напрямую связана с общими стратегиями управления данными и доступом, как, например, в материале Microsoft 365 Data Access Governance, где владение, ответственность и процессы проверки играют ключевую роль в безопасной совместной работе.

Создание учетных данных, атаки и управление состояниями

Безопасное создание: всегда генерируйте учетные данные FIDO2 в аппаратно защищенных хранилищах ключей с надежной аттестацией, которая подтверждает подлинность устройства-источника.
Устойчивость к фишингу: процессы аутентификации с passkey и FIDO2 по своей природе устойчивы к фишингу, поскольку секреты не передаются, а криптографические запросы (challenge) уникальны для каждой сессии.
Атаки повторного воспроизведения и MITM: уникальные одноразовые криптографические запросы не позволяют злоумышленникам повторно использовать перехваченные ответы или проводить атаки «человек посередине».
Управление состояниями: регулярно проверяйте статус учетных данных, отзывайте неиспользуемые или скомпрометированные ключи и ведите их учет, особенно для привилегированных учетных записей и учетных записей с расширенным доступом.

Восстановление учетных данных, отзыв и ограничения

Идеальных систем не существует: даже самые надежные passkeys и ключи безопасности могут быть утеряны, украдены или сломаны. Планирование восстановления и отзыва учетных данных имеет решающее значение, особенно если вы переводите команду или организацию на беспарольную аутентификацию в масштабе.

Когда passkey или учетные данные FIDO2 утеряны, варианты восстановления зависят от способа их управления. Для синхронизированных passkeys (например, iCloud Keychain от Apple или Менеджер паролей Google) обычно можно восстановить учетные данные на новом устройстве после прохождения аутентификации на уровне устройства и шагов восстановления. Это сводит простои к минимуму, но требует доверия к механизмам безопасности и восстановления облачного провайдера.

Ключи безопасности добавляют уровень сложности: при утере аппаратного ключа необходимо иметь зарегистрированные резервные ключи или заранее установленные процедуры административного переопределения, иначе вы можете полностью потерять доступ. Отзыв выполняется на стороне сервера: после того как вы сообщаете о потере ключа, открытый ключ удаляется из вашего профиля, и утерянные учетные данные становятся бесполезными.

С другой стороны, чрезмерная опора на функции резервного копирования и восстановления может подорвать безопасность: процессы восстановления должны быть защищены от социальной инженерии и внутренних угроз. Регулярные проверки и автоматизация с помощью таких инструментов, как Microsoft Purview Audit, помогут организациям отслеживать использование учетных данных, события отзыва и потенциальные риски для требований соответствия и потребностей криминалистического расследования.

В конечном счёте выбор стратегии восстановления и отзыва доступа означает баланс между удобством для пользователей и надёжными средствами контроля — универсального решения здесь нет. Для любого серьёзного внедрения без паролей необходимо заранее продумать сценарии утраты устройств и развернуть многоуровневое восстановление учётных записей.

Passkeys или ключи безопасности: что выбрать

Когда приходит время решения, выбор между passkeys и аппаратными ключами безопасности зависит от вашего сценария использования, потребностей пользователей в удобстве и модели угроз. У обоих решений общая основа — протоколы FIDO2 и криптография с открытым ключом, — но в повседневной работе они ведут себя very по-разному.

Passkeys особенно хороши в средах, где пользователям нужен беспроблемный доступ сразу с нескольких устройств — например, конечным пользователям с телефонами, планшетами, ноутбуками и облачными приложениями вроде Microsoft 365. Их сильная сторона — удобство: разблокировали устройство — и вы вошли в систему, даже при работе с целым парком личных или рабочих гаджетов.

Ключи безопасности, напротив, обеспечивают максимальный уровень защиты — это критически важно для администраторов, привилегированных пользователей и всех, кто никак не может допустить компрометацию. Их портативность делает их идеальными для сценариев, где нужно проходить аутентификацию с неуправляемых или общедоступных компьютеров. Минус: если вы забудете взять ключ с собой, потеряете его или сломаете, восстановить доступ может быть заметно сложнее.

В регулируемых и high-risk контекстах внедрение ключей безопасности в подход Zero Trust (как подробно описано в статье Zero Trust for Microsoft 365) обеспечивает непрерывную проверку, которая успевает за быстро меняющимися моделями угроз и при этом минимально мешает пользователям.

