FIDO2

FIDO2 — это открытый стандарт аутентификации от альянса FIDO и W3C, который позволяет входить в аккаунты без пароля или усиливать вход вторым фактором с помощью криптографии. Состоит из двух частей: спецификации WebAuthn (браузерный API) и протокола CTAP (связь браузера с аппаратным ключом или смартфоном). Именно на FIDO2 построены современные passkey.

Механика проста. При регистрации устройство создаёт пару ключей: приватный остаётся в защищённом чипе (или Secure Enclave телефона) и никогда его не покидает, а публичный отправляется на сервис. При входе сайт присылает случайный запрос (challenge), устройство подписывает его приватным ключом — и только после подтверждения пользователем (касание токена, отпечаток, PIN). Пароль по сети не передаётся, а подпись жёстко привязана к домену.

Конкретный пример: у вас аппаратный ключ YubiKey или passkey в телефоне. Заходите на биржу — вводите логин, касаетесь ключа пальцем, вход занимает 2–5 секунд. Если завтра тот же логин запросит поддельный сайт binannce-login[.]com, браузер просто не найдёт совпадения по домену и подпись не сработает — вход физически невозможен.

Почему это важно при обмене и хранении крипты: FIDO2 закрывает главные векторы угона аккаунта на биржах и в кошельках. В отличие от кодов из SMS, он устойчив к SIM-swap, фишингу и социальной инженерии, потому что подпись нельзя переиспользовать на чужом домене.

Нюансы и частые ошибки:

• Не все сервисы поддерживают FIDO2 — заранее проверьте настройки безопасности биржи или обменника.
• Passkey в облаке синхронизируется между устройствами — удобно, но защита зависит от безопасности вашего аккаунта Apple/Google.
• FIDO2 защищает вход, но не приватный ключ кошелька: для активов используйте аппаратный кошелёк и холодное хранение. Подробнее — в гайде горячий и холодный кошелёк.