NIST приводит WebAuthn/FIDO2 как пример фишинг-устойчивого протокола с verifier name binding: криптографический ответ связан с доменом сервиса и не раскрывает поддельному проверяющему пригодный результат входа. Это свойство относится к процессу аутентификации. Риски обманных платежей, вредоносных вложений и добровольной передачи данных требуют отдельных мер.

Почему пароль и вводимый код можно перехватить

Пароль сам по себе не обладает replay resistance: при входе передаётся один и тот же секрет. NIST указывает, что методы с ручным вводом одноразового кода, включая OTP, не считаются фишинг-устойчивыми: злоумышленник может ретранслировать введённый код настоящему сервису.

NIST разделяет наличие второго фактора и устойчивость протокола к фишингу. SMS, приложение с OTP или обычное push-подтверждение могут усиливать вход по сравнению с одним паролем, однако метод с вручную передаваемым кодом всё равно зависит от того, распознает ли пользователь подмену. Поэтому CISA подчёркивает: любая MFA обычно лучше её отсутствия, а переход к фишинг-устойчивой MFA следует планировать отдельно.

Как WebAuthn привязывает ответ к домену

WebAuthn использует пару ключей и схему challenge-response. Сервис хранит открытый ключ. Аутентификатор на устройстве подтверждает владение закрытым ключом, подписывая новый запрос сервиса. Закрытый ключ не передаётся сайту как общий пароль.

NIST приводит WebAuthn/FIDO2 как пример verifier name binding: криптографический результат связан с подтверждённым доменным именем сервиса. Поддельный сайт на другом домене не должен получить результат, пригодный для входа на настоящем сайте.

Новый случайный challenge или nonce также не позволяет взять ранее записанный корректный ответ и повторить его при следующем входе. Это свойство NIST описывает отдельно как replay resistance.

Что такое passkey на практике

Passkey — учётная запись WebAuthn, которой управляет аутентификатор. Он может быть встроен в ноутбук или смартфон либо выполнен как отдельный аппаратный ключ с USB или NFC. Доступ к ключу может подтверждаться локальным PIN или биометрией. В этом сценарии биометрические данные разблокируют аутентификатор на устройстве и не отправляются сайту вместо пароля.

Синхронизируемые passkeys могут использоваться в сценариях AAL2. При этом NIST требует учитывать компромиссы безопасности, приватности и удобства, а экспортируемые или синхронизируемые ключи хранить в защищённом зашифрованном виде.

Чем passkeys отличаются от OTP и push-MFA

Главное отличие от OTP — отсутствие вводимого пользователем секрета, который можно переслать через фишинговую страницу. Главное отличие от обычного push-подтверждения — криптографическая привязка результата к сервису. Number matching снижает риск случайного подтверждения серии навязанных push-запросов и рассматривается CISA как промежуточная мера против MFA fatigue, но не заменяет переход к FIDO/WebAuthn.

Как перейти пользователю без потери доступа

Сначала нужно проверить, поддерживает ли конкретный сервис passkeys или аппаратные FIDO-ключи. Затем зарегистрировать новый способ входа и сразу проверить его на другом устройстве или в новом сеансе. Рабочий резервный способ нельзя удалять, пока не проверено восстановление доступа.

Для важной учётной записи полезно иметь резервный аутентификатор. Это может быть второе совместимое устройство или отдельный аппаратный ключ — выбор зависит от возможностей сервиса. При смене телефона или компьютера следует проверить список зарегистрированных устройств и удалить потерянные или больше не используемые средства входа штатными средствами учётной записи.

Что требуется организации

Организации стоит начать с инвентаризации сервисов, устройств и доступных методов восстановления. Поддержку WebAuthn нужно проверять у каждого поставщика отдельно. После пилотного внедрения необходимо убедиться, что сотрудники умеют регистрировать аутентификатор, входить с резервного устройства и восстанавливать доступ без обхода защитных мер.

Внешний аппаратный ключ удобен там, где нужен переносимый отдельный аутентификатор. Встроенный platform authenticator уменьшает количество отдельных устройств, но требует продуманной замены техники и восстановления. Универсального варианта нет: NIST прямо предлагает оценивать безопасность, приватность и удобство для конкретного сценария.

Какие риски остаются

Passkeys защищают процесс аутентификации от кражи и повторного использования пароля или кода, но не превращают все действия после входа в безопасные. Обманный платёж, вредоносное вложение или добровольная передача чувствительных данных требуют отдельных технических и организационных мер. Восстановление аккаунта также должно быть не слабее основного входа, иначе злоумышленник будет атаковать именно резервный маршрут.

По определению NIST, WebAuthn/FIDO2 фишинг-устойчив в процессе аутентификации благодаря доменной привязке и challenge-response. Это не означает абсолютной защиты от любой социальной инженерии. Переход следует выполнять поэтапно и сохранять проверенный резервный доступ.

Источник

Открыть первоисточник