Нативные приложения: Ключи доступа и локальная биометрия

После того как биометрия на мобильных телефонах стала мейнстримом, многие нативные приложения начали использовать такие функции, как Face ID или Touch ID (или их аналог на Android), для защиты доступа к приложению. Эта локальная биометрическая защита значительно повышает удобство для пользователя, обеспечивая быстрый и беспрепятственный доступ. На первый взгляд, ключи доступа и локальная биометрия могут показаться избыточными, поскольку оба метода включают проверку пользователя. Но они служат принципиально разным целям. В этой статье мы рассмотрим:

• Ключи доступа и локальная биометрия: Чем отличаются роли и функциональность локальной биометрии и ключей доступа?
• Добавление ключей доступа в приложения с локальной биометрией: Имеет ли смысл добавлять ключи доступа в приложения, которые уже используют биометрию? Каковы преимущества?

К концу статьи мы лучше поймем, когда и как использовать эти решения вместе для создания более безопасного, удобного и бесшовного опыта использования приложения. Мы также опишем практические сценарии, в которых сочетание ключей доступа и локальной биометрии может повысить как безопасность, так и удобство, гарантируя, что разработчики смогут принимать обоснованные решения для эффективного удовлетворения потребностей пользователей.

Локальные методы биометрической аутентификации, такие как Face ID, Touch ID от Apple или биометрические возможности Android, используют уникальные физические характеристики (например, черты лица или отпечатки пальцев) для подтверждения личности пользователя. В отличие от традиционных PIN-кодов или паролей, которые основаны на том, что пользователь знает, биометрия основана на том, что присуще пользователю. Этот переход устраняет необходимость многократного ввода кода, значительно упрощая процесс и делая повседневный доступ к приложениям быстрым и безопасным.

До того как биометрия получила широкое распространение на мобильных телефонах, приложения, стремящиеся защитить конфиденциальный контент, часто просили пользователей вводить дополнительный PIN-код или пароль при каждом запуске. Хотя такой подход повышал безопасность, он также создавал дополнительные неудобства, особенно когда пользователь уже был аутентифицирован в начале сессии. Появление технологий распознавания лиц и сканирования отпечатков пальцев на устройствах упростило этот процесс. Вместо многократного ввода кода пользователь теперь мог разблокировать приложение быстрым сканированием лица или коротким прикосновением. Если по какой-либо причине биометрическая проверка не удается или пользователь предпочитает ее не включать, остается доступным резервный PIN-код, код-пароль или пароль. Такая схема обеспечивает как удобство, так и доступность без ущерба для безопасности.

Крайне важно отличать локальные биометрические проверки от полноценных событий удаленной аутентификации. Удаленная аутентификация происходит в начале новой сессии, проверяя личность пользователя в бэкенд-системах сервиса с использованием учетных данных, таких как пароли или ключи доступа. Этот шаг устанавливает доверие между пользователем и сервисом.

Локальная биометрия, напротив, сосредоточена на повторной проверке личности во время текущей, уже аутентифицированной сессии. Вместо того чтобы просить пользователя повторно вводить пароли или другие учетные данные, когда он ненадолго покидает приложение или блокирует телефон, локальная биометрия подтверждает, что тот же авторизованный пользователь по-прежнему контролирует устройство. Эта проверка, ориентированная на устройство, не требует подключения к интернету или взаимодействия с удаленными серверами, что делает ее быстрой, надежной и бесшовной в повседневном использовании.

Биометрические данные хранятся и обрабатываются в специальных аппаратных модулях безопасности, таких как Secure Enclave на iOS или Trusted Execution Environment (TEE) на Android. Эти доверенные модули предназначены для защиты конфиденциальных биометрических данных от взлома, извлечения или передачи.

