Представете си, че една сутрин осъзнавате: бизнесът ви е пораснал дотолкова, че вече не можете да разчитате на стария, раздрънкан дизелов автомобил. Време е за електромобил. Подобно „пробуждане“ преживяват и организациите, когато преминават от пароли към passkeys – преход, който не е просто технологичен ъпгрейд, а фундаментална промяна в начина, по който се управлява достъпът.

Паролите са гръбнакът на дигиталната автентикация от десетилетия. Но днес този „двигател“ кашля. Данни от доклада Data Breach Investigations Report на Verizon показват, че 49% от инцидентите са свързани с компрометирани пароли, а 84% от потребителите използват една и съща парола за повече от един акаунт. Това вече не са дребни неудобства, а системен риск.

Как работи безпаролната автентикация

Безпаролната автентикация премахва нуждата човек да помни тайни. Вместо това се използват криптографски ключове, биометрия или притежание на устройство. Най-зрялата реализация на този модел са passkeys, изградени върху стандартите FIDO2 и WebAuthn.

При създаване на passkey устройството генерира двойка ключове:

• частен ключ, който остава заключен на устройството;

• публичен ключ, който се регистрира при услугата.

При вход системата изпраща предизвикателство, устройството го подписва с частния ключ, а сървърът проверява подписа. Частният ключ никога не напуска устройството – няма какво да бъде откраднато чрез фишинг.

Насоките на NIST (SP 800-63B) класифицират passkeys като методи, отговарящи на AAL2 или AAL3, което ги поставя значително над традиционната паролна автентикация.

Масовото навлизане на passkeys

Данните ясно показват посоката:

• FIDO Alliance отчита над 15 милиарда акаунта, които вече поддържат passkeys;

• Amazon е създала над 175 милиона passkeys;

• Google има 800 милиона акаунта с активирани passkeys;

• Microsoft вече ги използва като метод по подразбиране за нови акаунти.

Революцията не предстои – тя вече е в ход.

Как passkeys се вписват в ISO/IEC 27001

Стандартът ISO/IEC 27001 е рамка за управление на рисковете, а не списък с конкретни технологии. В редакцията от 2022 г. автентикацията попада основно под три контроли:

A 5.15 – Контрол на достъпа
Изисква ясно дефинирани правила за достъп. При passkeys това означава:

• разграничаване по риск (AAL3 за привилегировани акаунти, AAL2 за стандартни потребители);

• описани процедури при загуба на устройство;

• политики за преходни периоди.

A 5.17 – Информация за автентикация
Налага документиране на:

• процеса по регистрация на passkeys;

• защитата на публичните ключове;

• условията за повторна регистрация (инцидент, компрометирано устройство, промяна на роля).

A 8.5 – Сигурна автентикация
Тук passkeys покриват изискванията за MFA чрез комбинация от:

• притежание (устройството);

• биометрия или PIN.

Управление на риска при прехода

Преминаването към passkeys елиминира цели класове рискове:

• фишинг;

• brute-force атаки;

• credential stuffing;

• повторно използване на пароли.

Но въвежда и нови, които трябва да бъдат оценени и документирани:

• загуба или кражба на устройство;

• сложност при възстановяване на достъп;

• downgrade атаки, при които потребителят е върнат към пароли.

Точно тук ISO/IEC 27001 изисква ясно дефинирани мерки за третиране на риска.

Реалните ползи за бизнеса

Освен по-висока сигурност, има и директен оперативен ефект. Gartner изчислява, че 20–40% от helpdesk обажданията са свързани с пароли, като всяко нулиране струва средно 70 долара.

Google отчита:

• 100% елиминиране на атаки, базирани на пароли;

• 30% по-висока успеваемост при вход;

• 20% по-бързо вписване.

Предизвикателства и често срещани заблуди

Passkeys не са „магическо решение“. Както електромобилът изисква зарядна инфраструктура, така и безпаролната автентикация изисква:

• обучение на потребителите;

• изключване на паролни fallback механизми, където е възможно;

• добре обмислени процеси за възстановяване на достъп.

В преходния период повечето организации ще работят в смесена среда, което усложнява политиките и одита. Това не е провал – но трябва да бъде ясно планирано и времево ограничено.

Добри практики за внедряване

• Приоритизирайте по риск – започнете с администраторски и чувствителни акаунти.

• Поддържайте „defense in depth“ – passkeys са слой, не единствена защита.

• Планирайте прехода – със срокове, етапи и ясна крайна цел.

• Документирайте всичко – архитектура, политики, оценки на риска, обучения.

Заключение

Преминаването от пароли към passkeys не е козметична промяна, а стратегическо решение, което едновременно повишава сигурността, намалява оперативните разходи и улеснява съответствието с ISO/IEC 27001. Организациите, които го направят навреме и методично, няма просто да „сменят автомобила“ – те ще преминат към съвсем нов модел на дигитална сигурност.