Passkeys вместо паролей: готов ли мир?

Passkeys постепенно становится новым стандартом цифровой аутентификации. Он может окончательно отправить традиционные пароли в прошлое. Крупнейшие технологические компании уже сделали ставку именно на этот подход, а эксперты называют его одним из самых важных изменений в сфере кибербезопасности за последние десятилетия. Почему эта технология считается такой революционной, какие проблемы она решает и готов ли мир к полному отказу от паролей – разберёмся далее.

Также интересно: Как носимые устройства и AI-очки меняют логику технологической цивилизации

СОДЕРЖАНИЕ СТАТЬИ:

Смерть, которая давно назрела

Пароль – это одна из самых старых и уязвимых концепций цифровой безопасности, которая пережила саму себя на несколько десятилетий. Ещё в 1961 году Массачусетский технологический институт ввёл пароли для разграничения доступа к своему компьютеру Compatible Time-Sharing System – и с тех пор логика авторизации по сути не изменилась. Человек придумывает секретную строку символов, запоминает её или где-то хранит, передаёт серверу – а сервер решает, «своя» она или нет. Шестьдесят три года такого подхода привели к глобальной катастрофе: по данным отчёта Verizon Data Breach Investigations Report за 2024 год, более 80% всех подтверждённых взломов связаны с компрометацией учётных данных – паролей, которые были слабыми, повторно использованными или похищёнными в результате фишинга.

Индустрия реагировала на эту проблему косметическими мерами: менеджерами паролей, двухфакторной аутентификацией через SMS, приложениями-аутентификаторами. Все эти решения оставались надстройками над фундаментально сломанной архитектурой. Настоящим ответом стала технология passkeys – и сегодня, в 2026 году, она уже не является нишевым экспериментом. Вопрос только в том, успевает ли за ней реальный мир: миллиарды пользователей, сотни тысяч сервисов и десятки регуляторных систем, каждая со своей инерцией.

Ещё интересно: Клавиша, которую ты годами игнорировал: скрытый потенциал кнопки Windows

Что такое passkey и почему это не просто «новый пароль»

Чтобы понять масштаб перемен, сначала нужно разобраться с архитектурой. Passkey – это реализация стандарта WebAuthn, разработанного альянсом FIDO (Fast Identity Online) в сотрудничестве с консорциумом W3C. В отличие от пароля, который представляет собой симметричный секрет, хранящийся как на устройстве пользователя, так и на сервере, passkey основан на асимметричной криптографии с открытым ключом.

Принцип такой: при регистрации на сервисе устройство пользователя генерирует пару ключей – открытый и закрытый. Открытый ключ передается серверу и хранится там. Закрытый ключ никогда не покидает устройство – он защищен аппаратным модулем безопасности (TPM, Secure Enclave или аналогом). При входе в систему сервер отправляет криптографический запрос (challenge), устройство подписывает его закрытым ключом – и только после проверки этой подписи открытым ключом сервер подтверждает подлинность. Фишинг в этой схеме бессмыслен: даже если злоумышленник перехватит трафик или заставит жертву зайти на поддельный сайт, он ничего не получит – ни секрета, ни ключа, который можно было бы повторно использовать. Сервер не хранит ничего ценного для атаки.

Но есть и второй, не менее важный аспект. Passkeys с самого начала разрабатывались с учётом человеческой природы. Аутентификация происходит через те же механизмы, что уже встроены в устройство: отпечаток пальца, Face ID, PIN-код устройства или аппаратный ключ безопасности. Пользователю не нужно ничего запоминать, ничего придумывать и ничего вводить вручную. Это не упрощение безопасности – это её сочетание с эргономикой, которое раньше считалось взаимоисключающим.

