от Мариета Филипова
Паролите постепенно отстъпват място на нови механизми за удостоверяване. Причината не е единствено удобството. Дори сложната парола остава уязвима към фишинг, повторно използване след изтичане на данни и други атаки срещу потребителската идентичност.
Passkeys предлагат различен подход. Вместо потребителят да въвежда тайна, която може да бъде открадната или предоставена на фалшива страница, удостоверяването се извършва чрез асиметрична криптография. Технологията се основава на стандартите FIDO2 и WebAuthn и вече се използва от множество онлайн услуги.
Предимствата на удостоверяването без пароли са добре известни. Но какво става, когато самият сайт не прилага правилно стандарта?
Отговор дава изследване, представено на USENIX Security 2026.
Случаите, когато криптографията не е достатъчна
При passkeys удостоверителят (authenticator) генерира двойка криптографски ключове. Частният ключ остава под негов контрол, а публичният се регистрира в съответната онлайн услуга. При опит за вход сървърът изпраща уникално предизвикателство (challenge), което участва в създаването на криптографски подпис. Сървърът проверява подписа чрез съхранения публичен ключ.
За разлика от паролите, този механизъм не изисква споделяне на тайна със сървъра. Удостоверяването е обвързано и с конкретната услуга, което осигурява устойчивост срещу класическия фишинг.
Сигурността обаче зависи от коректното изпълнение на всички проверки. Ако сървърът не валидира правилно криптографския отговор или допуска грешки при управлението на удостоверителите, предимствата на технологията могат да бъдат обезсилени.
Точно тези слабости разглежда изследването The State of Passkeys: Studying the Adoption and Security of Passkeys on the Web.
Изследователите идентифицират 872 уебсайта с поддръжка на passkeys и проверяват подробно 103 от тях. При 18 сайта откриват уязвимости с критична тежест, а при 53 – поне една уязвимост с висока тежест. Нито един от проверените сайтове не преминава всички тестове за сигурност.
Тези резултати се отнасят до конкретната изследвана извадка и не означават, че същият дял от всички услуги с passkeys е уязвим. Въпреки това мащабът на установените пропуски заслужава внимание.
Уязвимостите зад сигурния вход
Една от най-сериозните констатации е, че при пет уебсайта не се извършва необходимата проверка на криптографския подпис.
Това е фундаментален пропуск. Именно подписът доказва, че криптографският отговор е създаден чрез съответния частен ключ. Когато сървърът не извършва тази проверка, той може да приеме отговор, който не доказва притежаването на регистрирания удостоверител.
При засегнатите реализации изследователите потвърждават възможността за неоторизиран достъп до потребителски акаунти. Уязвимостта е оценена като критична със CVSS 9.8.
Друг проблем е атаката Credential Overwrite, при която неправилното управление на идентификаторите и записите на удостоверителите може да позволи неоторизирана промяна на вече регистрирани данни. В зависимост от реализацията това създава риск от компрометиране на достъпа или блокиране на легитимния потребител.
Проблеми са открити и при проверките на challenge и origin.
Challenge е уникалната стойност, която обвързва криптографския отговор с конкретна операция. При 22 сайта са установени недостатъци в нейното валидиране, които при определени условия могат да създадат възможност за злоупотреба с подписани отговори.
Проверката на origin има друга задача. Тя позволява на сървъра да установи от кой уеб произход е инициирана операцията. При 40 сайта изследователите откриват пропуски, които при наличие на допълнителни предпоставки, например контрол върху подходящ поддомейн, могат да отслабят защитата срещу неоторизирано удостоверяване.
Тези резултати показват, че наличието на криптографски защитен механизъм не е достатъчно. Ако приложението не проверява правилно получените доказателства, сигурността може да бъде компрометирана, без да е необходимо атакуващият да разбива самата криптография.
Рискът не приключва с успешното удостоверяване
Рискове възникват и при управлението на вече регистрираните passkeys.
Да разгледаме ситуация, при която атакуващ вече е получил достъп до активна потребителска сесия. Ако услугата позволява добавянето на нов passkey без подходящо допълнително потвърждение, той потенциално би могъл да регистрира собствен удостоверител към чуждия акаунт.
В подобен сценарий дори промяната на паролата може да не бъде достатъчна, ако неоторизираният passkey остане активен.
Това е примерен сценарий, а не универсална слабост на технологията. Той обаче показва защо регистрацията, премахването и възстановяването на удостоверители трябва да бъдат защитени със същото внимание, както самият процес на вход.
Отделно изследване, представено на USENIX Security 2026, установява и затруднения при разпознаването и премахването на неоторизирани passkeys. В лабораторно проучване с 31 участници се открояват проблеми, свързани с разбирането на регистрираните удостоверители и необходимите действия при съмнение за компрометиране.
Това е важен детайл: не е достатъчно една услуга да предлага защитни функции. Потребителят трябва да разбира как да ги използва, особено при съмнение за компрометиран акаунт.
Какво означава това за организациите
За организациите изводът е ясен: използването на утвърден стандарт само по себе си не е доказателство за сигурна реализация.
Необходимо е коректно сървърно валидиране на криптографския подпис, challenge, origin, RP ID и останалите задължителни елементи на WebAuthn. Също толкова важни са контролът върху регистрацията и премахването на удостоверители, защитата на потребителските сесии и надеждните процедури за възстановяване на достъпа.
Използването на утвърдени и поддържани библиотеки намалява риска от определени технически грешки, но не заменя проверките на приложната логика.
За потребителите passkeys остават по-сигурен избор от традиционните пароли в много сценарии. Разумно е обаче да следят кои удостоверители са регистрирани към акаунтите им и при подозрителна активност да проверяват не само паролите и активните сесии, но и всички налични методи за достъп.
Сигурният стандарт не е достатъчен
Passkeys са важна стъпка в развитието на цифровата идентичност. Те премахват една от най-експлоатираните слабости на традиционното удостоверяване и осигуряват значително по-висока устойчивост срещу фишинг.
Изследванията от USENIX Security 2026 показват, че надеждната технология не означава непременно надеждно внедряване.
Преминаването към удостоверяване без пароли не е просто замяна на един метод за вход с друг. То изисква защита на целия процес, от първоначалната регистрация до управлението и възстановяването на достъпа.
Силната криптография е основата. Но сигурността зависи и от това дали приложението правилно проверява всеки етап от удостоверяването.
Мариета Филипова е магистър по киберсигурност с над 10-годишен професионален опит в областта на мрежите и киберсигурността. Притежава международно признати сертификати, в това число и Certified Ethical Hacker (CEH). Професионалните ѝ интереси включват управлението на киберрискове, сигурността на изкуствения интелект и предизвикателствата, които новите технологии поставят пред организациите (снимка: личен архив).
Източници
