Google, один из крупнейших технологических гигантов, представил новый способ авторизации для своих пользователей. Ключи доступа (Passkeys) позволят входить в учётные записи без использования пароля, обеспечивая удобство и повышенную безопасность.

Разработанный совместно с альянсом FIDO и консорциумом World Wide Web, способ авторизации Passkey является значимым шагом в сторону единого стандарта авторизации без паролей, обещанного Google, Apple и Microsoft к концу 2023 года. Этот новый способ авторизации предоставляет пользователям возможность входить в свои учётные записи с помощью устройства и подтверждения биометрией (отпечатком пальца, распознаванием лица) или PIN-кодом. Ключи доступа устойчивы к онлайн-атакам, таким как фишинг, и предлагают более высокую безопасность, чем одноразовые коды по SMS.



Ключ доступа хранится на устройстве пользователя (компьютер, смартфон или планшет), что обеспечивает дополнительную безопасность. В случае использования нескольких устройств пользователем, ключ можно создать на каждом из них. Также возможна передача ключа через облако, например, через учётную запись iCloud на устройствах Apple или с помощью менеджеров паролей, таких как Dashlane и 1Password. Как сообщает The Verge, поддержка Passkeys в Dashlane и 1Password появится в начале 2023 года.

Возможность использовать «Ключи доступа» уже доступна для учетных записей Google на всех основных платформах, где они будут дополнительным вариантом входа наряду с паролями и двухфакторной аутентификацией.

Стоит отметить, что на данный момент поддержка ключей доступа доступна только для личных учётных записей, но в ближайшее время ожидается их внедрение для пользователей Workspace.

Вы можете добавить «Ключи доступа» в своем аккаунте Google, перейдя по адресу g.co/passkeys. Google будет активировать подтверждение доступа с помощью ключа доступа при входе в учётную запись или при обнаружении потенциально подозрительных действий.

В случае отсутствия доступа к своему устройству пользователь может войти с чужого устройства с разрешением на одноразовый вход. Однако Google не рекомендует использовать устройства других пользователей и советует не создавать на них ключи доступа.

Внедрение «Ключей доступа» (Passkeys) для авторизации без пароля является значительным прогрессом в области безопасности и удобства использования интернет-сервисов. Это шаг в сторону постепенного ухода от традиционных паролей, предоставляя пользователям более безопасный и удобный способ доступа к своим учётным записям.

Почтовая служба Google представляет собой выгодную мишень для злоумышленников, поскольку может раскрыть всю цифровую жизнь жертвы атаки.

Однажды получив доступ к почтовому ящику жертвы, атакующие могут предпринимать различные способы, чтобы продлить доступ к взломанной аккаунту Gmail. Они могут использовать функции пересылки и фильтрации, чтобы скрывать некоторые письма от легитимного пользователя. Например, злоумышленники могут фильтровать письма от Amazon, Google, Apple или других компаний, чтобы пользователи не получали никаких предупреждений о попытках получить доступ к их учетным записям.

В прошлом году компания Google ввела меры по защите учетных записей Google Workspace. Они предусматривали защиту некоторых критических действий, которые могут «иметь далеко идущие последствия для владельца учетной записи или организации». По сути, Google добавила к этим действиям еще один этап верификации.

Google начал блокировать сервисы Google Workspace для российских компаний

Теперь эта защита распространяется и на некоторые действия в Gmail, а именно:

Фильтры электронной почты: создание, редактирование и импорт фильтров.
Переадресация: добавление новых адресов для пересылки в настройках переадресации и POP/IMAP.
Доступ IMAP: включение доступа IMAP в настройках.
Пользователи Gmail получат предупреждения о критическом уровне безопасности, когда одно из перечисленных действий Google посчитает «рискованным».

В таких случаях перед сохранением изменений пользователь получит запрос на проверку. Google может предложить пользователю подтвердить действие с помощью двухэтапной проверки или других средств аутентификации.

Компания не раскрывает, как именно оцениваются факторы риска при выполнении чувствительных операций, но, скорее всего, учитывается такая информация, как местоположение, IP-адреса, браузеры, время суток и др.

Если проверка оказывается неудачной, например, когда злоумышленник не может выполнить второй шаг верификации, то на доверенных устройствах автоматически рассылается предупреждение о критическом уровне безопасности.

В ближайшие недели Google распространит это изменение на всех пользователей Google Workspace и всех пользователей персональных учетных записей Google. Полное развертывание мер безопасности должно завершиться до 10 сентября 2023 года.

Дополнительная защита ответственных действий — давно напрашивающийся шаг повышения безопасности аккаунтов. Хотя изменение не повлияет на большинство пользователей с надежными паролями, двухэтапной проверкой и дополнительными средствами защиты, данная мера может лучше защитить пользователей, которые чаще всего становятся жертвами атак.