Также интересно: «Холодная революция» от KAIST: как корейские учёные решают самую актуальную проблему искусственного интеллекта

Рыночный консенсус и технологическая коалиция

Скорость, с которой крупные технологические игроки объединились вокруг единого стандарта, беспрецедентна для отрасли, известной своим трибализмом. Apple начала поддерживать passkeys в iOS 16 и macOS Ventura осенью 2022 года, Google внедрила их в Chrome и на Android в том же сезоне, Microsoft интегрировала поддержку в Windows 11 и Azure AD. Все трое перешли на FIDO2/WebAuthn не потому, что им так захотелось, а потому что у них не было выбора: система паролей стала системным риском для всей цифровой экономики.

К 2025 году passkeys поддерживали более 13 миллиардов учетных записей в глобальных сервисах. Amazon, PayPal, GitHub, Shopify, Adobe, Uber, WhatsApp, Coinbase, 1Password – список компаний, внедривших эту технологию, охватывает финтех, электронную коммерцию, разработческие платформы и социальные сети. По данным FIDO Alliance Passkey Central, количество сайтов с поддержкой WebAuthn выросло с нескольких тысяч в 2022 году до сотен тысяч в 2025-м, причем темпы роста ускоряются.

Особенно показательно поведение Google: компания не просто добавила passkeys в качестве опции, а сделала их стандартным способом входа для новых аккаунтов Google в 2024 году. Это не маркетинговый ход – это архитектурное решение, которое затронет миллиарды людей. Когда платформа такого масштаба меняет настройки по умолчанию, она фактически переписывает стандарты для всего рынка.

Ещё интересно: Твой роутер – это не только Wi-Fi: вот что он ещё умеет

Синхронизация и поддержка нескольких устройств: проблема решена или появилась новая уязвимость?

Одним из самых весомых аргументов против passkeys на раннем этапе была проблема доступности: если ключ привязан к одному устройству, что будет, если его потерять или заменить? Решение экосистемы – синхронизированные passkeys через облачные хранилища (iCloud Keychain от Apple, Google Password Manager, 1Password, Bitwarden) – решило проблему удобства, но дала старт философскому и техническому обсуждению вокруг новой модели угроз.

Синхронизированный passkey хранится в зашифрованном виде в облаке и доступен на всех устройствах экосистемы. Это значит, что взлом аккаунта Apple ID или Google Account теоретически открывает доступ к синхронизированным ключам. Критики указывают на парадокс: мы заменяем уязвимость пароля на уязвимость учетной записи поставщика идентификации. Защитники отвечают, что облачные гиганты защищают эти хранилища гораздо серьёзнее, чем любой средний сервис хранит пароли, и что двухфакторная защита аккаунта поставщика сводит риск к минимуму.

Для самого высокого уровня безопасности – финансовые учреждения, государственные сервисы, корпоративная инфраструктура – решением являются аппаратные passkeys на устройствах типа YubiKey или Google Titan. Они не синхронизируются и не покидают устройство, но требуют физического наличия ключа. Это нишевый, но критически важный сегмент: именно аппаратные ключи уже давно защищают Google (компания ввела обязательные аппаратные ключи для всех своих сотрудников в 2017 году и с тех пор не зафиксировала ни одной успешной фишинговой атаки на аккаунты персонала).

Ещё интересно: SpaceXAI1: Илон Маск переносит искусственный интеллект в космос

UX как поле битвы: что чувствует реальный пользователь

Технология может быть идеальной, но если опыт её использования отталкивает – она проигрывает. Именно здесь passkeys показывают самую противоречивую картину.

В тех случаях, когда всё работает идеально, опыт действительно революционный. Заходишь на сайт, нажимаешь «Войти», Face ID или Touch ID подтверждает личность за долю секунды – и ты уже внутри. Никаких полей для ввода, никаких «забыл пароль?», никакого ожидания SMS с кодом. Для людей, выросших на iPhone или современном Android-телефоне, это ощущается естественно и быстро.

Но реальность 2026 года гораздо сложнее. Проблема перехода между экосистемами по-прежнему актуальна: passkey, созданный в Safari на iPhone, не всегда гладко работает при попытке войти через Chrome на Windows. Теоретически это решается с помощью QR-кода или Bluetooth-связи между устройствами, но на практике этот процесс непонятен большинству обычных пользователей. Исследование Nielsen Norman Group 2025 года показало, что 34% участников теста не смогли самостоятельно завершить межплатформенный вход с помощью passkey без подсказки.

