Почему у ключа доступа нечего украсть

Академия Starbound · Defense Engineering · Продолжение модуля «Шифрование» · Около 6 минут

Совет: нажмите кнопку «🔍 Линза» внизу — и текст станет крупнее.

Сокращения: FIDO (Fast IDentity Online) — открытые стандарты входа без пароля; PIN (Personal Identification Number) — короткий код разблокировки; OS (operating system) — операционная система; SMS (Short Message Service) — текстовое сообщение; W3C (World Wide Web Consortium) — консорциум веб-стандартов.

Пароль — это секрет, который вы сами вводите, и его можно выманить. Ключ доступа (passkey) никто не печатает и не знает, а сайт хранит только «открытую» половину. Красть нечего.

Мостик от «Шифрования»

Из модуля «Шифрование»:

«Представь почтовый ящик с прорезью. Бросить письмо может любой — это твой открытый ключ, его можно показать всему миру. А маленький ключик, который открывает ящик, есть только у тебя — это закрытый ключ. Его не даём никому.»

Ключ доступа устроен так же: сайт хранит только открытый ключ, а закрытый остаётся на вашем устройстве.
Даже если взломают сервер, там лежат только открытые ключи. Закрытого ключа там нет.

Уровень 1. Юные защитники (8–14 лет)

С ключом доступа вы входите так же, как открываете телефон: отпечатком пальца, лицом, PIN-кодом или узором.
Ключ доступа нельзя «рассказать» обманщику: вы его не знаете и не печатаете.
Отпечаток пальца или лицо не отправляются на сайт — они остаются в телефоне.

Уровень 2. Почему фишинг не срабатывает

Привязка к сайту: ключ доступа работает только с тем сайтом или приложением, для которого создан. На поддельном сайте он просто не подойдёт — проверку делают браузер и OS, а не вы.
Свой ключ для каждого сайта: один и тот же ключ доступа не используется на двух сайтах.
Нет общего секрета: на сервере нет секрета, который можно украсть и использовать.
Лучше одноразовых кодов: ключ доступа может заменить вход «пароль + код из SMS».

Уровень 2+. Полупрофи

Пара ключей: при создании ключа доступа устройство генерирует пару — открытый и закрытый ключ. Сайт хранит только открытый.
Вход как «вызов–ответ»: сайт задаёт задачу, устройство решает её закрытым ключом.
Синхронизация: ключи доступа могут синхронизироваться между вашими устройствами со сквозным шифрованием.
Вход с соседнего устройства: ключ доступа с телефона можно использовать для входа на ноутбуке, если телефон рядом и вы подтвердили вход на нём.
Ключи, привязанные к устройству: бывают ключи, которые никогда не покидают одно устройство, например аппаратный ключ безопасности.
Открытые стандарты: ключи доступа построены на стандартах FIDO, поэтому работают в разных браузерах и OS.

Мини-проект: нарисуйте схему «ящик и ключ» для входа на настоящий сайт и на поддельный — покажите, почему на поддельном ключ «не подходит».

Уровень 3. Старшее поколение

Ключ доступа избавляет от запоминания паролей: вход — как разблокировка телефона.
Ваш отпечаток или лицо не уходят на сайт.
Для всего остального помните «Стоп, Проверь, Спроси» из урока о сообщениях-ловушках.

Семейное задание: включаем один ключ доступа вместе

Выберите вместе один аккаунт, где в настройках безопасности есть пункт «ключ доступа» (passkey). Внук держит «линзу», бабушка или дедушка — телефон.
Войдите в аккаунт обычным способом.
Подтвердите разблокировкой экрана: отпечаток, лицо или PIN.
Выйдите и войдите снова — уже ключом доступа. Обсудите: что пришлось ввести? (Ответ: ничего секретного.)
Названия пунктов меню отличаются в разных приложениях; при показе экрана другим скрывайте личные данные.

