Паскі проти FIDO2: детальне порівняння для безпечної автентифікації без паролів

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

Порівняння passkeys і ключів безпеки FIDO2 для стійкої до фішингу автентифікації без паролів: WebAuthn, Microsoft Entra ID, відновлення доступу та впровадження в організації.

Automatically translated with AI from the original post. Read the English original

Titelbild: Passkeys vs FIDO2: In-Depth Comparison for Secure, Passwordless Authentication

passkeys проти FIDO2 потребує чіткого, практичного рішення, яке залежить від сценарію користувача, вимог безпеки та середовища Microsoft 365. Почніть із бажаного результату, перевірте актуальні рекомендації Microsoft, протестуйте на репрезентативних користувачах і задокументуйте відповідальних, перш ніж широко застосовувати підхід.

Практичний чек-лист для passkeys проти FIDO2

Визначте бізнес-сценарій і відповідального власника.
Перевірте рішення на репрезентативному пілотному проєкті.
Оцініть наслідки для безпеки, доступу та підтримки.

Актуальні рекомендації щодо продуктів дивіться в Microsoft Learn.

Востаннє переглянуто: липень 2026 року.

Захист цифрових облікових записів без клопоту і без ризиків, пов’язаних із паролями, стає новим золотим стандартом. Якщо ви розглядаєте сучасну автентифікацію для себе або своєї організації, ви напевно вже чули про FIDO2 і passkeys. Ці терміни часто вживають без розбору, але що вони означають і як насправді порівнюються за безпекою, зручністю та потребами впровадження в реальних умовах, особливо в середовищах, де переважає Microsoft?

Цей гайд розбирає основне: як працюють FIDO2 і passkeys, чим вони відрізняються і чому змінюють підхід до входу на різних пристроях і в хмарні сервіси. Ви отримаєте практичні висновки щодо моделей загроз, відповідності вимогам, досвіду користувача та деталей налаштування автентифікації без паролів, яка справді працює. Чи ви керуєте Microsoft 365, відповідаєте за ІТ у власній компанії, чи просто хочете облікові записи, які зловмисникам важко зламати, ви у потрібному місці.

Що таке FIDO2 і passkeys?

FIDO2 — це відкритий стандарт автентифікації без паролів, розроблений FIDO Alliance і Консорціумом Всесвітньої павутини (W3C). Його основне призначення — дозволити користувачам безпечно входити в системи без паролів за допомогою криптографії з відкритим ключем. В основі FIDO2 лежать два ключові протоколи: WebAuthn (для веб-сайтів і застосунків) та CTAP (для взаємодії з автентифікаторами, такими як телефони або апаратні ключі).

Passkeys — це зручна для користувача реалізація стандарту FIDO2. Простими словами, «passkey» — це по суті облікові дані FIDO2, якими за вас керує операційна система пристрою, наприклад iCloud Keychain від Apple, Google Password Manager або Credential Manager від Microsoft. Passkeys замінюють окремі паролі: ви входите, розблокувавши пристрій або використовуючи біометрію, як-от Face ID, Touch ID чи Windows Hello.

Ось головне: хоча всі passkeys працюють на основі FIDO2, не кожні облікові дані FIDO2 називаються «passkey». Passkeys зазвичай додають зручності, наприклад синхронізацію між пристроями або просте відновлення доступу, але криптографічні механізми, які вони використовують, — відкритий і закритий ключі — ті самі. Паролі — це секрети, які ви запам’ятовуєте, тоді як FIDO2 і passkeys зберігають секрет (закритий ключ) заблокованим на вашому пристрої, а на сервер передають лише доказ, але ніколи сам ключ.

Підсумуємо: FIDO2 надає стандартизований набір інструментів, а passkeys переносять ці інструменти на ваш телефон, ноутбук або в хмару, при цьому забезпечуючи вхід без паролів і стійкий до фішингу.

Відмова від паролів і стійкість до фішингу

Головне в FIDO2 і passkeys — не лише спростити вхід, хоча це приємний бонус. Мова про остаточну відмову від паролів, які відомо слабкі проти фішингу, повторного використання та підбору. З FIDO2 і passkeys автентифікація ґрунтується на криптографії з відкритим ключем: жодний пароль не передається і не зберігається так, щоб його можна було виманити чи викрасти.

