Ключи доступа, беспарольная аутентификация и MFA

1. Введение#

Для всех цифровых сервисов аутентификация пользователей — важнейшая составляющая кибербезопасности. Компании всё активнее используют веб- и мобильные приложения для взаимодействия с клиентами, и потребность в безопасных и удобных способах входа растёт экспоненциально. Традиционные пароли стали источником риска: их легко выманить с помощью фишинга, забыть или повторно использовать в разных сервисах. Это приводит к росту числа атак с использованием учётных данных, утечек данных и снижению доверия клиентов.

В последние годы появились новые методы аутентификации, которые обещают повысить безопасность и удобство. В этой статье мы сравним три подхода — ключи доступа, беспарольную аутентификацию в целом и устойчивую к фишингу многофакторную аутентификацию (MFA). Рассмотрим их различия, сильные стороны и стратегическое значение, а также разберём смысл этих терминов.

Статья отвечает на следующие вопросы:

1. В чём основные различия между ключами доступа, беспарольной аутентификацией и устойчивой к фишингу MFA?
2. Как ключи доступа, беспарольная аутентификация и устойчивая к фишингу MFA повышают безопасность по сравнению с традиционными паролями?
3. Как беспарольная аутентификация, устойчивая к фишингу MFA и ключи доступа влияют на удобство пользователей, внедрение и операционные расходы?
4. Какие существуют практические сценарии и реальные примеры успешного внедрения ключей доступа, беспарольной аутентификации и устойчивой к фишингу MFA?

2. Основные понятия#

Прежде чем сравнивать подходы, определим используемые термины. Беспарольная аутентификация, устойчивая к фишингу MFA и ключи доступа существенно превосходят устаревшие методы, но эти понятия не взаимозаменяемы.

2.1 Что такое беспарольная аутентификация?#

Беспарольная аутентификация полностью исключает традиционный пароль. Вместо него пользователи подтверждают личность с помощью:

• Того, чем они владеют (например, телефона или ключа безопасности)
• Того, чем они являются (биометрических признаков)
• Одноразового кода, отправленного по электронной почте или SMS (его тоже можно считать подтверждением владения: например, для получения SMS нужен телефон)

Цель — снизить зависимость от статического пароля, который легко скомпрометировать и неудобно использовать.

Распространённые беспарольные методы:

• Магические ссылки в электронной почте
• Одноразовые коды на основе времени (TOTP) в приложениях-аутентификаторах, например Google Authenticator, Authy и Microsoft Authenticator
• Push-уведомления, например в нативных приложениях для iOS и Android
• Биометрия, например при использовании ключей доступа
• Одноразовые коды (OTP) по SMS
• Одноразовые коды (OTP) по электронной почте
• Вход через социальные сети, например «Войти через Google» или «Войти через Facebook»

Беспарольные методы часто улучшают пользовательский опыт и снижают вероятность атак перебором, но не все они по своей природе устойчивы к фишингу. Например, мошеннический сайт может перехватить магическую ссылку или одноразовый код из SMS, если пользователь по ошибке введёт код на фишинговой странице. Таким образом, беспарольные методы повышают безопасность и удобство во многих отношениях, но некоторые из них остаются уязвимыми к социальной инженерии.

2.2 Что такое устойчивая к фишингу MFA?#

Пример устойчивой к фишингу MFA — аппаратные ключи безопасности на базе FIDO2, такие как YubiKey. Они привязывают процесс аутентификации к легитимному источнику — домену настоящего сайта, — поэтому аутентификацию нельзя перенаправить на поддельный сайт или повторить там. Злоумышленник не получает ни закрытый ключ, ни секретный код, который можно использовать повторно. То же относится и к ключам доступа.

Однако аппаратные ключи безопасности практичны прежде всего для сотрудников. Организации могут предложить их и клиентам, но обязательное использование обычно нереалистично: с такими решениями знакомы в основном технически подкованные пользователи. Обычному пользователю может быть сложно понять принцип работы аппаратного ключа и пользоваться им.

Устойчивая к фишингу MFA гарантирует, что пользователь не сможет случайно передать действительные учётные данные даже при взаимодействии с мошенническим сайтом. Архитектура метода делает украденные сведения бесполезными для злоумышленника или вообще исключает возможность их кражи. Она опирается на криптографические проверки подлинности сайта, а не только личности пользователя.

Регуляторы и профильные организации, в том числе CISA и ACSC, всё чаще признают и рекомендуют устойчивую к фишингу MFA для защиты важных учётных записей. Применение таких стандартов помогает организациям выполнять законодательные требования, снижать ответственность и подтверждать должную осмотрительность при аудитах кибербезопасности.