Корпоративные и регулируемые отраслевые решения: 1Kosmos 1Key и не только

1Kosmos 1Key для высокого уровня гарантий: Это решение обеспечивает аутентификацию без паролей, соответствующую FIDO2, и рассчитано на строгие требования AAL3 по NIST SP 800-63B. Оно сочетает биометрическое подтверждение личности, доверие к устройству и динамические факторы аутентификации для привилегированных пользователей и учётных записей с высоким риском.
Расширенная интеграция с корпоративными платформами: 1Key бесшовно интегрируется с бизнес-платформами Microsoft, автоматизируя выдачу идентификаторов, управление жизненным циклом доступа и отзыв доступа для масштабируемых облачных внедрений.
Соответствие нормативным требованиям: Платформа поддерживает готовые соответствия требованиям для регулируемых отраслей — финансовой, здравоохранения и государственного сектора, — обеспечивая проверку личности, надёжное журналирование и аудит, которые соответствуют строгим требованиям отчётности.
Защищённый доступ для граждан и сотрудников: Организации, развёртывающие облачные приложения или порталы для граждан, получают доступ без паролей при сохранении проверки личности и управления, снижая операционную головную боль из-за утерянных учётных данных и сбросов паролей.
Синергия Power Platform и управления: Встраивание таких решений, как 1Key, в более широкие структуры управления (как обсуждается в статье Power Platform governance best practices) помогает согласовать безопасность, основанную на идентификации, с политиками корпоративных данных, коннекторов и сред.

Улучшение пользовательского опыта и аутентификация на нескольких устройствах

Если пользователи и администраторы в чём-то и согласны, так это в том, что пароли — настоящая беда. Passkeys призваны это исправить, делая вход простым, интуитивным и менее стressful — особенно на нескольких устройствах и облачных платформах. С passkeys не нужно запоминать сложные фразы или сбрасывать пароли после каждой ежеквартальной кампании «по повышению осведомлённости о безопасности».

Большое преимущество passkeys — аутентификация на нескольких устройствах. После сохранения в связке ключей вашей учётной записи (будь то Apple, Google или Microsoft) вход на связанных в одной экосистеме устройствах происходит почти мгновенно. Подтверждение входа одним сканированием лица или отпечатком пальца не только ускоряет процесс, но и заметно снижает трения для пользователей, которые переключаются между устройствами и местами работы.

С точки зрения внедрения снижение трения — это всё. Многие ИТ-команды опасаются негативной реакции на обязательные политики паролей или роста обращений в службу поддержки из-за блокировок. Passkeys минимизируют этот риск: пользователям не нужно работать с паролями, усталостью от входов или циклами сброса. Барьеры внедрения чаще связаны с совместимостью экосистем или первоначальной настройкой устройств, и и то и другое быстро улучшается.

Разумные организации расставляют приоритеты при внедрении passkeys, сначала запуская пилот с небольшими командами, собирая обратную связь и автоматizируя регистрацию устройств. Так процесс остаётся стабильным и удобным для пользователей, и при этом не страдает безопасность.

Часто задаваемые вопросы, сравнение security keys и passkeys, а также безопасность удалённого доступа

Passkeys и ключи безопасности – это одно и то же? Не совсем. Passkeys – это цифровые учётные данные FIDO2, которыми управляют ваше устройство или облако; ключи безопасности – это физические устройства, которые вы подключаете к компьютеру или касаетесь ими для аутентификации. В основе обоих решений лежит одна и та же криптографическая база.
Можно ли использовать passkeys на устройствах Apple, Google и Windows? Отчасти. Синхронизированные passkeys лучше всего работают внутри одной экосистемы; кроссплатформенная поддержка существует, но она может быть неполной, а совместимость браузеров с функциями FIDO2 различается.
Может ли кто-то украсть мой passkey удалённо? Если только ваше устройство (и связанная с ним облачная учётная запись резервного копирования) не скомпрометировано, удалённая кража passkeys крайне маловероятна. Сами ключи никогда не покидают устройство в незашифрованном виде.
Безопасны ли passkeys для удалённой работы и доступа к облаку? Да, если использовать их вместе с политиками для устройств и такими инструментами, как Microsoft Defender и Purview. Тогда passkeys обеспечивают надёжную удалённую аутентификацию и заметно снижают риски фишинга, вредоносного ПО и кражи личных данных.
Могут ли менеджеры паролей хранить passkeys? Новые версии таких менеджеров, как 1Password, iCloud Keychain и Google Password Manager, уже поддерживают passkeys. Но при интеграции с вашим потоком аутентификации обязательно проверяйте совместимость и поддержку FIDO2/WebAuthn.