Из-за этой привязки на аппаратном уровне биометрическую проверку нельзя легко передать между устройствами или сервисами. Биометрические шаблоны каждого устройства остаются уникальными для этого конкретного устройства, гарантируя, что если пользователь перейдет на новый телефон, ему придется повторно зарегистрировать свои биометрические данные с нуля. Хотя это добавляет небольшой шаг при смене устройства, это защищает от несанкционированного доступа и предотвращает удаленные атаки, которые могли бы использовать централизованно хранящиеся биометрические данные. Более того, локальная биометрия работает без подключения к интернету, что делает ее надежной даже в автономном режиме.

Локальная биометрия оптимизирует безопасность, проверяя, что человек, который в данный момент использует устройство, действительно является законным, уже аутентифицированным пользователем, без необходимости повторного ввода специального PIN-кода или пароля, если в приложении есть важные функции, такие как банковские операции, страхование или другие личные данные.

Они обеспечивают удобство, работая бесшовно и мгновенно на устройстве, функционируют в автономном режиме и полагаются на безопасные аппаратные анклавы для защиты конфиденциальных биометрических данных. Хотя они не могут заменить необходимость первоначальной удаленной аутентификации (например, с помощью ключа доступа или пароля) для установления личности пользователя, они очень хорошо справляются с управлением и защитой последующих, текущих сессий.

Их ограничения, такие как отсутствие переносимости и необходимость повторной регистрации на новых устройствах, являются компромиссами ради повышенного удобства и строгой безопасности на уровне устройства. В конечном счете, локальная биометрия служит мощным, удобным методом обеспечения непрерывного доверия в сессии приложения после того, как это доверие было первоначально установлено.

Ключи доступа меняют природу аутентификации, заменяя общие секреты, такие как пароли, асимметричными криптографическими учетными данными. В отличие от локальной биометрии, которая только локально проверяет уже аутентифицированного пользователя, ключи доступа служат основным методом идентификации пользователей для удаленного сервиса. Это обеспечивает безопасный, устойчивый к фишингу процесс входа даже в сценарии, когда пользователь и устройство изначально неизвестны бэкенду приложения.

До появления ключей доступа распространенным подходом к установлению доверия с удаленным сервисом были пароли — общие секреты, известные как пользователю, так и серверу. Хотя пароли просты в реализации, они уязвимы для таких угроз, как фишинг, подстановка учетных данных и повторное использование паролей.

Ключи доступа решают эти проблемы, используя пару криптографических ключей: закрытый ключ, надежно хранящийся на устройстве пользователя, и соответствующий ему открытый ключ, зарегистрированный в сервисе. При попытке входа сервис отправляет запрос (challenge), который может быть решен только с помощью закрытого ключа пользователя. Это гарантирует, что даже если злоумышленники перехватят данные или попытаются обманом заставить пользователей раскрыть учетные данные, они не смогут получить несанкционированный доступ.

Ключи доступа используют асимметричную криптографию:

• Закрытый ключ (на стороне клиента): Безопасно хранится в безопасном анклаве устройства, недоступен для других приложений и даже для самой операционной системы.
• Открытый ключ (на стороне сервера): Зарегистрирован в бэкенде приложения, но бесполезен сам по себе без закрытого ключа. Поскольку пользователь никогда не отправляет закрытый ключ по сети и не имеет «общего секрета» для ввода, попытки фишинга в значительной степени становятся неэффективными. Злоумышленники не могут обманом заставить пользователей ввести то, чего они не знают, а перехват открытого ключа не дает никаких преимуществ. Эта архитектура, поддерживаемая такими стандартами, как FIDO2 и WebAuthn, гарантирует, что весь поток аутентификации основан на доказуемых криптографических операциях, а не на учетных данных, вводимых пользователем.

Это особенно важно для систем, где помимо нативных приложений используются и веб-сайты, на которых фишинг является большой проблемой. Ключи доступа, созданные на мобильном устройстве, могут использоваться через межплатформенную аутентификацию также на веб-сайтах на настольном компьютере.