2.3 Что такое ключи доступа?#

Ключи доступа — современные учётные данные для аутентификации, основанные на открытых стандартах FIDO2 и WebAuthn. Вместо общего секрета, такого как пароль, они используют асимметричную криптографию:

• Открытый ключ, который отправляется на сервер при аутентификации
• Закрытый ключ, который никогда не покидает устройство пользователя и который не нужно вводить или запоминать

Когда пользователь регистрирует учётную запись с помощью ключа доступа, устройство создаёт уникальную пару ключей. Открытый ключ отправляется на сервер и связывается с учётной записью, а закрытый остаётся в безопасности на устройстве. Для аутентификации сервер отправляет запрос, который устройство подписывает закрытым ключом. Так оно подтверждает личность пользователя, не раскрывая секрет, который можно украсть.

Ключи доступа избавляют пользователей от необходимости запоминать и хранить сложные пароли. Аутентификация часто сводится к биометрической проверке, например сканированию лица или отпечатка пальца, знакомой по разблокировке телефона. Каждый ключ доступа привязан к определённому домену, поэтому фишинговые попытки не срабатывают: злоумышленник не сможет обманом получить учётные данные для повторного использования. Сочетание высокой безопасности и минимальных сложностей делает ключи доступа привлекательным выбором для многих компаний, включая Google, PayPal, TikTok и KAYAK.

2.4 Основные различия кратко#

• Беспарольная аутентификация — общее понятие: полностью исключает пароли, но не всегда защищает от фишинга; это зависит от конкретного метода.
• Устойчивая к фишингу MFA — общее понятие: обычно обеспечивает привязку к источнику, но иногда может включать пароль в многофакторный процесс, например пароль и аппаратный ключ безопасности.
• Ключи доступа: одновременно исключают пароль и защищают от фишинга. Они используют асимметричную криптографию с привязкой к легитимному источнику.

3. Сравнение беспарольной аутентификации, устойчивой к фишингу MFA и ключей доступа#

Определив основные понятия, рассмотрим подробнее, как ключи доступа, беспарольная аутентификация и устойчивая к фишингу MFA соотносятся друг с другом. Это сравнение поможет понять, какой метод лучше отвечает требованиям безопасности, ожиданиям пользователей и долгосрочным целям организации. Мы сосредоточимся на следующих основных факторах:

• Безопасность
• Удобство пользователей и внедрение
• Реализация и затраты
• Регулирование и соответствие требованиям

3.1 Безопасность: кража учётных данных и привязка к источнику#

Безопасность — одна из главных причин отказаться от традиционных паролей. Однако три подхода по-разному защищают от атак на учётные данные, таких как фишинг и перебор паролей.

3.1.1 Предотвращение кражи учётных данных#

• Беспарольная аутентификация: отказ от паролей значительно снижает вероятность атак перебором и повторного использования паролей. Однако некоторые методы, например одноразовые коды по SMS и магические ссылки, сохраняют уязвимость: злоумышленник может обманом заставить пользователя ввести или переслать одноразовый код на фишинговом сайте.
• Устойчивая к фишингу MFA: использует методы, например ключи безопасности FIDO2, которые исключают передачу секрета для повторного использования. Даже если злоумышленник получит часть информации, например открытый ключ, она будет криптографически бесполезна без соответствующего закрытого ключа.
• Ключи доступа: благодаря асимметричной криптографии общие секреты не покидают устройство пользователя. Злоумышленник, укравший данные с сервера, получит только открытые ключи, бесполезные без закрытого ключа, который остаётся защищённым локально.

3.1.2 Защита от фишинга#

• Беспарольная аутентификация: это общее понятие, поэтому защита от фишинга не всегда гарантирована. Магическую ссылку или одноразовый код из SMS всё ещё можно перехватить, если пользователь по ошибке введёт их на мошенническом сайте. Поэтому некоторые беспарольные методы менее надёжны против сложных фишинговых атак.
• Устойчивая к фишингу MFA: одна из её основных функций — проверка легитимного домена до аутентификации. Аппаратные ключи безопасности или ключи доступа проверяют подлинность сайта: эти методы привязаны к первоначальному источнику. Это не позволяет злоумышленникам получить действительный секрет.
• Ключи доступа: основанные на FIDO2 и WebAuthn, они изначально привязаны к источнику. Если пользователь попытается войти на поддельном домене, ключ доступа не пройдёт криптографическую проверку. Это эффективно предотвращает фишинговые атаки.