Заключение, сравнение безопасности и итоговые рекомендации

Главный вывод по безопасности: и passkeys, и учётные данные FIDO2 устраняют пароли и связанные с ними слабости. Passkeys выигрывают по удобству для большинства пользователей, а аппаратные ключи безопасности по-прежнему незаменимы в сценариях с высокими требованиями к уверенности в аутентификации.
Удобство против переносимости: синхронизированные passkeys обеспечивают бесшовный вход с нескольких устройств, что делает их отличным выбором для обычного пользователя или корпоративного парка устройств. Аппаратные ключи переносимы, но требуют, чтобы физический токен всегда был под рукой.
Стратегия внедрения: в регулируемых средах применяйте многоуровневую защиту: passkeys для обычных пользователей, ключи безопасности для администраторов и корпоративные решения, такие как 1Kosmos 1Key, для сценариев, соответствующих AAL3.
Жизненный цикл и восстановление: продумайте процедуры восстановления и отзыва доступа до начала миграции. Резервное копирование и аудит (см. Governance for AI and access control) критически важны, чтобы избежать простоев и расхождения с требованиями соответствия.
Защита на будущее: следите за развитием стандартов в части совместимости и соответствия требованиям, особенно в средах Microsoft 365 и Azure, чтобы опережать новые вызовы в области идентификации и угроз.

Дальнейшие шаги и материалы по безопасности идентификации

Документация Microsoft: изучите официальную документацию по FIDO2, passkeys и внедрению беспарольной аутентификации в Microsoft 365 и Azure.
Подкасты о безопасности идентификации: послушайте практические обсуждения аудита и управления на странице M365.fm: Auditing User Activity with Microsoft Purview.
Технические руководства: изучите технические блоги о настройке и устранении неполадок FIDO2 и аутентификации с passkeys в корпоративной среде в масштабе.
Рекомендации по соответствию требованиям: изучите NIST SP 800-63B и узнайте, как ведущие беспарольные решения соотносятся с уровнями гарантии (IAL, AAL).
Форумы сообщества: присоединяйтесь к форумам по безопасности, Microsoft 365 и управлению идентификацией, чтобы задавать вопросы и делиться с коллегами практическими советами по внедрению.

🎧 Также рекомендуем послушать

Управление идентификацией в Microsoft Entra
Изучите практические способы управления владением и доступом в Microsoft 365.
Операционная модель управления Microsoft 365
Разберите решения, которые делают внедрение технологий устойчивым.
ИИ-агенты простыми словами
Поймите контекст управления для работы с помощью ИИ.

Passkeys vs FIDO2: практические рекомендации для корпоративной среды

Passkeys и аппаратные ключи безопасности FIDO2 обеспечивают аутентификацию, устойчивую к фишингу, но по-разному балансируют переносимость, восстановление, контроль над устройством и удобство для пользователя. Успешное внедрение определяет модель учётных данных, процесс регистрации, процедуру восстановления, требования к привилегированным пользователям и исключения для устаревших приложений.

Контрольный список внедрения

Составьте инвентаризацию поставщиков удостоверений, браузеров, устройств и поддерживаемых приложений.
Выберите для каждого профиля риска синхронизируемые или привязанные к устройству учётные данные.
Зарегистрируйте несколько аутентификаторов до включения принудительной политики.
Защитите процедуры восстановления и проверку через службу поддержки.
Проведите пилотирование для привилегированных пользователей и измерьте количество сбоев до широкого развёртывания.

Распространённые ошибки

Принудительное включение входа без пароля без пути восстановления.
Предположение, что каждый браузер и каждое устаревшее приложение поддерживают одни и те же учётные данные.
Использование общих аутентификаторов, которые снижают подотчётность.
Игнорирование жизненного цикла устройств и процедур на случай утраты аутентификатора.

Часто задаваемые вопросы

Что такое passkey?

Passkey — это учётные данные FIDO, которые используют криптографию с открытым ключом и разблокируются жестом на устройстве, биометрией или локальным PIN-кодом.

Что такое FIDO2?

FIDO2 — это стандарт аутентификации, построенный на основе WebAuthn и протокола Client to Authenticator Protocol, который обеспечивает вход, устойчивый к фишингу.

Passkeys и FIDO2 — это одно и то же?

Passkeys — это удобный для пользователя формат учётных данных, построенный на стандартах FIDO. FIDO2 описывает более широкую техническую экосистему и протоколы аутентификации.

Passkeys безопаснее паролей?

Да. Passkeys используют криптографию с открытым ключом, привязанную к источнику (origin), поэтому веб-сайт не получает многократно используемый секрет, который злоумышленники могут украсть или повторно воспроизвести.

Устойчивы ли passkeys к фишингу?

Да, если они реализованы правильно. Учётные данные привязаны к источнику законного веб-сайта и не раскрывают пароль фишинговой странице.

Является ли YubiKey passkey FIDO2?

YubiKey может хранить учётные данные FIDO2 и работать как ключ безопасности. Называется ли он passkey, зависит от учётных данных и терминологии продукта.

Passkeys безопаснее YubiKey?

Ни один из вариантов не является безоговорочно безопаснее. Синхронизируемые passkeys улучшают восстановление и удобство, а аппаратные ключи, привязанные к устройству, обеспечивают сильный контроль над устройством и изоляцию.

Что такое синхронизируемый passkey?