Одним из основных преимуществ ключей доступа является их бесшовная переносимость между устройствами пользователя. Современные операционные системы могут синхронизировать ключи доступа через безопасное облачное хранилище (например, Связка ключей iCloud, Менеджер паролей Google), позволяя пользователям входить в систему с нескольких устройств без повторной регистрации или запоминания паролей при первой установке приложения. Более того, ключи доступа также могут использоваться в сценариях, где требовался бы второй фактор, обеспечивая защиту, подобную двухфакторной, без создания дополнительных сложностей. Эта синергия позволяет быстро и безопасно входить в систему независимо от того, какое устройство выберет пользователь, укрепляя экосистему, в которой безопасная аутентификация является одновременно универсально доступной и простой в обслуживании.

Ключи доступа представляют собой мощный, устойчивый к фишингу метод аутентификации неизвестных пользователей для удаленных сервисов. Используя асимметричную криптографию и переходя от общих секретов к закрытым ключам, хранящимся на устройстве, они устраняют многие слабости, которые преследовали системы на основе паролей. Ключи доступа сочетают в себе надежную безопасность, глобальную переносимость и прямую интеграцию с аппаратными компонентами безопасности. В результате они служат прочной основой для установления личности пользователя — то, чего не может обеспечить одна лишь локальная биометрия. В контексте нативных приложений ключи доступа являются критически важным первым шагом в создании безопасной сессии, после чего для поддержания быстрого и удобного доступа пользователя может использоваться локальная биометрия.

Когда речь заходит об аутентификации в нативных приложениях, ключи доступа и локальная биометрия играют важные, но разные роли. Хотя оба метода улучшают пользовательский опыт и безопасность, они решают принципиально разные проблемы:

• Ключи доступа аутентифицируют неизвестных пользователей для удаленного сервиса, часто во время первого входа или при создании новой сессии.
• Локальная биометрия, такая как Face ID или Touch ID, повторно проверяет уже аутентифицированного пользователя локально, обеспечивая непрерывность и удобство для текущих сессий.

Понимание этих различий жизненно важно для разработчиков, стремящихся создать надежные потоки аутентификации, которые будут одновременно безопасными и удобными для пользователя.

Чтобы лучше понять различия и взаимодополняющие роли ключей доступа и локальной биометрии, в таблице ниже сравниваются их ключевые характеристики по различным параметрам, включая цель, сценарии использования, безопасность и переносимость. Это сравнение показывает, как эти технологии решают принципиально разные проблемы, работая вместе для повышения как безопасности, так и удобства пользователя.

Хотя таблица подчеркивает основные различия, важно понимать, что ключи доступа и локальная биометрия — это не конкурирующие технологии, а взаимодополняющие. Вместе они обеспечивают многоуровневый опыт аутентификации:

1. Ключи доступа для первоначальной аутентификации, повторного входа и MFA Ключи доступа важны для установления доверия между пользователем и удаленным сервисом. Они обеспечивают устойчивую к фишингу, межплатформенную и межплатформенную аутентификацию с использованием асимметричной криптографии. Это гарантирует, что даже если злоумышленники перехватят данные, они не смогут получить доступ к учетным записям пользователей. Благодаря бесшовной облачной синхронизации (например, Связка ключей iCloud или Менеджер паролей Google) ключи доступа позволяют пользователям без усилий входить в систему на разных устройствах, что делает их идеальными для первого входа, переустановки или сценариев многофакторной аутентификации (MFA). Они также служат мостом между мобильными приложениями и веб-сайтами, предлагая последовательный и безопасный опыт в рамках всей экосистемы. Для приложений, требующих повышенной безопасности, ключи доступа могут заменить традиционные методы второго фактора автономным решением MFA.
2. Локальная биометрия для текущей проверки: После аутентификации локальная биометрия предлагает быстрый, безопасный и беспрепятственный доступ к приложениям, проверяя, что то же авторизованное лицо управляет устройством. В отличие от ключей доступа, локальные биометрические проверки ориентированы на устройство и работают в автономном режиме, полагаясь на безопасные аппаратные анклавы для хранения и обработки данных. Это гарантирует, что конфиденциальная информация никогда не покидает устройство, добавляя уровень безопасности без необходимости постоянного ввода данных пользователем. Уменьшая необходимость повторного ввода учетных данных, локальная биометрия улучшает пользовательский опыт, особенно для приложений, которые обрабатывают конфиденциальную информацию, такую как банковские операции или здравоохранение. Они защищают текущие сессии, проверяя владельца устройства, обеспечивая удобство без ущерба для безопасности.