Памятка для печати

Ключ доступа — вход как разблокировка телефона.
Его не нужно знать, и его нельзя выманить.
На поддельном сайте он не сработает.
Отпечаток и лицо остаются в телефоне.

Викторина

Что хранит сайт, когда вы создаёте ключ доступа? Ответ: только открытый ключ.
Почему ключ доступа не сработает на поддельном сайте? Ответ: он привязан к настоящему сайту, проверку делают браузер и OS.
Уходит ли отпечаток пальца на сервер? Ответ: нет.

Источники

С заботой, команда Starbound

Passkeys: nothing to phish

Starbound Academy · Defense Engineering · Follows the Encryption module · About 6 minutes

Tip: tap the 🔍 Lens button at the bottom to make text bigger.

Acronyms: FIDO (Fast IDentity Online), open standards for passwordless sign-in; PIN (Personal Identification Number), a short unlock code; OS (operating system); SMS (Short Message Service), a text message; W3C (World Wide Web Consortium), the web standards body.

A password is a secret you type, so it can be tricked out of you. Nobody types or knows a passkey, and the site keeps only the “public” half. There’s nothing to steal.

Bridge from “Encryption”

From the Encryption module:

“Picture a mailbox with a slot. Anyone can drop a letter in: that’s your public key, and you can share it with the whole world. But only you have the little key that opens the box: your private key. Never share that one.”

A passkey works the same way: the site stores only the public key, and the private key stays on your device.
Even if the server is breached, it only holds public keys. The private key isn’t there.

Tier 1. Young Defenders (ages 8–14)

With a passkey you sign in the same way you unlock your phone: fingerprint, face, PIN or pattern.
You can’t “tell” a passkey to a trickster: you don’t know it and you never type it.
Your fingerprint or face is never sent to the website; it stays on the phone.

Tier 2. Why phishing fails

Bound to the site: a passkey works only with the site or app it was created for. On a fake site it simply won’t fit; the browser and OS do the check, not you.
One key per site: the same passkey is never used on more than one site.
No shared secret: the server holds no secret that could be stolen and reused.
Better than one-time codes: a passkey can replace “password plus SMS code” sign-in.

Tier 2+. Semi-pro

Key pair: creating a passkey generates a public–private key pair on the device. The site stores only the public key.
Sign-in as challenge–response: the site issues a challenge; the device answers it with the private key.
Syncing: passkeys can sync across your devices with end-to-end encryption.
Nearby-device sign-in: a passkey on your phone can sign you in on a laptop when the phone is nearby and you approve on the phone.
Device-bound passkeys: some passkeys never leave a single device, such as a hardware security key.
Open standards: passkeys are built on FIDO standards, so they work across browsers and operating systems.

Mini-project: draw the mailbox-and-key diagram for signing in to a real site and to a fake one, showing why the key “doesn’t fit” the fake.

Tier 3. Elders

A passkey frees you from remembering passwords: signing in is like unlocking your phone.
Your fingerprint or face never goes to the website.
For everything else, remember “Stop, Check, Ask” from the scam messages lesson.

Family task: turn on one passkey together

Together, pick one account whose security settings offer a “passkey”. A grandchild holds the lens, a grandparent holds the phone.
Sign in the usual way.
Confirm with your screen unlock: fingerprint, face or PIN.
Sign out and back in, now with the passkey. Discuss: what did you have to type? (Answer: nothing secret.)
Menu names vary by app; hide personal details when sharing the screen.

Printable card

Passkey: sign in like unlocking your phone.
You don’t know it, so it can’t be tricked out of you.
It won’t work on a fake site.
Fingerprint and face stay on the phone.

Quiz

What does the site store when you create a passkey? Answer: only the public key.
Why won’t a passkey work on a fake site? Answer: it’s bound to the real site; the browser and OS check.
Does your fingerprint go to the server? Answer: no.

Sources

With care, the Starbound team