Ви ініціюєте вхід, розблокувавши пристрій: відбитком пальця, скануванням обличчя або PIN-кодом пристрою. Далі ваш пристрій криптографічно підтверджує володіння закритим ключем так, щоб це працювало лише з правильним сервером (так званою релійною стороною) і щоб ваш ключ ніколи не передавався мережею. Навіть якщо хакер обманом змусить вас зайти на фейковий сайт, ключ не спрацює, бо він прив’язаний до джерела (origin) справжнього сайту.

Такий підхід робить класичні фішингові атаки, наприклад викрадення облікових даних через підроблені сайти, практично непотрібними. Немає пароля, який можна вкрасти й повторно використати деінде, а зловмисники не можуть відтворити перехоплені дані для входу, адже кожен вхід використовує новий виклик. Credential stuffing, коли зловмисники масово входять в облікові записи з паролями, витеклими внаслідок витоків, при passkeys теж не має шансів.

Організації переходять на це не лише через технічну безпеку, а й із міркувань відповідності вимогам та бізнесу. Упроваджуючи FIDO2 і passkeys, особливо разом з такими інструментами, як Microsoft Defender for Office 365 і Microsoft Purview for data governance, компанії можуть заблокувати цілий клас атак на облікові дані, не покладаючи додаткового навантаження на користувачів.

Як насправді працює автентифікація FIDO2

Щоб зрозуміти, чому FIDO2 набагато безпечніший за традиційні входи, варто зазирнути всередину «чорної скриньки». По суті, FIDO2 покладається на криптографію з відкритим ключем, щоб підтвердити вашу особу перед сервісом, не розкриваючи секретів, які насправді відмикають ваші облікові записи.

Коли ви налаштовуєте вхід через FIDO2 (або реєструєте passkey), ваш пристрій генерує унікальну пару ключів: відкритий і закритий. Відкритий ключ передається сервісу, до якого ви входите, а закритий ніколи не залишає пристрій. Під час кожного входу сервер надсилає пристрою виклик, щоб довести наявність закритого ключа, зазвичай підписавши випадкове значення, і перевіряє результат за збереженим відкритим ключем.

Усе це залежить від суворо контрольованого зберігання та перевірки користувача. Закритий ключ зберігається в захищеному анклаві й доступний лише після розблокування пристрою або підтвердження біометрією. Саме тому впровадження FIDO2 і passkeys стрімко зростає в системах, які можуть забезпечити апаратний захист, зокрема в Microsoft Windows, Apple macOS/iOS та Android.

Далі ми детально розглянемо, як працюють процеси реєстрації та автентифікації, а також як облікові дані захищаються і прив’язуються до пристрою в наступних розділах.

Реєстрація та автентифікація FIDO2 покроково

Реєстрація: Коли ви вперше реєструєтеся в сервісі з FIDO2, ваш пристрій створює нову криптографічну пару ключів. Відкритий ключ надсилається сервісу (relying party), а закритий залишається на пристрої.
Атестація: Пристрій може довести сервісу, що він є легітимним автентифікатором, надавши сертифікат атестації. Так підтверджується, що облікові дані згенеровано в захищеному апаратному забезпеченні.
Автентифікація: Під час входу сервіс надсилає унікальний виклик. Пристрій підписує його закритим ключем після перевірки користувача через PIN-код, відбиток пальця тощо.
Перевірка на сервері: Підписаний виклик повертається на сервер, де перевіряється за збереженим відкритим ключем. Якщо перевірка успішна, вхід дозволено. Секрети не передаються, тож фішити нічого.

Безпечне зберігання та прив’язка пристрою для passkeys

Захист на рівні апаратного забезпечення: Passkeys і облікові дані FIDO2 часто зберігаються в спеціалізованому захищеному апаратному забезпеченні, зокрема в Trusted Platform Module (TPM), Secure Enclave (Apple) або чіпі Titan M (Google). Це відокремлює ключі від решти пристрою, значно ускладнюючи атаки.
Автентифікація за біометрією або PIN-кодом: Щоб використати passkey, його потрібно розблокувати, зазвичай біометрією або PIN-кодом пристрою. Самі біометричні дані ніколи не залишають апаратне забезпечення та не надсилаються онлайн-сервісу, тож ваші ідентифікаційні дані лишаються приватними.
Прив’язка до пристрою: Пара криптографічних ключів прив’язана до вашого фізичного пристрою, а не лише до онлайн-облікового запису. Це означає, що зловмисник має скомпрометувати ваш пристрій і обійти локальний захист, щоб отримати доступ.
Захист при експорті та синхронізації облікових даних: Для платформ, які синхронізують passkeys між пристроями (наприклад, iCloud Keychain або Google Password Manager), облікові дані шифруються наскрізно. Лише ваші пристрої з належною автентифікацією можуть читати або використовувати passkeys.
Безпека на всіх етапах життєвого циклу: Пристрої можуть безпечно видаляти облікові дані, якщо їх скинули або вивели з експлуатації. Організації можуть застосовувати умовний доступ і управління через такі рішення, як Microsoft Entra ID та політики умовного доступу, щоб контролювати використання облікових даних і усувати наслідки компрометації.