Сочетая ключи доступа и локальную биометрию, разработчики могут предоставить безопасный, бесшовный и удобный для пользователя поток аутентификации.

Сочетая ключи доступа и локальную биометрию, разработчики могут создать надежный поток аутентификации, который:

• Повышает безопасность: Ключи доступа защищают от фишинга, подстановки учетных данных и кражи паролей, в то время как локальная биометрия предотвращает несанкционированный доступ к аутентифицированным сессиям.
• Улучшает пользовательский опыт: Локальная биометрия устраняет необходимость многократного ввода паролей или ключей доступа, создавая беспрепятственный опыт после первоначальной аутентификации. В случае необходимости повторной аутентификации из-за тайм-аутов или выхода из системы, повторная аутентификация так же проста, как разблокировка приложения.
• Упрощает доступ с нескольких устройств: Ключи доступа обеспечивают межплатформенную аутентификацию, в то время как локальная биометрия обеспечивает удобную безопасность на уровне устройства. Если ключи доступа используются в вебе, их добавление в нативное приложение является важным дополнительным шагом для устранения разрыва и предоставления пользователю полноценного опыта использования ключей доступа.

Эта синергия гарантирует, что приложения могут обеспечивать как сильную аутентификацию, так и бесшовное удобство — выигрышная комбинация для современных ожиданий пользователей.

Чтобы лучше понять, как работают реальные примеры и комбинации, мы рассмотрим две разные реализации: одну, которая использует только ключи доступа, и другую, которая использует комбинированный подход.

Приложение Kayak демонстрирует реализацию ключей доступа для аутентификации пользователя. Ключи доступа бесшовно интегрированы в процесс входа, предлагая пользователям возможность аутентифицироваться без необходимости запоминать свой адрес электронной почты или пароль. Как показано на экране аутентификации, пользователи могут напрямую выбрать ключ доступа для входа. Этот подход значительно упрощает пользовательский опыт, снижая когнитивную нагрузку и устраняя трение, связанное с паролями.

После аутентификации с помощью ключа доступа пользователь получает неограниченный доступ к приложению без необходимости повторной аутентификации. Этот дизайн особенно подходит для Kayak, приложения для путешествий, которое в основном управляет историей бронирований и маршрутами, которые не считаются особо конфиденциальными или критически важными данными.

Ключевые моменты подхода Kayak:

• Вход с помощью ключа доступа на экране аутентификации: Приложение сразу предлагает вход с помощью ключа доступа, сокращая количество шагов и повышая удобство для пользователя.
• Отсутствие локальной биометрической защиты после входа: Учитывая, что приложение не обрабатывает конфиденциальные личные данные, Kayak решил не внедрять локальные биометрические средства защиты, такие как Face ID или блокировка по отпечатку пальца, для состояния после входа. Это решение соответствует потребностям приложения в безопасности данных, сохраняя при этом беспрепятственный опыт для пользователей.

Эта реализация демонстрирует, как ключи доступа могут упростить процесс аутентификации, устраняя необходимость в паролях и обеспечивая беспрепятственный опыт для пользователей. Однако в сценариях, где в приложении выполняются более конфиденциальные или критически важные действия, могут потребоваться дополнительные уровни безопасности, такие как локальная биометрия. Давайте рассмотрим, как GitHub использует как ключи доступа, так и биометрию для обеспечения безопасности без ущерба для удобства использования.

