# От SMS OTP к passkeys в 2026 году: что заменяет WebAuthn и что по-прежнему делает SMS

> Пароли и одноразовые коды для входа в систему вытесняют стандартные пароли. Но SMS-сообщения не исчезают — они меняют свою функцию. Вот стек аутентификации 2026 года: где WebAuthn выигрывает, и роли проверки и восстановления, которые сохраняет SMS.

- Канонический URL: https://www.broadnet.me/ru/blog/sms-otp-to-passkeys-webauthn-2026
- Язык: ru
- Последнее обновление: 2026-09-26
- Издатель: BroadNet (https://www.broadnet.me)

- Опубликовано: 2026-07-09
- Автор: BroadNet Editorial Team

Пароли — это учетные данные WebAuthn/FIDO2, заменяющие пароли и одноразовые коды криптографией с открытым ключом, привязанной к устройству, поэтому фишинговые данные никогда не вводятся и не передаются. В 2026 году они вытесняют SMS-пароли для входа в учетную запись, в то время как SMS остается резервным каналом и каналом повторной проверки там, где защита с помощью паролей, восстановление учетной записи или вход в систему с разных устройств по-прежнему недостаточны.

## Что такое пароль на самом деле

Пароль — это учетные данные, определенные стандартом веб-аутентификации W3C (WebAuthn) и спецификациями FIDO2 альянса FIDO. При регистрации пользователя устройство генерирует пару открытого и закрытого ключей: закрытый ключ никогда не покидает аутентификатор (телефон, ноутбук или аппаратный ключ) и разблокируется с помощью локальных биометрических данных или PIN-кода; открытый ключ хранится на веб-сайте. Вход в систему осуществляется с помощью криптографического запроса-ответа, поэтому нет общего секрета, который можно было бы украсть, использовать для фишинга или повторной аутентификации.

Существует два варианта. Синхронизированные ключи доступа перемещаются между устройствами пользователя через связку ключей платформы, что решает проблему потери и восстановления, которая препятствовала использованию аппаратных ключей. Ключи доступа, привязанные к устройству, остаются на одном аутентификаторе и подходят для случаев с наивысшим уровнем защиты. Оба варианта устойчивы к фишингу, поскольку учетные данные криптографически привязаны к конкретному сайту, для которого они были созданы — они не будут раскрыты для похожего домена.

## Почему отрасль отказалась от SMS-кодов с одноразовым паролем (OTP)

Одноразовые пароли, передаваемые через SMS, имеют структурный недостаток: секрет представляет собой короткий код, который человек может обманом заставить раскрыть, и этот способ передачи изначально не был разработан для защиты от фишинга. Несколько факторов привели к тому, что высоконадежные потоки данных стали избегать использования этого метода.

- Стандарт NIST SP 800-63-4, окончательно утвержденный в июле 2025 года, классифицирует одноразовые SMS-коды как ограниченный аутентификатор, который сам по себе не соответствует требованиям для фишинговой аутентификации AAL2.
- Альянс FIDO позиционирует ключи доступа как изначально устойчивые к фишингу, поскольку учетные данные не могут быть переданы мошенническим источникам.
- Мошенничество с подменой SIM-карты и перехватом OTP-кодов позволяет злоумышленникам получать коды, не имея доступа к устройству жертвы, — угроза, которую стандартные пароли устраняют.
- Использование SMS-атак (искусственно завышенный трафик) превратило каждую отправленную одноразовую парольную тикерную ссылку в оплачиваемую поверхность для атак, создав прямой стимул к снижению объема отправленных паролей.

## Пароли и SMS-коды: сравнение.

| Измерение | SMS OTP | Код доступа (WebAuthn/FIDO2) |
|---|---|---|
| Секретная модель | Общий код, введенный человеком. | Закрытый ключ никогда не передается. |
| Устойчивость к фишингу | Низкий уровень — код может быть подвергнут социальной инженерии. | Высокий уровень — квалификация, привязанная к месту происхождения |
| раскрытие информации о замене SIM-карты | Уязвимый | Не применимо — зависимость от номера телефона отсутствует. |
| трение пользователя | Дождитесь, прочтите и введите код. | Один жест биометрической идентификации/ПИН-кода |
| Достигать | Универсальный — любой телефон, имеющий сигнал. | Требуется зарегистрированное, совместимое устройство. |
| Лучшая роль | Резервное копирование, восстановление и повторная проверка | Вход в основную учетную запись |

Компромисс заключается в соотношении дальности действия и сопротивления. Пароль более надежен, но требует от пользователя регистрации соответствующего устройства и его наличия под рукой; SMS-сообщения достигают любого телефона с сигналом, но обладают указанными выше недостатками. Именно это различие и объясняет, почему эти два метода сосуществуют, а не просто заменяют друг друга.

## Что по-прежнему делает SMS в мире паролей?

Удаление SMS-кода подтверждения из основного процесса авторизации не означает удаление SMS из стека. Его задача смещается с роли учетных данных на поддержку их жизненного цикла и покрытие тех моментов, когда пароли не справляются.