Порівняння синхронізованих ключів доступу та програмно прив’язаних рішень

Не всі ключі доступу однакові. Після налаштування автентифікації без пароля ви швидко помітите відмінності в тому, як керуються ваші облікові дані: головне, чи синхронізуються вони між вашими пристроями через хмару, чи прив’язані до одного пристрою. Ці архітектурні рішення мають реальні наслідки для зручності використання та ризиків.

Синхронізовані ключі доступу, як-от ті, що надає iCloud Keychain на пристроях Apple або Менеджер паролів Google на Android, дають змогу входити в облікові записи з телефонів, планшетів і комп’ютерів, часто дуже зручно. Але це пов’язано з власними компромісами у сфері безпеки та надійності, особливо з ризиком викриття, якщо хмарного провайдера зламають або перерветься синхронізація.

Натомість програмно прив’язані ключі доступу зберігаються виключно на одному пристрої. Якщо ви хочете перейти на новий гаджет, доведеться вручну перенести їх або зареєструвати повторно. Іноді це незначна незручність, а іноді — серйозна перешкода для організацій, які керують тисячами користувачів і оновленням пристроїв без втручання ІТ-служби.

Далі ми розберемо, чому важливі ці моделі, які ризики несе кожен підхід і як обрати відповідний для вашого середовища, незалежно від того, захищаєте ви особисті облікові записи чи впроваджуєте автентифікацію без пароля для всієї компанії.

Синхронізовані ключі доступу між пристроями: переваги та ризики

Зручність на кількох пристроях: Синхронізовані ключі доступу (як-от iCloud або Менеджер паролів Google) дають змогу миттєво входити з будь-якого пристрою у вашій екосистемі, забезпечуючи безперервну роботу на телефонах, планшетах і ноутбуках.
Автоматичне відновлення: Втратили пристрій? Ваші ключі доступу залишаються в безпеці та їх можна відновити з іншого довіреного пристрою, що зменшує ситуації блокування облікового запису та навантаження на службу підтримки.
Ризики через залежність від хмари: Оскільки облікові дані передаються через хмару, навіть у зашифрованому вигляді, зростає ризик у разі зламу або збоїв у постачальника синхронізації, а ваш рівень безпеки залежить від третьої сторони.
Закриті екосистеми платформ: Синхронізація зазвичай найкраще працює в межах однієї екосистеми, наприклад лише пристрої Apple або лише пристрої Google, і створює труднощі, коли користувачі переходять між iOS, Android, Windows або macOS.

Програмно прив’язані ключі доступу та компроміси синхронізації між пристроями

Лише локальна безпека: Ці ключі жорстко прив’язані до одного пристрою, тож жодна хмара третьої сторони не може їх викрити в разі зламу. Це ідеально для середовищ, які вимагають суворішої ізоляції.
Обмежена переносимість: Якщо ви змінюєте пристрій, доведеться вручну експортувати, перенести або скинути ключі доступу. Це додає роботи, але може зменшити площу атаки.
Складне відновлення: Якщо пристрій загублено або він вийшов з ладу, разом із ним зникають і локальні ключі доступу. Для уникнення постійного блокування обов’язково потрібно продумати безпечне резервне копіювання або чіткі процедури відновлення.
Сфера застосування: Організації з високими вимогами до надійності або регульовані галузі (наприклад, фінанси чи державний сектор) часто віддають перевагу цьому методу для привілейованих облікових записів і чутливих систем, попри додаткові операційні зусилля.

Апаратні ключі безпеки та зовнішні автентифікатори: пояснення

Апаратні ключі безпеки — це окремі фізичні пристрої, які використовуються для автентифікації без пароля за допомогою FIDO2 та систем ключів доступу. Вони бувають різних форм-факторів, зазвичай це USB-, NFC- або Bluetooth-брелоки, які можна носити на зв’язці ключів або тримати біля робочої станції. Серед популярних моделей — YubiKey, SoloKey та Feitian.