GitHub балансирует интеграцию ключей доступа для безопасного входа с локальной биометрией для защиты контента приложения в состоянии после входа. Ключи доступа предлагаются как быстрый, устойчивый к фишингу вариант входа, что особенно важно, учитывая требования GitHub к многофакторной аутентификации (MFA). Это избавляет пользователей от необходимости управлять паролями или одноразовыми кодами, обеспечивая бесшовный и безопасный опыт входа. Но для целей этой статьи мы не будем рассматривать их реализацию ключей доступа.

Дополнительный уровень безопасности GitHub с помощью локальной биометрии: Поскольку GitHub также предлагает конфиденциальные операции, такие как слияние pull-запросов, GitHub позволяет пользователям включать локальную биометрическую защиту, если они считают это необходимым. В этом примере Face ID используется для блокировки приложения на iOS, гарантируя, что только владелец устройства может получить доступ или выполнить действия в приложении GitHub. Приложение явно запрашивает необходимые привилегии у операционной системы для активации биометрии и предлагает настраиваемые интервалы (например, немедленно или после определенного тайм-аута).

Ключевые моменты подхода GitHub:

• Вход с помощью ключа доступа для соответствия требованиям MFA: GitHub использует ключи доступа для упрощения безопасных входов без ущерба для стандартов многофакторной аутентификации.
• Биометрическая блокировка для защиты приложения: Используя локальную биометрию, такую как Face ID, GitHub гарантирует, что аутентифицированные сессии не могут быть использованы не по назначению или доступны неавторизованным лицам. Этот дополнительный уровень безопасности имеет решающее значение для приложений, обрабатывающих конфиденциальные данные или действия пользователя.

Вместе эти примеры иллюстрируют, как ключи доступа и локальная биометрия могут быть адаптированы к потребностям различных приложений, балансируя удобство пользователя с соответствующими мерами безопасности.

Ниже приведены четыре рекомендации, адаптированные к распространенным сценариям, в которых могут быть реализованы локальная биометрия и ключи доступа. Рекомендации структурированы таким образом, чтобы разработчики, менеджеры по продукту и лица, принимающие решения, могли быстро определить, какой подход лучше всего подходит для их ситуации. Далее следует сводная таблица, позволяющая легко сопоставить каждую рекомендацию с заданным сценарием:

1. Для приложений с регулируемыми, конфиденциальными или ценными данными: Ключи доступа + Локальная биометрия Если ваше приложение работает с критически важными, личными, регулируемыми или особо конфиденциальными данными (например, финансовыми, медицинскими, правительственными, персональными данными), внедрите локальную биометрию для безопасной и беспрепятственной повторной аутентификации. Это гарантирует, что после входа пользователей постоянный доступ к конфиденциальным функциям защищен факторами на устройстве (Face ID, Touch ID, сканирование отпечатков пальцев) без повторного ввода учетных данных. В то же время это также является веским основанием для внедрения ключей доступа и обеспечения соблюдения требований MFA для всех типов устройств. Именно здесь Corbado Enterprise Passkey Suite может помочь вам, особенно если вы работаете с крупномасштабным развертыванием и хотите убедиться, что сможете достичь 100% внедрения ключей доступа.
2. Массовое потребительское приложение: Интеграция ключей доступа на всех устройствах Даже вне чувствительных областей внедрение ключей доступа имеет смысл, чтобы избежать фишинга и устранить проблему с паролями. При планировании развертывания ключей доступа убедитесь, что это является частью целостной стратегии аутентификации, охватывающей все типы устройств, включая нативные приложения, веб-интерфейсы и другие подключенные конечные точки. Не рассматривайте ключи доступа как разовую функцию; вместо этого интегрируйте их последовательно на мобильных, настольных и веб-платформах, чтобы обеспечить единый и удобный для пользователя опыт входа. Если ключи доступа уже являются частью вашей веб-аутентификации, крайне важно расширить эту функциональность на ваши нативные приложения. Это обеспечит последовательный, безопасный и удобный для пользователя опыт входа на всех платформах, используя сильную безопасность и удобство ключей доступа везде, где предлагается ваш сервис.
3. Новые (greenfield) или автономные приложения: Для новых (greenfield) приложений или автономных приложений без унаследованной аутентификационной нагрузки из веба рассмотрите возможность начать с ключей доступа с самого начала. Таким образом, вы создадите перспективную схему аутентификации, которая устранит проблемы с паролями и заложит основу для беспрепятственных и безопасных пользовательских путей на всех платформах. Взгляните на наше решение Corbado Complete.
4. Избегайте частичных внедрений для экосистем с несколькими устройствами: Если ваш сервис охватывает несколько типов устройств (например, мобильные, веб и настольные), не вводите ключи доступа только в одной среде. Частичные внедрения снижают согласованность и могут запутать пользователей. Вместо этого внедряйте ключи доступа единообразно, чтобы обеспечить плавный, единый опыт входа везде. Поэтапное внедрение или сначала на самых популярных типах устройств, а затем в нативном приложении является разумным, но это должно быть сделано в короткие сроки.