3.1.3 Итог по безопасности#

Ключи доступа и устойчивая к фишингу MFA лучше защищают от кражи учётных данных и фишинга благодаря надёжной криптографической привязке к источнику и отсутствию передачи конфиденциальных секретов.

Беспарольные методы тоже значительно превосходят обычные пароли, но их устойчивость к фишингу различается, если они используют перехватываемые (T)OTP или секреты, например в магических ссылках.

3.2 Удобство пользователей и внедрение#

Даже безопасный метод бесполезен, если он слишком сложен для пользователей. Простой и понятный вход снижает раздражение пользователей и расходы на поддержку, а также способствует внедрению. Кроме того, пользователям не приходится искать обходные пути, чтобы войти.

3.2.1 Первоначальная регистрация и настройка#

• Беспарольная аутентификация: регистрация без пароля обычно проще, чем создание и запоминание нового пароля. Например, получение магической ссылки по электронной почте или подтверждение с помощью SMS-кода привычны пользователям, хотя и вызывают небольшую задержку.
• Устойчивая к фишингу MFA: если используются аппаратные ключи безопасности, для подключения может потребоваться выдать физические ключи или установить специальное ПО. Но после настройки повседневный вход может сводиться к касанию подключённого к устройству или расположенного рядом ключа.
• Ключи доступа: настройка часто упрощена, а регистрация ключа обычно требует лишь быстрого биометрического подтверждения на устройстве, например по отпечатку пальца или лицу.

3.2.2 Сложности при повседневном входе#

• Беспарольная аутентификация: отказ от паролей сам по себе значительно повышает удобство: их не нужно запоминать, искать в менеджере паролей или записывать на стикерах. Однако одноразовые коды и магические ссылки могут создавать дополнительные сложности, если для их получения приходится переключаться между приложениями.
• Устойчивая к фишингу MFA: пользоваться аппаратным ключом безопасности довольно просто, если он подключён к устройству или находится рядом. Тем не менее часто нужно нажать кнопку и/или запомнить и ввести PIN-код. Если для устойчивой к фишингу MFA используется ключ доступа, процесс ещё проще.
• Ключи доступа: сложности обычно минимальны: пользователь разблокирует устройство с помощью биометрии, например Face ID, Touch ID или Windows Hello, а ключ доступа делает всё остальное. Это один из самых простых способов входа.

3.2.3 Восприятие сложности и доверие#

• Беспарольная аутентификация: отсутствие пароля привлекает пользователей, уставших от его сброса.
• Устойчивая к фишингу MFA: обеспечивает высокую безопасность, но может казаться сложной новым пользователям, если нужны аппаратные ключи безопасности.
• Ключи доступа: пользователи, привыкшие разблокировать телефон с помощью биометрии, часто воспринимают их как знакомую технологию. Доверие к экосистемам Apple, Google и Microsoft также способствует внедрению.

3.2.4 Итог по удобству и внедрению#

Беспарольные методы, особенно биометрия, просты в использовании. Устойчивая к фишингу MFA после внедрения может быть удобной, но необходимость использовать аппаратные ключи в некоторых случаях обременительна. Ключи доступа обычно обеспечивают наибольшее удобство.

3.3 Реализация и затраты#

Помимо безопасности и удобства, на применимость решения в большом масштабе влияют практические факторы: сложность интеграции, нагрузка на поддержку и прямые затраты.

3.3.1 Интеграция с существующими системами#

• Беспарольная аутентификация: одноразовые коды по SMS и магические ссылки сравнительно легко реализовать, но каждый подход требует собственной логики, например генерации и проверки токенов, отправки писем или SMS.
• Устойчивая к фишингу MFA: внедрение аппаратных ключей безопасности, например YubiKey, может быть сложнее: необходимо спланировать выдачу ключей, процедуры восстановления и обучение пользователей. При этом технологический стек на базе FIDO хорошо зарекомендовал себя.
• Ключи доступа: внедрение может быть сложным из-за необходимости широкой поддержки в экосистеме, включая совместимость устройств, интеграцию с браузерами и обучение пользователей.