Особливість апаратних ключів безпеки — конструкція, яка протидіє втручанню. Криптографічні секрети (закриті ключі) генеруються всередині пристрою і ніколи його не покидають, навіть якщо підключений комп’ютер або телефон скомпрометовано. Це робить їх надзвичайно стійкими як до фішингу, так і до атак шкідливого програмного забезпечення, тому їх віддають перевагу для облікових записів адміністраторів, root-доступу або інших критично важливих акаунтів.

На відміну від passkeys, прив'язаних до платформи, апаратні ключі покладаються на галузеві стандарти, такі як Client to Authenticator Protocol (CTAP), для взаємодії з пристроями та API браузера (наприклад, WebAuthn). Це означає, що їх загалом можна використовувати в багатьох системах — вони не прив'язані до платформ Apple, Google чи Microsoft — за умови, що цільова програма підтримує FIDO2.

Деякі середовища, особливо регульовані або сектори з високим ризиком, вимагають використання таких ключів для відповідності вимогам або рівня безпеки AAL3 (найвищий рівень гарантій, визначений у NIST SP 800-63B). Хоча вони не такі зручні, як passkeys, синхронізовані між усіма вашими пристроями, вони забезпечують найвищий рівень захисту для ролей, де компрометація просто неприпустима.

Життєвий цикл облікових даних і безпека на кожному етапі

Перехід на FIDO2 та passkeys — це не лише красивіші екрани входу, а посилення безпеки на всьому протязі життєвого циклу облікових даних. Кожен етап, від моменту створення passkey до її використання, зберігання чи відкликання, створює свої виклики та поверхні атак.

Розуміння цього життєвого циклу допомагає організаціям визначити, де зосередити засоби контролю безпеки та управління. Наприклад, створення облікових даних потребує надійної атестації та прив'язки, а активне використання має відстежуватися на предмет спроб фішингу або компрометації пристрою. Зберігання та резервне копіювання, які завжди були слабким місцем паролів, можуть стати перевагою за наявності належно прив'язаних до пристрою облікових даних або надійного хмарного шифрування.

Управління життєвим циклом також охоплює менш помітну, але критично важливу частину: ротацію, відкликання та відновлення облікового запису. Контроль над тим, у кого які ключі, своєчасне очищення після звільнення співробітників і здатність реагувати на втрачені або скомпрометовані пристрої без шкоди для продуктивності — усе це частина продуманого плану переходу на беспарольну автентифікацію.

Для середовищ Microsoft надійне управління життєвим циклом облікових даних безпосередньо пов'язане з ширшими стратегіями управління даними та доступом, як показано в матеріалах на кшталт Microsoft 365 Data Access Governance, де власність, відповідальність і процеси перевірки є ключовими для безпечної співпраці.

Створення облікових даних, атаки та управління станами

Безпечне створення: завжди генеруйте облікові дані FIDO2 у сховищах ключів, забезпечених апаратно, з надійною атестацією для підтвердження справжнього походження пристрою.
Стійкість до фішингу: процеси автентифікації з passkey та FIDO2 за своєю природою стійкі до фішингу, оскільки секрети не передаються, а криптографічні виклики для підпису є унікальними для кожного сеансу.
Атаки повторного відтворення та MITM: унікальні одноразові криптографічні виклики не дають зловмисникам повторно використати перехоплені відповіді або провести атаки типу «людина посередині».
Управління станом: регулярно перевіряйте стан облікових даних, відкликайте невикористані або скомпрометовані ключі та ведіть облік, особливо для привілейованих облікових записів або облікових записів з розширеним доступом.

Відновлення облікових даних, відкликання та обмеження

Жодна система не є ідеальною — навіть найнадійніші passkeys і ключі безпеки можуть бути втрачені, викрадені або пошкоджені. Планування відновлення та відкликання облікових даних є критично важливим, особливо якщо ви переводите свою команду або організацію на беспарольну автентифікацію у великих масштабах.

Коли passkey або облікові дані FIDO2 втрачено, варіанти відновлення залежать від того, як ними керують. Для синхронізованих passkeys (наприклад, iCloud Keychain від Apple або Менеджер паролів Google) ви зазвичай можете відновити облікові дані на новому пристрої після проходження автентифікації на рівні пристрою та кроків відновлення. Це мінімізує простій, але передбачає довіру до механізмів безпеки та відновлення хмарного постачальника.

