Как перейти на passkeys вместо паролей и не запереть сотрудников снаружи

Почему ваш потерянный телефон может стать проблемой для всей компании

Пароли крадут, подбирают и выманивают. По отчёту американского телеком-оператора Verizon об утечках за 2025 год, чужие учётные данные — самый частый способ проникнуть внутрь. С них началось 22% взломов, с уязвимостей — 20%.

С криптографией у passkey всё в порядке. Вход построен на стандарте WebAuthn и паре ключей: открытый лежит на сервере, закрытый остаётся у владельца. Секрета, который можно украсть с сервера, просто не существует. Так устройство passkey описывает FIDO Alliance — отраслевой консорциум, который разрабатывает стандарт. Ломается обычно железо и всё вокруг него: разбитый экран, забытый PIN, синхронизация, которая так и не доехала, или сервис, недоступный в стране, где вы сейчас.

С паролем потеря была не страшна: сервер хранит только его хеш и позволяет задать новый по ссылке из письма. С passkey так не выйдет. Закрытый ключ лежит на телефоне, ноутбуке или в менеджере паролей, и если копии нет, вместе с устройством пропадает единственное доказательство, что вы — это вы. И пока нет плана, как человек вернётся внутрь, отключать пароли рано, особенно когда нет отдельного IT-отдела и весь вход держится на единственном администраторе.

Как люди с passkeys могут остаться снаружи

1. Телефон пропал в поездке. Классика жанра: смартфон украли в аэропорту, а с ним ушли и passkey, который открывался по Face ID, и SIM-карта для SMS-восстановления. Подтвердить вход с нового ноутбука нечем, а переоформить SIM-карту из другой страны — вообще отдельное приключение.
2. Переезд на другую платформу. Инженер переходит с macOS на Linux или меняет iPhone на Android. Passkeys из встроенных менеджеров Apple и Google долго оставались внутри экосистемы. Выручали только отдельные менеджеры паролей, которые работают на любой системе. Теперь перенос есть: с iOS 26 и macOS 26 Apple передаёт passkeys в другие менеджеры паролей по схеме FIDO Alliance. Но только в приложения, которые это поддерживают — и только если человек запустит перенос сам, пока старый ноутбук ещё в руках.
3. Заблокирован главный администратор. К примеру, админ корпоративной системы входа (IdP), с которой сотрудники попадают во все рабочие сервисы, включает себе обязательный passkey и не оставляет запасного аккаунта. Потом ломается аппаратный ключ, и управлять доступами в компании больше некому. В Google Workspace без второго суперадмина остаётся мастер восстановления: вопросы про дату создания аккаунта и последние цифры карты, запись в DNS, которую Google ищет до 48 часов, а дальше — переписка с поддержкой.

Какие passkeys бывают и какой кому подходит

Синхронизируемые хранятся в менеджере паролей — встроенном в систему, как у Apple и Google, или отдельном — и сами расходятся по всем устройствам владельца через облако. Новый телефон той же экосистемы получает их без участия админа. Удобство, как обычно, имеет цену: всё держится на облачном аккаунте, и без доступа к нему пропадают и ключи. Американский стандарт для госсистем NIST SP 800-63B допускает их для обычного уровня защиты, но не для самого строгого.

Привязанные к устройству никогда его не покидают. Через облако такой ключ не утечёт, но и не восстановится: сломалось устройство — ключа больше нет. Для самого строгого уровня NIST требует именно их, а Microsoft и Google рекомендуют аппаратные ключи администраторам.

Такой ключ бывает встроен в ноутбук (чип TPM), а бывает отдельным брелоком с USB или NFC (например, YubiKey). Брелок теряют, забывают дома и путают с чужим.

Как вернуть человека, который остался снаружи

Путей два: человек входит запасным ключом сам, или администратор сбрасывает ему вход после проверки личности. Причем оба варианта надо подготовить заранее.

Два ключа вместо одного

К каждому важному аккаунту привязывают минимум два ключа: например, основной passkey в менеджере паролей и запасной аппаратный ключ в сейфе. Так советует Google администраторам Workspace. Один потерялся, второй на месте.

Аккаунт аварийного администратора

В системе входа компании — Okta, Entra ID, Google Workspace — заводят отдельный аккаунт на случай, когда обычные админские недоступны (его называют break-glass, «разбить стекло»). Через него возвращают управление: сбрасывают ключ запертому админу, а дальше тот помогает остальным. Microsoft советует для Entra ID минимум два таких аккаунта со своим аппаратным passkey, не тем, что у обычных админов. Ключи хранят в несгораемых сейфах в разных местах, вход проверяют хотя бы раз в 90 дней. У Google то же: больше одного суперадмина и распечатанные резервные коды в надёжном месте.

Как проверить, что пишет действительно коллега

Сообщение «потерял телефон, сбросьте мне вход» — удобный заход и для мошенника. Американское агентство кибербезопасности CISA описывает, как группировка Scattered Spider звонила в IT-поддержку под видом сотрудников и просила сбросить пароль или перенести второй фактор. Поэтому способ проверить личность договаривают заранее: видеозвонок, звонок руководителю или код, который передали из рук в руки.

Когда людей и ключей много, держать всё это в голове администратора уже не получается. Правила записывают в саму систему входа: сколько ключей нужно каждому, кто и после какой проверки сбрасывает ключ, кому положен аппаратный. Брелоки для этого не обязательны: можно начать с синхронизируемых passkeys в корпоративном менеджере паролей и аварийного админа, а аппаратные ключи добавить администраторам.

Какие сервисы переводить на passkeys первыми

Если в компании вход во все сервисы идёт через единую систему (SSO), passkey нужен в одном месте — в ней. Если нет, можно переводить по очереди.

• Второстепенные сервисы: дизайн, заметки, трекер задач — синхронизируемые passkeys: входить быстро, а если человек на день останется без доступа, работа не встанет.
• Почта и рабочий мессенджер — passkey и запасной способ входа: без них команда глохнет, и вернуться в них с нового устройства нужно быстро.
• Система входа компании (IdP) — привязанный к устройству passkey и запасной ключ: через неё открываются все остальные двери.
• Аварийные аккаунты — отдельный аппаратный ключ, не тот, что у обычных админов, в сейфе.

Что проверить, прежде чем сделать passkeys обязательными

1. Написан регламент восстановления, заведены аварийные аккаунты, и в них проверен вход.
2. У каждого администратора зарегистрирован второй, запасной ключ.
3. Описано, как опознать сотрудника, который потерял все устройства.
4. Восстановление у поставщика работает из тех стран, где сейчас живут сотрудники.
5. Passkeys работают на всех системах и в браузерах, которыми пользуется команда.
6. Посчитано, во что обходится день, когда сотрудник не может войти.
7. Пилот на добровольцах прошёл, сценарий «потерял телефон в поездке» успешно отыгран.

Если доброволец, «утопивший» телефон, вернулся к работе по регламенту, а не через переписку с поддержкой, passkeys можно делать обязательными для всех.