1. Восстановление учетной записи — когда пользователь теряет все устройства с ключом доступа, подтвержденный номер телефона является распространенным и хорошо известным способом восстановления доступа к учетной записи.
2. Межустройственная загрузка — подтверждение номера телефона помогает идентифицировать новое устройство до того, как на нем будет зарегистрирован пароль.
3. Для незарегистрированных пользователей — тем, кто еще не создал пароль или использует заимствованное устройство, по-прежнему необходим работающий способ входа в систему.
4. Дополнительная проверка и подтверждение — второй сигнал о рискованном действии, который добавляется поверх пароля, а не заменяет его.
5. Транзакционные уведомления и оповещения — обновления информации о доставке, предупреждения о мошенничестве и подтверждения, которые изначально не являлись аутентификацией.

> Стек [OTP и верификация](https://www.broadnet.me/products/otp) от BroadNet сначала использует бесшумную сетевую аутентификацию с автоматическим резервным SMS-отправлением, поэтому там, где вам все еще нужен фактор номера телефона — восстановление, загрузка или повышение уровня — вы получаете устойчивую к фишингу сетевую проверку там, где ее поддерживают операторы, и гарантированное SMS-сообщение везде в другом месте, благодаря одной интеграции.

## Как выстроить последовательность миграции

Сначала классифицируйте потоки по потребностям в обеспечении безопасности. Перенесите основной вход в систему для конфиденциальных учетных записей на пароли, сохраните фактор номера телефона для восстановления и незарегистрированных пользователей, а SMS-сообщения рассматривайте как менее безопасную роль, описываемую стандартами, а не как «входную дверь». Если вы все еще разрабатываете уровень номера телефона, наш ответ на вопрос [что такое OTP](https://www.broadnet.me/answers/what-is-otp) описывает варианты, [проверка номера](https://www.broadnet.me/answers/number-verification) объясняет сетевую альтернативу кодам, а готовое решение BroadNet [MyOTP](https://www.broadnet.me/products/myotp) обеспечивает резервную доставку, позволяя вам сосредоточиться на внедрении паролей.

## Часто задаваемые вопросы

### Полностью ли заменяют одноразовые пароли, отправляемые по SMS, электронные ключи доступа?

Не совсем. Пароли заменяют SMS-коды для основного входа в систему, но SMS-сообщения сохраняют свою роль в восстановлении учетной записи, загрузке между устройствами, поэтапной проверке и взаимодействии с пользователями, которые не зарегистрировали пароль. В 2026 году реалистичной стратегией станет аутентификация с использованием пароля в качестве основного, а фактор номера телефона будет сохранен в качестве менее надежного резервного варианта, а не в качестве основного учетного параметра.

### Устойчивы ли пароли к фишингу?

Да. Пароль криптографически привязан к точному источнику, для которого он был создан, поэтому он не передаст свою подпись поддельному или мошенническому домену — механизм, обеспечивающий работу фишинговых атак и атак типа «человек посередине», исключен. Альянс FIDO и W3C WebAuthn разрабатывают пароли таким образом, чтобы они были устойчивы к фишингу по своей конструкции, чего нельзя сказать о SMS-паролях.

### Что происходит с SMS-кодом подтверждения для восстановления учетной записи?

Обычно он остается неизменным. Когда пользователь теряет все устройства, на которых хранятся его пароли, предварительно подтвержденный номер телефона является широко используемым способом восстановления. Ключевое изменение заключается в масштабе: SMS используется для восстановления доступа с дополнительными проверками, а не в качестве обычного фактора авторизации, поэтому его уязвимость для фишинга и мошенничества ограничена узким, контролируемым потоком.

### Разрешает ли NIST по-прежнему использовать SMS для аутентификации?

Использование SMS-сообщений разрешено, но ограничено. Стандарт NIST SP 800-63-4 (окончательная версия принята в июле 2025 г.) рассматривает одноразовые SMS-коды как ограниченный аутентификатор, который сам по себе не соответствует требованиям AAL2 по защите от фишинга. Тем не менее, они могут служить в качестве менее надежного или резервного фактора, и именно эту роль они сохраняют наряду с обычными паролями.

## Ссылки

- FIDO Alliance — Обзор Passkeys: [fidoalliance.org](https://fidoalliance.org/passkeys/)
- W3C — Веб-аутентификация (WebAuthn) Уровень 3: [w3.org](https://www.w3.org/TR/webauthn-3/)
- NIST — Руководство SP 800-63-4 по цифровой идентификации (окончательная версия, июль 2025 г.): [csrc.nist.gov](https://csrc.nist.gov/pubs/sp/800/63/4/final)
- IETF — RFC 6238, TOTP: Алгоритм одноразовых паролей на основе времени: [datatracker.ietf.org](https://datatracker.ietf.org/doc/html/rfc6238)