Ключі безпеки додають рівень складності: втрата апаратного ключа означає, що мають бути заздалегідь зареєстровані резервні ключі або налаштовані процедури адміністративного перевизначення. Інакше ви можете повністю втратити доступ. Відкликання здійснюється на боці сервера: після того як ви повідомите про втрату ключа, публічний ключ видаляється з вашого профілю, і втрачені облікові дані стають непридатними.

З іншого боку, надмірна залежність від функцій резервного копіювання та відновлення може підірвати безпеку — процеси відновлення мають бути захищені від соціальної інженерії та внутрішніх загроз. Часті перевірки та автоматизація за допомогою інструментів на кшталт Microsoft Purview Audit можуть допомогти організаціям відстежувати використання облікових даних, події відкликання та потенційні ризики для відповідності вимогам або потреб судової експертизи.

Зрештою, вибір стратегії відновлення та відкликання доступу означає баланс між зручністю для користувачів і надійними засобами контролю — універсального рішення тут немає. Картографування сценаріїв втрати пристроїв і впровадження багаторівневого відновлення облікових записів є обов’язковим для будь-якого серйозного розгортання без паролів.

Passkeys чи апаратні ключі безпеки: що обрати

Коли настає час вибору, рішення між passkeys і апаратними ключами безпеки залежить від вашого сценарію використання, потреб користувачів у зручності та загрози, з якою ви стикаєтеся. Обидва варіанти мають спільну основу — протоколи FIDO2 і криптографію з відкритим ключем, — але щоденна поведінка в них суттєво різна.

Passkeys найкраще працюють там, де користувачам потрібен безшовний доступ на кількох пристроях — наприклад, кінцеві користувачі з телефонами, планшетами, ноутбуками та хмарними застосунками на кшталт Microsoft 365. Їхня сильна сторона — зручність: розблокували пристрій — і ви ввійшли в систему, навіть якщо користуєтеся цілим парком особистих або робочих гаджетів.

Апаратні ключі безпеки, своєю чергою, забезпечують найвищий рівень захисту — це критично важливо для адміністраторів, привілейованих користувачів або будь-кого, хто не може ризикувати компрометацією. Їхня мобільність робить їх ідеальними для сценаріїв, коли потрібно автентифікуватися з некерованих або публічних систем. Недолік: якщо ви забули взяти ключ із собою, втратили його або зламали, відновити доступ може бути складніше.

У регульованих та високоризикових середовищах впровадження апаратних ключів у підхід Zero Trust (як описано в матеріалі Zero Trust for Microsoft 365) забезпечує безперервну перевірку, яка встигає за швидко змінюваними моделями загроз, мінімізуючи при цьому незручності для користувачів.

Корпоративні застосунки та застосування в регульованих галузях: 1Kosmos 1Key і не тільки

1Kosmos 1Key для високого рівня довіри: Це рішення забезпечує автентифікацію без паролів, сумісну з FIDO2, розроблену для відповідності суворим вимогам AAL3 за NIST SP 800-63B. Воно поєднує біометричну верифікацію, довіру до пристроїв і динамічні фактори автентифікації для привілейованих користувачів і облікових записів із високим ризиком.
Розширена інтеграція з корпоративним середовищем: 1Key добре інтегрується з бізнес-платформами Microsoft, автоматизуючи надання ідентифікаторів, управління життєвим циклом доступу та відкликання доступу для масштабованих хмарних розгортань.
Відповідність регуляторним вимогам: Платформа підтримує готові відповідності вимогам для регульованих галузей — фінансової, медичної та державної, — забезпечуючи перевірку ідентифікації, надійне журналювання та аудиторські сліди, що відповідають суворим вимогам звітності.
Безпечний доступ громадян і співробітників: Організації, які розгортають хмарні застосунки або порталі для громадян, отримують доступ без паролів і зберігають перевірку ідентифікації та управління, водночас зменшуючи операційні клопоти через втрачені облікові дані або скидання паролів.
Синергія Power Platform і управління: Інтеграція таких рішень, як 1Key, у ширші рамки управління (як розглянуто в матеріалі Power Platform governance best practices) допомагає узгодити безпеку, орієнтовану на ідентифікацію, з політиками щодо корпоративних даних, коннекторів і середовищ.

Покращення користувацького досвіду та автентифікація на кількох пристроях

Якщо користувачі й адміністратори в чомусь і згодні, то в тому, що паролі — це жах. Passkeys покликані це виправити, роблячи входи простими, інтуїтивними та менш стресовими, особливо на кількох пристроях і хмарних платформах. З passkeys не потрібно запам’ятовувати складні фрази або скидати паролі після кожної квартальної кампанії з «підвищення обізнаності про безпеку».

