Пароли и passkey для небольшой команды: практическое руководство

Пароль до сих пор остаётся основным средством защиты бизнес-аккаунтов, но именно он часто становится слабым звеном. Сотрудники повторяют пароли, записывают их на бумаге или вводят на поддельной странице. В этой статье мы рассмотрим два дополнительных средства: менеджер паролей и passkey. Посмотрим, как это выглядит в Microsoft 365 и Google Workspace и как начать поэтапно.

Что такое passkey

Passkey - это альтернатива паролю. Он работает на паре ключей: открытом и закрытом. В системе Microsoft открытый ключ хранит Entra ID, а закрытый остаётся на вашем устройстве. При входе вы больше не вводите пароль. Вы открываете аккаунт отпечатком пальца, лицом или PIN-кодом экрана телефона или компьютера. Google поясняет, что блокировка экрана лишь локально разблокирует passkey и не передаёт биометрические данные Google или другим сторонам.

Главное преимущество - защита от фишинга. Пользователя можно заставить ввести пароль на поддельной странице, а в passkey нет секрета, который мог бы получить мошенник. Американское агентство кибербезопасности CISA в своих рекомендациях отмечает, что аппаратные ключи безопасности FIDO наиболее эффективны, а passkey - приемлемая альтернатива.

Менеджер паролей всё ещё нужен

Passkey пока поддерживают не все сервисы. Поэтому пароли во многих местах останутся: в банковских порталах, на страницах поставщиков, в старых программах и других сервисах. Здесь нам помогает менеджер паролей. CISA советует хранить все пароли в менеджере. Некоторые менеджеры предупреждают нас, если пароль слабый, повторяется или утёк. Главный пароль менеджера, по рекомендации CISA, должен быть длинной, уникальной и случайной фразой. Существующие слабые пароли лучше заменить теми, что создал менеджер.

Простое правило: где есть passkey, используем его. Во всех остальных местах у каждого аккаунта должен быть свой сгенерированный пароль, который хранит менеджер.

Microsoft 365: passkey в Microsoft Entra ID

Microsoft Entra ID поддерживает passkey как метод аутентификации. Согласно документации Microsoft Learn, сейчас он работает с ключами безопасности FIDO2 и с passkey, сохранёнными в Microsoft Authenticator. Несколько практических деталей, которые нужно знать:

• Passkey в Authenticator защищены на аппаратном уровне. На iOS закрытый ключ хранится в Secure Enclave.
• На Android Authenticator сохраняет passkey только в том случае, если на устройстве есть соответствующее защищённое оборудование. В противном случае регистрация не завершится.
• В Authenticator на один аккаунт можно иметь только один passkey.
• Для входа с другого устройства на обоих устройствах должны быть включены Bluetooth и интернет.
• На Android Authenticator использует возможности Android 14 или более новой версии. Поэтому старые телефоны могут не подойти.

Администратор включает этот метод в центре администрирования Microsoft Entra. Путь такой: Protection, затем Authentication methods, затем Passkey (FIDO2). Там же можно включить саморегистрацию, чтобы пользователи могли добавлять passkey со своей страницы безопасности. Сначала назначьте этот метод группе, например администраторам и нескольким добровольцам. Запускать для всей команды лучше только после тестирования.

Google Workspace: passkey и аккаунт Google

В Google Workspace администратор может разрешить пропуск пароля с помощью passkey. Этот параметр по умолчанию выключен. Чтобы включить его, в Admin console перейдите в раздел Security, в пункт Passwordless. Даже когда пропуск пароля выключен, пользователь всё равно может создать passkey, но только как метод двухэтапной проверки.

После этого пользователи могут создавать passkey в настройках аккаунта. Согласно справочной странице Google, полезны три вещи:

• Операционная система и браузер должны быть обновлены, чтобы passkey работал правильно.
• Passkey не следует создавать на общем устройстве, чтобы другие пользователи не получили доступ к аккаунту.
• Отдельный вход в аккаунт Workspace только с passkey возможен лишь в том случае, если администратор это разрешил. Пользователь увидит это на соответствующей странице настроек аккаунта.

Если сотрудник временно не может использовать второй метод аутентификации, его могут заблокировать в аккаунте. На этот случай администратор может сгенерировать резервные коды подтверждения. Это нужно продумать и спланировать заранее.

Поэтапный план для небольшой команды

1. В первую очередь защитите самые важные аккаунты: аккаунты администраторов, электронной почты, файлового хранилища и удалённого доступа.
2. Выберите менеджер паролей, подходящий для команды, и покажите каждому сотруднику, как им пользоваться.
3. Завершите внедрение двухэтапного входа для всех пользователей. Об этом мы уже подробно писали в отдельной статье.
4. Включите passkey в пробном режиме для администраторов и нескольких сотрудников и проверьте, какие устройства работают.
5. Заранее определите, что происходит при потере устройства: кто подтверждает личность, как восстанавливается доступ и как аннулируется passkey потерянного устройства.
6. Установите правило, что passkey создаются только на личных рабочих устройствах, а не на общих компьютерах.

Частые ошибки

Первая ошибка - включать passkey сразу для всего и не проверять путь восстановления. Вторая ошибка - невнимание к команде: сотрудники должны заранее знать, почему меняется правило входа, чтобы не принять новый запрос за поддельное сообщение. Третья ошибка - игнорирование обновления устройств, ведь passkey может не работать на старом браузере и операционной системе.

Passkey не заменяет другую защиту. Он хорошо сочетается с навыками распознавания фишинга, обновлёнными устройствами и резервными копиями.

Если вам нужна помощь в планировании этих изменений или в настройке параметров безопасности Microsoft 365 и Google Workspace, Appy.ge - грузинская IT-компания, которая поможет вам в этих вопросах. Appy - официальный CSP-партнёр Microsoft, а также работает с Google Workspace.

Источники:
• Mobile Communications Best Practice Guidance (CISA) - https://www.cisa.gov/sites/default/files/2025-12/guidance-mobile-communications-best-practices_508c.pdf
• Passkey FAQs - Microsoft Entra ID (Microsoft Learn) - https://learn.microsoft.com/en-us/entra/identity/authentication/passkey-faq
• fido2 compatibility (Microsoft Learn) - https://learn.microsoft.com/en-us/entra/identity/authentication/fido2-compatibility
• Sign in with a passkey instead of a password - Google Account Help - https://support.google.com/accounts/answer/13548313?hl=en
• Simplify and strengthen sign-in by enabling passkeys for your users (Google Workspace Updates) - https://workspaceupdates.googleblog.com/2023/06/passkey-open-beta.html