3.3.2 Затраты и окупаемость инвестиций (ROI)#

• Беспарольная аутентификация: отказ от паролей помогает сэкономить на службе поддержки, но некоторые методы, особенно SMS, могут предусматривать плату за каждую операцию. Для магических ссылок нужна надёжная инфраструктура электронной почты. Приложения-аутентификаторы для TOTP и push-уведомления требуют установки и разработки специальных приложений.
• Устойчивая к фишингу MFA: при использовании оборудования обычно требует самых высоких первоначальных затрат, но обеспечивает надёжную защиту от фишинга. Для ценных учётных записей ущерб от одной утечки данных может значительно превысить стоимость аппаратных ключей безопасности.
• Ключи доступа: после первоначальной разработки они помогают сократить число обращений по сбросу паролей — одной из крупнейших скрытых статей расходов на ИТ-поддержку. Они также сокращают число захватов учётных записей, что напрямую улучшает финансовые результаты, и могут заменить подавляющее большинство дорогостоящих одноразовых кодов по SMS.

3.3.3 Итог по реализации и затратам#

Беспарольные методы часто проще паролей, но их текущие расходы сильно различаются. Устойчивую к фишингу MFA может быть дороже и сложнее внедрять в большом масштабе, особенно с аппаратными ключами безопасности, которые нужно закупать и выдавать. Внедрение ключей доступа осложняют сложные технические требования и необходимость совместимости между платформами.

3.4 Регулирование и соответствие требованиям#

Многие нормативные акты, например PSD2 в европейском финансовом секторе и HIPAA в здравоохранении, теперь прямо рекомендуют или требуют надёжную аутентификацию, устойчивую к фишингу.

• Беспарольная аутентификация: может удовлетворять некоторым требованиям, например обязательному использованию 2FA или MFA, но в зависимости от метода может быть неустойчива к фишингу.
• Устойчивая к фишингу MFA: как правило, даёт аудиторам и регуляторам наибольшую уверенность, выполняя строгие требования к безопасному входу.
• Ключи доступа: уже соответствуют стандартам FIDO2, которые удовлетворяют требованиям безопасности большинства регулируемых отраслей или превосходят их.

3.5 Сравнительная таблица#

4. Практические примеры и сценарии#

4.1 Компания электронной коммерции Mercari повышает долю успешных входов с помощью ключей доступа вместо SMS-кодов#

Ранее Mercari использовала одноразовые коды по SMS для защиты входа и подтверждения транзакций. Это приводило к значительным расходам на отправку сообщений по всему миру и периодическим жалобам пользователей на задержку или отсутствие кодов.

Результаты:

• Значительное сокращение затрат: отказавшись от основной части SMS-сообщений, Mercari резко снизила расходы на отправку одноразовых кодов.
• Повышение безопасности: ключи доступа устойчивы к подмене SIM-карт и фишингу, поскольку используют асимметричную криптографию, привязанную к легитимному домену авиакомпании.
• Больше успешных входов: доля успешных входов с ключами доступа составила 82,5 % против 67,7 % для одноразовых кодов по SMS.

Главный вывод:
Переход на ключи доступа может существенно изменить ситуацию для организаций с большим объёмом пользовательских входов. Помимо повышения безопасности, экономия на одноразовых SMS-кодах может заметно улучшить финансовые результаты.

4.2 SaaS-стартапы используют магические ссылки для простой беспарольной регистрации#

SaaS-стартапы часто используют магические ссылки: этот метод аутентификации позволяет быстро подключать пользователей и резко сокращать число обращений в поддержку из-за забытых паролей.

Результаты:

• Меньше сложностей при регистрации: доля пользователей, прерывающих регистрацию, снизилась более чем на 30 %, что повысило конверсию.
• Меньше обращений в поддержку: число запросов на сброс пароля резко сократилось, и небольшая команда поддержки стартапа смогла сосредоточиться на вопросах о продукте.
• Быстрые улучшения: магические ссылки относительно легко реализовать и доработать, поэтому процесс можно без труда корректировать, повышая общую удовлетворённость регистрацией.

Главный вывод:
Для SaaS-стартапов беспарольные решения, такие как магические ссылки, не только упрощают подключение пользователей, но и снижают операционную нагрузку по управлению паролями. Это важное преимущество на ранних этапах роста.

4.3 MyGov повышает безопасность и защищает учётные записи граждан от фишинга#

MyGov — австралийский государственный онлайн-портал, предоставляющий доступ к различным государственным услугам, включая Medicare, Centrelink и Australian Taxation Office. Обработка конфиденциальных персональных данных требует от MyGov соблюдения строгих норм и привлекает повышенное внимание общественности.