Велика перевага passkeys — автентифікація на кількох пристроях. Після збереження в зв’язці ключів облікового запису (Apple, Google або Microsoft) ви отримуєте майже миттєвий вхід на пристроях, пов’язаних з однією екосистемою. Підтвердження входу лише скануванням обличчя або відбитком пальця не тільки прискорює процес, а й значно зменшує незручності для користувачів, які перемикаються між пристроями чи локаціями.

Із погляду впровадження головне — зменшити незручності. Багато IT-команд побоюються спротиву через примусові політики паролів або зростання кількості заявок до служби підтримки через блокування облікових записів. Passkeys вирішують це: користувачі не мають справи з паролями, втомою від входів і циклами скидання. Бар’єри впровадження здебільшого пов’язані зі сумісністю екосистем або початковим налаштуванням пристроїв, і обидва питання швидко покращуються.

Розумні організації визначають стратегію впровадження, спочатку пілотуючи паролі-ключі (passkeys) у невеликих командах, збираючи відгуки та автоматизуючи реєстрацію пристроїв. Так процес залишається стабільним і зручним для користувачів, не жертвуючи безпекою.

Поширені запитання, порівняння Security Keys і passkeys та безпека віддаленого доступу

Чи це одне й те саме — passkeys і фізичні ключі безпеки? Не зовсім. Passkeys — це цифрові облікові дані FIDO2, якими керують ваш пристрій або хмара; фізичні ключі безпеки — це окремі пристрої, які ви підключаєте до комп’ютера або до яких підносите телефон для автентифікації. В основі обох лежить та сама криптографічна база.
Чи можна використовувати passkeys на пристроях Apple, Google і Windows? Частково. Синхронізовані passkeys найкраще працюють у межах однієї екосистеми. Міжплатформна підтримка існує, але бувает нестабільною, а сумісність функцій FIDO2 у браузерах різниться.
Чи можна віддалено викрасти мій passkey? Якщо ваш пристрій (і обліковий запис хмарного резервного копіювання) не скомпрометовано, віддалена крадіжка passkeys є вкрай малоймовірною. Самі ключі ніколи не покидають пристрій у незашифрованому вигляді.
Чи безпечні passkeys для віддаленої роботи та доступу до хмари? Так, якщо їх поєднувати з політиками для пристроїв та інструментами на кшталт Microsoft Defender і Purview. Тоді passkeys забезпечують надійну віддалену автентифікацію і суттєво знижують ризики фішингу, шкідливого ПЗ та крадіжки ідентичності.
Чи можуть менеджери паролів зберігати passkeys? Новіші версії менеджерів, зокрема 1Password, iCloud Keychain і Google Password Manager, уже підтримують passkeys. Але під час інтеграції з вашим процесом автентифікації обов’язково перевіряйте сумісність і підтримку FIDO2/WebAuthn.

Висновки, порівняння безпеки та фінальні рекомендації

Головне про безпеку: І passkeys, і облікові дані FIDO2 усувають паролі та їхні слабкі місця. Для більшості користувачів passkeys зручніші, а апаратні ключі безпеки й далі незамінні в сценаріях з підвищеними вимогами до гарантії автентифікації.
Зручність проти переносності: Синхронізовані passkeys забезпечують безшовний вхід з кількох пристроїв, тож вони добре підходять для звичайних користувачів і корпоративного парку пристроїв. Апаратні ключі легко переносити, але їх потрібно мати під рукою у вигляді окремого фізичного носія.
Стратегія впровадження: У регульованих середовищах застосовуйте багаторівневий захист: passkeys для звичайних користувачів, фізичні ключі безпеки для адміністраторів і корпоративні рішення на кшталт 1Kosmos 1Key для процесів, що відповідають AAL3.
Життєвий цикл і відновлення: Сплануйте робочі процеси відновлення та відкликання доступу до міграції — резервні копії та аудити (див. Governance for AI and access control) критично важливі, щоб уникнути простоїв або відхилень від відповідності вимогам.
Підготовка до майбутнього: Стежте за еволюцією стандартів взаємодії та відповідності, особливо в середовищах Microsoft 365 і Azure, щоб випереджати нові виклики у сфері ідентифікації та загроз.