Ещё более болезненная ситуация с восстановлением доступа. В эпоху паролей этот вопрос решали просто и неэффективно: «Введи email – получи ссылку для сброса». Passkeys требуют более сложных резервных стратегий: резервных кодов, доверенных устройств, верификации через поставщика идентификации. Сервисы пока не выработали единого стандарта, и каждый решает это по-своему. Для технически подкованного пользователя это нормально; для бабушки, которая впервые настраивает смартфон, – потенциальная катастрофа.

Также интересно: Все о NVIDIA RTX Spark: Суперчип, переписывающий правила персональных вычислений

Корпоративный сектор: между безопасностью и легаси-системами

Если потребительский рынок движется медленно, то корпоративный – особенно в сегменте среднего и малого бизнеса – движется ещё медленнее. Причина не в нежелании, а в архитектурной нагрузке.

Большинство крупных предприятий до сих пор используют VPN-доступ, Active Directory и LDAP-аутентификацию для значительной части своей инфраструктуры – это наследие 1990-х и 2000-х годов. Интеграция passkeys в эти среды технически возможна через FIDO2-совместимые IdP (Identity Providers) вроде Okta, Microsoft Entra ID или Ping Identity, но требует пересмотра архитектуры, миграции и переобучения персонала – процесса, который занимает годы и обходится в кругленькую сумму.

По данным аналитической компании KuppingerCole, в 2025 году лишь около 22% крупных предприятий в Северной Америке и Западной Европе внедрили passkeys в качестве основного или гибридного метода аутентификации для корпоративных приложений. Остальные либо находились на стадии пилотных проектов, либо продолжали полагаться на традиционные MFA-решения. Секторы с самым низким уровнем внедрения – здравоохранение и государственный сектор, где нормативные требования и циклы закупок особенно консервативны.

В то же время ранние корпоративные внедрения показывают впечатляющие результаты. Docusign сообщила о сокращении времени на аутентификацию на 60% после перехода на passkeys для внутренних систем. Shopify зафиксировала снижение количества обращений в службу поддержки, связанных с паролями, на 40% после внедрения passkeys для администраторов магазинов. Эти цифры – не просто маркетинговый шум, а реальная операционная эффективность, которую финансовым директорам сложно игнорировать.

Регуляторный ландшафт: от рекомендаций до обязательств

Вопрос стандартов аутентификации давно вышел за рамки чисто технических дискуссий и стал предметом внимания регуляторов. Директива ЕС NIS2, которая вступит в силу в полном объеме в 2024 году, прямо требует от операторов критической инфраструктуры внедрять надёжную многофакторную аутентификацию для всех административных доступов. FIDO2/passkeys здесь является де-факто рекомендуемым подходом, хотя директива и не называет конкретных технологий.

Американский NIST обновил свои рекомендации по цифровой идентификации (серия SP 800-63) в 2024 году, значительно усилив акцент на phishing-resistant MFA – категории, к которой passkeys относятся по определению. Федеральные агентства США обязаны обеспечить соответствие этим требованиям, что де-факто ускоряет внедрение FIDO2 в государственных системах.

Отдельной темой становится защита данных. GDPR и его аналоги в разных юрисдикциях поднимают вопрос о том, где и как хранятся синхронизированные passkeys: если ключи проходят через облачную инфраструктуру провайдера, базирующегося в США, соответствует ли это требованиям локализации данных для европейских пользователей? На этот вопрос пока нет окончательного ответа, и он уже стал предметом дискуссий между FIDO Alliance и регуляторами в ЕС.

Геополитический аспект: доверие к экосистемам и суверенитет идентификации

За технологическими дискуссиями об удобстве и безопасности скрывается вопрос, который редко озвучивается открыто, но является ключевым для государств и крупных организаций: кому мы доверяем управление нашей цифровой идентификацией?