Хотя приведенные выше рекомендации охватывают ряд распространенных сценариев, существует бесчисленное множество других ситуаций, в которых выбор внедрения локальной биометрии, ключей доступа или обоих может варьироваться. Каждое приложение имеет уникальные потребности в безопасности, удобстве использования и соответствии требованиям, и для разработчиков, менеджеров по продукту и бизнес-лидеров крайне важно тщательно оценить эти факторы, прежде чем остановиться на каком-либо подходе. Тщательно взвесив ваши конкретные сценарии использования, нормативные требования и ожидания пользователей, вы сможете разработать стратегию аутентификации, которая не только защитит ваших пользователей и их данные, но и обеспечит бесшовный, удобный для пользователя опыт, которого ожидают современные клиенты.

Как мы видели, локальная биометрия и ключи доступа играют принципиально разные, но взаимодополняющие роли в современных стратегиях аутентификации. Локальная биометрия упрощает проверку текущей сессии, используя присущие пользователю черты для быстрой проверки на устройстве, в то время как ключи доступа устанавливают безопасные и устойчивые к фишингу доверительные отношения с удаленными сервисами. Продуманно сочетая эти методы, разработчики могут создать пользовательский опыт, который будет одновременно беспрепятственным и высокозащищенным, эффективно удовлетворяя потребности разнообразного и требовательного цифрового ландшафта. Возвращаясь к вопросам из введения:

• Ключи доступа и локальная биометрия: Чем отличаются роли и функциональность локальной биометрии и ключей доступа? Локальная биометрия обеспечивает удобную, ориентированную на устройство повторную проверку для уже аутентифицированных пользователей, гарантируя, что законный владелец постоянно контролирует устройство. В отличие от этого, ключи доступа заменяют общие секреты, такие как пароли, обеспечивая безопасную, первоначальную удаленную аутентификацию и легкую межплатформенную переносимость, тем самым устраняя риски фишинга и предлагая единый опыт входа на разных платформах и форм-факторах.
• Добавление ключей доступа в приложения с локальной биометрией: Имеет ли смысл добавлять ключи доступа в приложения, которые уже используют биометрию? Да, это часто имеет смысл. Одна лишь биометрия не устанавливает первоначальную личность пользователя для удаленных сервисов, в то время как ключи доступа это делают. Включение ключей доступа наряду с существующей локальной биометрией может укрепить общую безопасность, сохраняя при этом удобство для пользователя. Ключи доступа выполняют критически важный первый шаг аутентификации и межплатформенной переносимости, в то время как биометрия упрощает последующий доступ и проверку текущей сессии.

Признавая различные, но взаимовыгодные роли ключей доступа и локальной биометрии, разработчики и лица, принимающие решения, могут реализовать комплексный подход к аутентификации, который балансирует безопасность, удобство и удовлетворенность пользователей. Таким образом, приложения становятся более устойчивыми к угрозам, проще в навигации и более адаптируемыми к меняющимся требованиям пользователей и регуляторов, в конечном итоге создавая бесшовную и надежную цифровую среду.