Как Passkeys меняют безопасность аккаунтов и почему SMS — это прошлый век
В 2025 году Telegram сделал один из самых заметных шагов в своей истории — начал массово внедрять Passkeys (ключи доступа) вместо привычных кодов по SMS. На первый взгляд это просто удобная функция. На деле — фундаментальное изменение всей модели безопасности.
Разбираемся, почему Telegram уходит от SMS, как работают Passkeys, чем они реально лучше и что стоит включить уже сейчас, если вам важна безопасность аккаунта.
Почему SMS больше не работает
Аутентификация через SMS долго считалась «достаточно безопасной». Но за последние годы она превратилась в один из самых уязвимых элементов цифровой идентификации.
Основные проблемы:
- SIM-swapping — злоумышленнику достаточно перевыпустить вашу SIM-карту.
- SS7 — старый телеком-протокол, позволяющий перехватывать SMS.
- Фишинг — код легко выманить у пользователя.
- Задержки и сбои — SMS часто приходят с опозданием или не приходят вовсе.
Для сервиса с сотнями миллионов пользователей это ещё и очень дорого. При текущих масштабах Telegram тратит десятки миллионов долларов в год только на отправку кодов.
Вывод очевиден: SMS — слабое и дорогое звено.
Что такое Passkeys простыми словами
Passkey — это не пароль и не код. Это криптографический ключ, который:
- создаётся на вашем устройстве;
- никогда не передаётся по сети;
- защищён биометрией или PIN-кодом;
- работает только с «родным» приложением или сайтом.
Вместо «введите код» Telegram просто спрашивает:
«Это вы? Подтвердите».
Вы подтверждаете Face ID / отпечатком — и вход выполнен.
Чем Passkeys принципиально лучше
1. Никакие секреты не передаются по сети При входе через SMS или одноразовый код секрет фактически «путешествует» по сети — его можно перехватить, подсмотреть или выманить. Passkeys работают иначе: устройство криптографически доказывает, что у него есть нужный ключ. Сам ключ никуда не отправляется — вообще никогда.
2. Защита от фишинга на уровне архитектуры SMS-код или пароль можно ввести на поддельном сайте. Passkey — нет. Он жёстко привязан к конкретному приложению или домену. Если запрос пришёл не от настоящего Telegram, устройство просто откажется подписывать вход. Даже самый правдоподобный фишинг здесь бесполезен.
3. Отсутствие зависимости от мобильного оператора SMS-аутентификация полностью завязана на:
- стабильность сети,
- честность оператора,
- отсутствие SIM-swapping.
Passkeys не используют телеком-инфраструктуру вообще. Вход происходит через интернет и локальную криптографию устройства — без участия SIM-карты.
4. Аппаратная защита вместо “просто кода” Ключ доступа хранится в защищённом аппаратном модуле:
- Secure Enclave на iPhone,
- TEE на Android,
- системные хранилища Windows и macOS.
Даже вредоносное ПО не может извлечь этот ключ. Максимум, что возможно — попытаться обмануть пользователя, но не украсть сам секрет.
5. Существенно более быстрый вход SMS-аутентификация — это:
- ожидание кода,
- переключение между приложениями,
- ручной ввод.
Passkeys — это:
- Face ID,
- отпечаток,
- или PIN.
Время входа сокращается с десятков секунд до 1–3 секунд.
6. Меньше ошибок и человеческого фактора Пользователи:
- не путают коды,
- не вводят их в чат мошеннику,
- не используют одинаковые пароли.
Passkey нельзя «слить» случайно — его нельзя продиктовать, переслать или скопировать.
7. Практически нулевая стоимость для сервиса Каждый SMS — это деньги. Каждый Passkey — это лишь несколько криптографических операций на сервере.
Для Telegram с миллионами новых пользователей в день это означает:
- меньше затрат,
- меньше отказов,
- выше стабильность.
8. Лучше масштабируется на будущее Passkeys — это не костыль, а стандарт, поддерживаемый:
- Apple,
- Google,
- Microsoft,
- всеми современными браузерами.