Наступні кроки та подальше навчання з безпеки ідентифікації

Документація Microsoft: Ознайомтеся з офіційною документацією щодо FIDO2, passkeys і впровадження безпарольної автентифікації в Microsoft 365 та Azure.
Подкасти про безпеку ідентифікації: Слухайте практичні обговорення аудиту та управління в епізоді M365.fm: Auditing User Activity with Microsoft Purview.
Технічні посібники: Перегляньте технічні блоги про налаштування та усунення несправностей автентифікації FIDO2 і passkey для корпоративного середовища у великому масштабі.
Найкращі практики відповідності: Вивчіть NIST SP 800-63B і дізнайтеся, як провідні безпарольні рішення відповідають рівням гарантії (IAL, AAL).
Спільноти: Приєднуйтесь до форумів з безпеки, Microsoft 365 та управління ідентифікацією, щоб ставити запитання та ділитися з колегами практичними порадами з реальних впроваджень.

🎧 Вам також варто послухати

Управління ідентичністю в Microsoft Entra
Практичні підходи до керування власністю та доступом у Microsoft 365.
Операційна модель управління Microsoft 365
Розглянемо рішення, які роблять впровадження технологій стійким у часі.
ШІ-агенти – простими словами
Зрозумійте контекст управління для роботи з підтримкою ШІ.

Passkeys vs FIDO2: практичні рекомендації для підприємств

Паскі (passkeys) і ключі безпеки FIDO2 забезпечують автентифікацію, стійку до фішингу, але вони по-різному балансують між переносністю, відновленням, контролем над пристроєм і зручністю для користувача. Успішне впровадження визначає модель облікових даних, процес реєстрації, процедуру відновлення, вимоги до привілейованих користувачів і винятки для застарілих застосунків.

Контрольний список впровадження

Складіть інвентаризацію постачальників ідентифікації, браузерів, пристроїв і підтримуваних застосунків.
Для кожного профілю ризику обирайте синхронізовані або прив’язані до пристрою облікові дані.
Перед примусовим увімкненням зареєструйте кілька засобів автентифікації.
Захистіть відновлення доступу та перевірку через службу підтримки.
Перевірте роботу з привілейованими користувачами та виміряйте кількість збоїв до широкого впровадження.

Типові помилки

Примусовий вхід без паролів без шляху відновлення доступу.
Припущення, що кожен браузер і кожен застарілий застосунок підтримують однакові облікові дані.
Дозвіл на спільні засоби автентифікації, що послаблює відповідальність за дії.
Ігнорування життєвого циклу пристроїв і процедур на випадок втрати засобу автентифікації.

Поширені запитання

Що таке паскі?

Паскі – це облікові дані FIDO, які використовують криптографію з відкритим ключем і розблоковуються жестом на пристрої, біометрією або локальним PIN-кодом.

Що таке FIDO2?

FIDO2 – це стандарт автентифікації, що базується на WebAuthn і протоколі Client to Authenticator Protocol та забезпечує вхід, стійкий до фішингу.

Чи є паскі та FIDO2 одним і тим самим?

Паскі – це зручний для користувача спосіб роботи з обліковими даними, побудований на стандартах FIDO. FIDO2 описує ширшу технічну екосистему та протоколи автентифікації.

Чи безпечніші паскі, ніж паролі?

Так. Паскі використовують криптографію з відкритим ключем, прив’язаним до джерела (origin), тому вебсайт не отримує багаторазового секрету, який зловмисники можуть викрасти або повторно використати.

Чи стійкі паскі до фішингу?

Так, якщо їх правильно впроваджено. Облікові дані прив’язані до справжнього джерела вебсайту і не передають пароль фішинговій сторінці.

Чи є YubiKey паскі FIDO2?

YubiKey може зберігати облікові дані FIDO2 і працювати як ключ безпеки. Те, чи називається він паскі, залежить від облікових даних і термінології продукту.

Чи безпечніші паскі, ніж YubiKey?

Жоден із варіантів не є безумовно безпечнішим. Синхронізовані паскі покращують відновлення доступу та зручність, а ключі, прив’язані до апаратного забезпечення, забезпечують сильний контроль над пристроєм і ізоляцію.

Що таке синхронізований паскі?

Синхронізований паскі резервується через схвалений менеджер облікових даних або платформну екосистему, тож він може бути доступний на кількох пристроях.

Що таке паскі, прив’язаний до пристрою?

Паскі, прив’язаний до пристрою, залишається на одному засобі автентифікації або пристрої і не синхронізується з іншою платформою.

Чи повністю FIDO2 замінює паролі?

Він може замінити паролі для підтримуваних застосунків, але організаціям усе одно потрібні стратегії відновлення доступу, застарілої автентифікації та управління життєвим циклом облікових записів.

