За матеріалами NIST — Digital Identity Guidelines.
Це пояснення цифрової безпеки за чинними технічними джерелами, а не повідомлення про нову атаку. Багатофакторна автентифікація, або MFA, означає використання різних факторів для підтвердження входу. Наприклад, знання пароля поєднується з контролем пристрою. Два паролі самі по собі не створюють двох різних факторів.
Додатковий код допомагає, коли зловмисник знає лише пароль. Але сайт-двійник може попросити і пароль, і одноразовий код, а потім одразу передати їх справжньому сервісу. Тому важлива не лише кількість перевірок, а й те, чи прив’язана відповідь до конкретного сайту та сеансу.
NIST у настанові SP 800-63B-4 пояснює: способи з ручним введенням одноразового коду не вважаються стійкими до фішингу. Стандарт WebAuthn забезпечує інший підхід — криптографічне підтвердження, пов’язане з доменом сервісу. Це не вимога негайно відмовитися від доступного MFA, а пояснення відмінності його варіантів.
Passkey — облікові дані за стандартами FIDO, які можуть зберігатися на телефоні, комп’ютері або апаратному ключі. Замість передавання пароля користувач підтверджує вхід звичним розблокуванням пристрою. За поясненням FIDO Alliance, ключі бувають прив’язані до пристрою або синхронізовані між пристроями.
Практичний порядок такий: перевірити підтримувані сервісом способи входу, увімкнути додатковий захист і розібратися, як повернути доступ після втрати телефона. Резервні коди варто зберігати так, щоб вони не зникли разом із цим пристроєм і не були доступні стороннім.
Жоден спосіб входу не захищає автоматично від шкідливого програмного забезпечення на пристрої чи шахрайства після входу. Безпека облікового запису включає також оновлення, обережне підтвердження дій та захист каналу відновлення.
Пояснення passkeys від FIDO Alliance: https://fidoalliance.org/passkeys/