Синхронизированные passkeys в экосистемах Apple и Google означают, что метаданные аутентификации фактически проходят через инфраструктуру двух американских корпораций. Для стран, которые пытаются построить цифровой суверенитет – Евросоюз со своим проектом eIDAS 2.0 и European Digital Identity Wallet, Индия с Aadhaar, Китай со своей параллельной системой – это вопрос принципиальный. Passkeys как стандарт – открытый и нейтральный, но конкретные реализации через облачные экосистемы крупных вендоров автоматически означают зависимость от их инфраструктуры, их условий обслуживания и, потенциально, их отношений с регуляторами.

ЕС отвечает на этот вызов с помощью European Digital Identity Wallet – проекта, который стремится стать независимым от крупных платформ уровнем идентификации для граждан Союза. Стандарт ISO/IEC 18013-5, лежащий в основе цифровых удостоверений личности в ЕС, технически совместим с FIDO2, но предусматривает хранение ключей в сертифицированных национальных или европейских службах доверия (European Trust Services) – а не в iCloud или Google Account. Это более сложная архитектура, требующая значительных государственных инвестиций, но она отражает реальный спрос на суверенный контроль над цифровой идентичностью.

Для Украины, которая строит устойчивую цифровую инфраструктуру в условиях активной войны и постоянных киберугроз со стороны России, вопрос аутентификации становится особенно актуальным. Государственные сервисы через «Дию» уже используют сильную аутентификацию на основе BankID и мобильных подписей, но переход на FIDO2-совместимые passkeys для госуслуг мог бы существенно уменьшить поверхность атаки – особенно учитывая, что фишинг и компрометация учетных данных – одни из самых распространенных векторов атак на гражданскую цифровую инфраструктуру страны.

Тоже интересно: NVIDIA N1 и N1X: Момент, которого Windows ждала двадцать лет

Цифровой разрыв: кто отстает

Ни одна технологическая революция не бывает социально нейтральной, и passkeys – не исключение. Переход на аутентификацию без паролей таит в себе несколько факторов неравенства, о которых пока говорят в основном в академических кругах.

Первый вектор – аппаратные требования. Passkeys требуют современного устройства с поддержкой TPM или Secure Enclave, а также операционной системы, поддерживающей FIDO2. Миллиарды людей в развивающихся странах до сих пор пользуются дешёвыми Android-устройствами на устаревших версиях ОС или старыми ноутбуками без нужного аппаратного обеспечения. Для них passkeys просто недоступны без обновления оборудования – а это реальный экономический барьер.

Второй вектор – когнитивный. Пожилые люди и те, у кого низкая цифровая грамотность, и так с трудом разбираются в паролях и двухфакторной аутентификации. Переосмысление базового ментального механизма («введи секретное слово») на что-то более абстрактное («устройство докажет, что ты – это ты») требует нового обучения и адаптации интерфейсов. Если сервисы не будут вкладывать средства в качественный UX-онбординг и поддержку, они рискуют оттолкнуть значительную часть аудитории.

Третий вектор – ситуационный. Что делать человеку, который живёт в условиях ограниченного доступа к устройствам – например, беженцу, потерявшему телефон и ноутбук, или человеку, пользующемуся общим компьютером в библиотеке? Резервные сценарии для passkeys пока не достаточно отработаны и понятны, чтобы уверенно ответить на эти вопросы. Парадоксально, но именно самые уязвимые категории пользователей часто остаются наименее защищенными технологическими стандартами, разрабатываемыми для условного «стандартного» пользователя с iPhone последнего поколения.

Ещё интересно: Пять AI-городов: Все об эксперименте Emergence AI – порядок, хаос и выживание

Конкурентная среда: менеджеры паролей и вопрос выживания

Появление passkeys нанесло неожиданный удар по целому классу программного обеспечения – менеджерам паролей. Такие компании, как 1Password (оцененная в 6,8 миллиарда долларов на пике своего роста), Dashlane, Bitwarden, LastPass и Keeper, построили свой бизнес именно на том, что людям нужна помощь в управлении паролями.