Чи підтримує Microsoft Entra ID паскі?

Microsoft Entra ID підтримує ключі безпеки FIDO2 і варіанти автентифікації, пов’язані з паскі, залежно від налаштувань клієнта та поточних можливостей служби.

Який зв’язок між WebAuthn і паскі?

WebAuthn – це API браузера та платформи, яке дозволяє вебсайтам і постачальникам ідентифікації створювати та використовувати облікові дані з відкритим ключем.

Що станеться, якщо користувач втратить пристрій із паскі?

Користувачу потрібен інший зареєстрований засіб автентифікації або схвалений метод відновлення. Організаціям варто зареєструвати кілька засобів автентифікації перед тим, як вимагати доступ без паролів.

Чи можна використовувати паскі на кількох пристроях?

Синхронізовані паскі можуть бути доступні на підтримуваних пристроях, тоді як облікові дані, прив’язані до пристрою, потрібно реєструвати на кожному засобі автентифікації.

Чи можна ділитися паскі між користувачами?

Ні. Облікові дані мають представляти одну особу або схвалену ідентичність робочого навантаження. Спільні засоби автентифікації послаблюють відповідальність за дії.

Чи захищають паскі від повторного відтворення облікових даних?

Так. Закритий ключ залишається на засобі автентифікації, а кожна автентифікація містить виклик (challenge), що запобігає простому повторному використанню.

Чи можна викрасти паскі?

Зловмисник може викрасти пристрій, але облікові дані зазвичай захищені локальним фактором розблокування і не відкривають багаторазовий пароль.

Що таке автентифікація без паролів?

Автентифікація без паролів перевіряє користувача за допомогою криптографічного засобу автентифікації, біометрії, PIN-коду або ключа безпеки замість запам’ятованого пароля.

Які недоліки мають паскі?

Серед викликів: відновлення доступу, сумісність між платформами, сценарії зі спільними пристроями, застарілі застосунки та розуміння користувачами під час впровадження.

Як організаціям керувати відновленням доступу через паскі?

Вимагайте кілька засобів автентифікації, визначте перевірку через службу підтримки, захищайте методи відновлення та відстежуйте події реєстрації й скидання.

Чи можна використовувати паскі на мобільних пристроях?

Так. Підтримувані мобільні операційні системи можуть створювати або використовувати паскеї через платформні автентифікатори або зовнішні апаратні ключі безпеки.

Чи працюють паскеї в різних браузерах?

Підтримка залежить від браузера, операційної системи, постачальника ідентичності та типу облікових даних. Перевірте цільові сценарії роботи користувачів перед розгортанням.

Чи підходять паскеї для адміністраторів?

Так. Вони особливо корисні для привілейованих користувачів, які мають використовувати автентифікацію, стійку до фішингу, та окремі адміністративні ідентичності.

Як паскеї впливають на умовний доступ?

Вони можуть задовольняти вимоги посиленої автентифікації, якщо постачальник ідентичності розпізнає автентифікатор і виконуються умови політики.

Як слід розгортати паскеї?

Почніть із привілейованих користувачів і користувачів із високим ризиком, налаштуйте відновлення доступу, проведіть пілотування на репрезентативних пристроях, а потім розширюйте використання, відстежуючи реєстрацію та показники служби підтримки.

Що слід моніторити після розгортання?

Моніторте реєстрацію, помилки автентифікації, події відновлення доступу, обходи політик, навантаження на службу підтримки та ризик входу.

Чи усувають паскеї необхідність у MFA?

Паскеї можуть забезпечити багатофакторну автентифікацію, стійку до фішингу, якщо поєднують володіння автентифікатором із локальним фактором розблокування.

Чи можуть паскеї захистити облікові записи служб?

Паскеї для людей не замінюють ідентичності робочих навантажень. Для служб використовуйте керовані ідентичності, сертифікати або інші відповідні облікові дані для не-людей.

Яка основна перевага для організацій?

Основна перевага полягає в зменшенні ризиків фішингу та скидання паролів, а також у покращенні безпеки входу та користувацького досвіду.

Який перший крок впровадження?

Складіть інвентаризацію застосунків і користувачів, переконайтеся, що постачальник ідентичності підтримує паскеї, визначте механізм відновлення доступу та проведіть пілотування на невеликій групі, перш ніж вимагати вхід без пароля.

Ознайомтеся з пов'язаними ресурсами M365.fm: M365.fm Learning Hub, Microsoft 365 governance checklist та Microsoft Copilot security model.