Синхронизируемый passkey резервируется через утверждённый менеджер учётных данных или экосистему платформы, поэтому он может быть доступен на нескольких устройствах.

Что такое passkey, привязанный к устройству?

Passkey, привязанный к устройству, остаётся на одном аутентификаторе или устройстве и не синхронизируется с другой платформой.

Полностью ли FIDO2 заменяет пароли?

Он может заменить пароли для поддерживаемых приложений, но организациям по-прежнему нужны стратегии восстановления, устаревшей аутентификации и управления жизненным циклом учётных записей.

Поддерживает ли Microsoft Entra ID passkeys?

Microsoft Entra ID поддерживает ключи безопасности FIDO2 и варианты аутентификации, связанные с passkeys, в зависимости от настроек клиента и текущих возможностей службы.

Как WebAuthn связан с passkeys?

WebAuthn — это API браузера и платформы, которое позволяет веб-сайтам и поставщикам удостоверений создавать и использовать учётные данные с открытым ключом.

Что происходит, если пользователь теряет устройство с passkey?

Пользователю нужен другой зарегистрированный аутентификатор или утверждённый метод восстановления. Организациям следует зарегистрировать несколько аутентификаторов до включения доступа без пароля.

Можно ли использовать passkeys на нескольких устройствах?

Синхронизируемые passkeys могут быть доступны на поддерживаемых устройствах, а учётные данные, привязанные к устройству, требуют регистрации на каждом аутентификаторе.

Можно ли передавать passkeys между пользователями?

Нет. Учётные данные должны принадлежать одному человеку или утверждённой идентичности рабочей нагрузки. Общие аутентификаторы снижают подотчётность.

Защищают ли passkeys от повторного воспроизведения учётных данных?

Да. Закрытый ключ остаётся на аутентификаторе, а каждая аутентификация включает запрос (challenge), который исключает простое повторное воспроизведение.

Можно ли украсть passkey?

Злоумышленник может украсть устройство, но учётные данные обычно защищены локальным фактором разблокировки и не раскрывают многократно используемый пароль.

Что такое аутентификация без пароля?

Аутентификация без пароля подтверждает пользователя с помощью криптографического аутентификатора, биометрии, PIN-кода или ключа безопасности вместо запоминаемого пароля.

Каковы недостатки passkeys?

Сложности включают восстановление, совместимость платформ, сценарии с общими устройствами, устаревшие приложения и понимание процесса пользователями во время внедрения.

Как организациям обрабатывать восстановление passkeys?

Требуйте несколько аутентификаторов, определите проверку через службу поддержки, защищайте методы восстановления и отслеживайте события регистрации и сброса.

Работают ли passkeys на мобильных устройствах?

Да. Поддерживаемые мобильные операционные системы могут создавать и использовать passkeys через платформенные аутентификаторы или внешние ключи безопасности.

Могут ли passkeys работать в разных браузерах?

Поддержка зависит от браузера, операционной системы, поставщика удостоверений и типа учётных данных. Перед развёртыванием проверьте целевые пользовательские сценарии.

Подходят ли passkeys для администраторов?

Да. Они особенно полезны для привилегированных пользователей, которым следует использовать аутентификацию, устойчивую к фишингу, и отдельные административные учётные записи.

Как passkeys влияют на условный доступ?

Они могут удовлетворять требованиям строгой аутентификации, если поставщик удостоверений распознает аутентификатор и выполняются условия политики.

Как развёртывать passkeys?

Начните с привилегированных и групп повышенного риска, настройте восстановление, проведите пилот на репрезентативных устройствах, а затем расширяйте использование, отслеживая показатели регистрации и поддержки.

Что нужно отслеживать после развёртывания?

Отслеживайте регистрацию, сбои аутентификации, события восстановления, обходы политик, нагрузку на службу поддержки и риск входа.

Отменяют ли passkeys MFA?

Passkey может обеспечить многофакторный сценарий, устойчивый к фишингу, если сочетает владение аутентификатором с локальным фактором разблокировки.

Могут ли passkeys защищать учётные записи служб?

Пользовательские passkeys не заменяют идентификацию рабочих нагрузок. Для служб используйте управляемые удостоверения, сертификаты или другие подходящие учётные данные для не-человеческих субъектов.

Какая главная выгода для предприятия?

Главная выгода — снижение рисков фишинга и сброса паролей при одновременном повышении безопасности входа и удобства для пользователей.

Какой первый шаг внедрения?

Проведите инвентаризацию приложений и пользователей, подтвердите поддержку поставщиком удостоверений, определите процедуру восстановления и запустите пилот на небольшой группе перед принудительным включением входа без пароля.

Изучите связанные материалы M365.fm: M365.fm Learning Hub, Microsoft 365 governance checklist и Microsoft Copilot security model.