Реакция отрасли оказалась прагматичной: вместо того чтобы сопротивляться тенденции, лидеры рынка решили стать частью решения. 1Password и Bitwarden интегрировали поддержку passkeys в свои хранилища, позиционируя себя как кроссплатформенные менеджеры passkeys, которые избавляют от зависимости от конкретной экосистемы (Apple или Google). Это умный поворот: вместо менеджера паролей – менеджер идентификаций, который хранит и синхронизирует passkeys независимо от производителя устройства.

Однако эта стратегия сталкивается с конкурентным давлением со стороны самих платформ. У Apple и Google есть встроенные менеджеры, которые предлагаются бесплатно и глубоко интегрированы в операционную систему. Для большинства пользователей, которым не нужна одновременная межплатформенная синхронизация между iOS и Android, отдельный менеджер становится лишним. Рынок менеджеров паролей в сегменте B2C, скорее всего, ждет консолидация и сужение; B2B-сегмент с его требованиями к аудиту, корпоративному управлению и кроссплатформенности останется более устойчивым.

Тоже интересно: Конфиденциальность как бизнес-модель: Сервисы Proton и борьба за интернет без слежки

Временное сосуществование: гибридная реальность на долгие годы вперед

Было бы наивно ожидать, что пароли исчезнут за год или два. Масштаб задачи гигантский: по разным оценкам, в мире существует от 300 до 500 миллиардов активных пар логин-пароль в разных сервисах. Миграция такого масштаба не может пройти быстро даже по самым оптимистичным сценариям.

Реалистичная картина ближайших пяти-семи лет – гибридная система, где passkeys являются приоритетным методом для новых пользователей и новых сервисов, тогда как пароли (часто вместе с традиционной MFA) остаются для унаследованных аккаунтов, старых устройств и специфических сценариев использования. Это значит, что команды по безопасности и UX-дизайнеры ещё долго будут вынуждены поддерживать оба рабочих процесса параллельно, что усложняет продуктовые решения и увеличивает количество потенциальных ошибок.

Есть и более оптимистичный сценарий – вызванный не столько добровольным выбором, сколько крупным инцидентом. Масштабный взлом, который затронет сотни миллионов учетных записей из-за классического фишинга, может ускорить регуляторное давление и корпоративные решения об обязательном переходе на phishing-resistant аутентификацию. Технологическая отрасль не раз показывала, что самые быстрые изменения в ней происходят не благодаря дальновидности, а из-за катастроф.

Технология готова – остальные догоняют

Passkeys – это не очередной маркетинговый ребрендинг в сфере кибербезопасности. Это технически зрелый, стандартизированный и криптографически надежный подход к аутентификации, который решает фундаментальную проблему, которую отрасль пыталась обойти косметическими средствами шестьдесят лет. Стандарт открытый, его поддерживают крупнейшие игроки рынка, и он показывает реальные результаты там, где его всерьёз внедряют.

Но технология – это лишь необходимое условие, а не достаточное. Реальный переход зависит от того, смогут ли UX-команды сделать онбординг понятным для людей за пределами tech-пузыря; разработают ли сервисы надежные сценарии восстановления доступа; найдёт ли корпоративный сектор ресурсы на миграцию с устаревших систем; разработают ли регуляторы чёткие рамки для синхронизированных ключей в контексте суверенитета данных; и будут ли учтены потребности тех, у кого нет доступа к современным устройствам.

Система паролей умирает – медленно, неравномерно и со множеством возражений. Passkeys уже стоят на пороге, но силой их не вломить. Вход, как и предусмотрено стандартом, произойдет только после того, как пользователь подтвердит свою готовность – даже если подтверждением станет не нажатая кнопка, а накопленная критическая масса доверия, понимания и удобства. Именно за эту массу и идет настоящая битва.

Читайте также:

Passkeys вместо паролей: готов ли мир к новой системе авторизации?