Это фундамент для беспарольного будущего, а не временное решение.
Коротко
SMS — это доверие инфраструктуре. Passkeys — это доверие математике и вашему устройству.
И в 2025 году разница между этими подходами уже критична.
Как это реализовано в Telegram
Telegram использует стандарты FIDO2 / WebAuthn — те же, что применяют Google, Apple и Microsoft.
Как это работает:
- На устройстве создаётся пара ключей: публичный и приватный.
- Публичный ключ хранится на серверах Telegram.
- Приватный — внутри Secure Enclave / TEE (аппаратно защищён).
- При входе устройство подписывает запрос.
- Сервер проверяет подпись — без паролей и кодов.
Важно: биометрия никуда не отправляется, она используется только локально для разблокировки ключа.
Как включить Passkeys в Telegram
Функция доступна в актуальных версиях Telegram на iOS и Android.
Пошагово:
- Обновите приложение.
- Откройте: Настройки → Конфиденциальность и безопасность
- Найдите раздел Passkeys.
- Нажмите «Создать ключ доступа».
- Подтвердите Face ID / отпечатком / PIN.
- Выберите, где хранить ключ (iCloud, Google или менеджер паролей).
Готово. В следующий раз SMS не понадобится.
А что с компьютером и веб-версией?
Есть несколько сценариев:
- вход через QR-код с телефона;
- использование Passkeys через Windows Hello / macOS Keychain;
- вход через браузер с подтверждением на телефоне.
Работает не идеально, но прогресс очевиден — экосистема догоняет мобильные клиенты.
Passkeys ≠ отказ от 2FA
Важно понимать: Passkeys заменяют SMS, но не заменяют облачный пароль Telegram.
Правильная схема в 2025 году:
- Passkey — первый фактор (вместо SMS)
- Облачный пароль — второй фактор
- Email восстановления — резерв
Это делает взлом аккаунта крайне сложным даже при краже SIM-карты или устройства.
Слабое место — почта восстановления
Есть важный нюанс.
Если:
- Telegram защищён Passkey + облачным паролем,
- но почта восстановления защищена только SMS,
то через SIM-swapping можно:
- восстановить доступ к почте,
- сбросить облачный пароль Telegram.
Решение простое: защитите почту Passkeys или аппаратным ключом.
Настройки приватности, которые стоит включить
Если уж говорить о безопасности — нельзя игнорировать приватность.
Рекомендуется:
- скрыть номер телефона (Никто);
- отключить поиск по номеру;
- использовать юзернейм вместо номера;
- проверить активные сессии;
- отключить синхронизацию контактов;
- настроить автоудаление аккаунта.
И для чувствительных разговоров — секретные чаты с таймером.
А если потерять все ключи?
Telegram оставил резервные варианты:
- вход через уже активную сессию;
- код в чате Telegram;
- SMS (если не отключён);
- восстановление через email;
- 7-дневный сброс с уведомлениями на все устройства.
Это компромисс между безопасностью и возможностью восстановить доступ.
Почему Telegram делает это именно сейчас
Причины сразу несколько:
- отказ от зависимости от операторов связи;
- снижение расходов;
- борьба с SIM-фродом;
- конкуренция с Apple / Google / WhatsApp;
- курс на собственную цифровую идентичность.
Telegram постепенно превращается из мессенджера в самостоятельную инфраструктуру доверия.
Итог
Passkeys — это не «фича для галочки». Это конец эпохи SMS и переход к модели, где безопасность строится не на доверии оператору, а на криптографии устройства.
Но важно помнить:
технологии не спасают от невнимательности.
Регулярные обновления, официальные клиенты и базовая цифровая гигиена всё ещё решают.
Если кратко:
- включили Passkeys,
- поставили облачный пароль,
- защитили почту,
- настроили приватность — значит, сделали максимум возможного в 2025 году.
Я иногда пишу здесь zStarsNews