Результаты:

• Рост внедрения: ключи доступа внедрены для 200 000 пользователей за 3 месяца.
• Надёжное соответствие требованиям: криптографическая привязка к источнику с помощью аппаратных токенов и безопасных приложений помогла MyGov выполнить требования ASD Essential Eight и других национальных директив по кибербезопасности.
• Снижение числа фишинговых инцидентов: повторно использовать украденные учётные данные стало гораздо сложнее без легитимного аппаратного токена или ключа, привязанного к устройству.
• Рост общественного доверия: внимание к надёжным решениям MFA помогло укрепить доверие пользователей на фоне растущей обеспокоенности утечками данных.

Главный вывод:
Для государственных учреждений и организаций государственного сектора, а также организаций в строго регулируемых отраслях внедрение устойчивой к фишингу MFA важно не только для безопасности, но и для соблюдения меняющихся стандартов.

5. Как Corbado может помочь#

Таблица в разделе 3.5 оценивает три варианта абстрактно. Для принятия решений нужна её версия на основе реальных входов: в строках — методы, которыми пользуются ваши пользователи, а вместо пятибалльной шкалы — доля успешных входов. Такую версию создаёт Corbado Observe — инструмент наблюдаемости аутентификации.

• Реальное сочетание методов. Каждый вход классифицируется по отдельным сценариям: пароль, ключ доступа, вход через социальные сети, одноразовый код по SMS или электронной почте, TOTP и подтверждение в приложении. Доля входов по каждому методу и их успешность — объективная отправная точка для выбора между тремя категориями из этой статьи.
• На каких этапах каждый метод теряет пользователей. Login Friction распределяет каждый начатый вход по категориям: восстановление, переход на другой метод, прерывание, ошибка, сброс и вход без затруднений. Данные разбиваются по методам, поэтому утверждение «беспарольный вход снижает сложности» можно проверить на реальном трафике.
• Эффективность устойчивого к фишингу варианта по сравнению с другими. Method Uplift группирует сценарии входа по доступным в каждом из них методам: только пароль, пароль и ключ доступа, пароль и вход через социальные сети или все три метода. Каждое сочетание сравнивается с базовым вариантом только с паролем. Все сочетания оцениваются за один период, поэтому вопрос внедрения из раздела 3.2 можно решить для конкретного продукта, не дожидаясь даты перехода для сравнения.
• Программа внедрения ключей доступа не обязательна. Observe работает с текущим способом входа. Если это пароль и код по SMS, он измеряет использование пароля и SMS-кода — именно с этого начинается большинство решений, рассмотренных в статье.

See Login Methods in Corbado Observe →

Если выбор падает на ключи доступа, их внедрение обеспечивает Corbado Connect. Условные предложения и Passkey Intelligence позволяют увеличить внедрение ключей доступа до 10 раз, используя преимущество в удобстве, описанное в разделе 3.2. Для этого они определяют, каким пользователям и когда показывать предложение.

6. Заключение#

Рассмотрев традиционные пароли, ключи доступа, беспарольные методы и устойчивую к фишингу MFA, подведём итоги.

Каждый метод обладает своими преимуществами:

• Беспарольная аутентификация: значительно лучше паролей, упрощает вход и снижает расходы на поддержку, но не всегда защищает от фишинга.
• Устойчивая к фишингу MFA: обеспечивает высокий уровень безопасности в средах с повышенным риском и не позволяет злоумышленникам воспользоваться человеческой ошибкой.
• Ключи доступа: оптимальное сочетание беспарольного входа и устойчивой к фишингу MFA, поддерживаемое лидерами отрасли. Они обеспечивают высокий уровень безопасности без ущерба для удобства.

Модернизация аутентификации уже сегодня не только повысит безопасность, но и покажет, что компания ориентирована на пользователей и готова успешно работать в цифровой экономике.

О Corbado

Corbado представляет собой Passkey Intelligence Platform для CIAM-команд, обеспечивающих аутентификацию пользователей в крупных масштабах. Мы показываем то, что не видят логи IDP и общие инструменты аналитики: какие устройства, версии ОС, браузеры и менеджеры учётных данных поддерживают passkey, почему регистрации не превращаются в логины, где сбоит WebAuthn-поток и когда обновление ОС или браузера тихо ломает вход, и всё это без замены Okta, Auth0, Ping, Cognito или вашего собственного IDP. Два продукта: Corbado Observe добавляет наблюдаемость для passkey и любых других способов входа. Corbado Connect даёт managed passkey со встроенной аналитикой (рядом с вашим IDP). VicRoads использует passkey для более чем 5 млн пользователей с Corbado (более 80 % активации passkey). Поговорить с экспертом по passkey →