Як працюють Passkeys у Singpass і хто вже може ними користуватися

Водночас людина все одно підтверджує, що контролює свій телефон — зазвичай через Face ID, Touch ID, відбиток пальця або код доступу. Singpass не отримує біометричні дані чи закритий ключ: сервіс бачить лише криптографічну відповідь, яку можна перевірити, але не можна використати повторно як пароль.

Як працює пара відкритого та закритого ключів

Під час реєстрації iPhone створює унікальну пару ключів:

• Закритий ключ залишається на зареєстрованому пристрої та використовується для створення цифрового підпису.
• Відповідний відкритий ключ реєструється в Singpass і дає змогу перевірити цей підпис.
• Під час входу Singpass надсилає телефону новий криптографічний виклик — своєрідне одноразове завдання.
• Телефон підписує його лише після підтвердження дії через Face ID, Touch ID або код Singpass.
• Singpass перевіряє відповідь за допомогою збереженого відкритого ключа.

Точніше, йдеться не просто про «обмін ключами шифрування», а про автентифікацію на основі криптографії з відкритим ключем. Закритий ключ ніколи не надсилається Singpass, а самого відкритого ключа недостатньо, щоб видати себе за користувача.

Стандарти FIDO називають цю модель автентифікацією, прив’язаною до джерела — origin-bound authentication. Обліковий запис пов’язаний зі справжнім доменом сервісу, тому копія сторінки Singpass на іншому сайті не зможе отримати відповідь, придатну для входу в справжній Singpass.

Саме тому підроблена сторінка входу має значно меншу цінність для атаки на користувача Passkeys. Шахрай не отримує ні пароля, ні SMS-коду, ні QR-підтвердження, які можна було б зібрати та повторно застосувати.

Хто може користуватися Passkeys на старті

Початковий запуск обмежений кількома категоріями пристроїв:

• iPhone та iOS: підтримка доступна з 1 липня 2026 року в мобільних браузерах.
• Android: підтримку планують додати на наступному етапі.
• Ноутбуки та настільні комп’ютери: вхід через браузер на комп’ютері також відклали до подальшої фази.

Тому власник iPhone може скористатися Passkey під час підтримуваного входу з мобільного браузера, але не варто очікувати, що опція вже з’явилася в кожному сервісі Singpass і на кожному пристрої.

Як зареєструвати Passkey у Singpass

Для першої фази запуску на iPhone потрібно зареєструвати ключ у мобільному застосунку Singpass:

1. Оновіть застосунок Singpass до останньої версії.
2. Відкрийте його та натисніть банер Passkey на головному екрані.
3. Виконайте інструкції на екрані, щоб створити ключ.

Після реєстрації вхід підтверджується локально — через Face ID, Touch ID, відбиток пальця або шестизначний код застосунку Singpass, залежно від пристрою та доступних налаштувань. Вводити пароль Singpass на сайті не потрібно.

Навіщо потрібна перевірка близькості через Bluetooth

Під час входу з іншого пристрою виникає окремий ризик: шахрай може керувати власним комп’ютером або телефоном і переконувати жертву підтвердити чужу авторизацію.

Для такого сценарію Singpass може застосовувати короткодистанційну перевірку Bluetooth. Вона підтверджує, що зареєстрований телефон із Passkey фізично перебуває поруч із пристроєм, на якому ініційовано вхід.

Bluetooth не замінює перевірку пари ключів, а додає ще одну ознаку — близькість телефона. Це ускладнює повністю віддалену атаку, коли шахрай надсилає QR-код або запит і телефоном пояснює жертві, що саме потрібно підтвердити, перебуваючи в іншому місці.

Чому старі способи входу все ще доступні

Passkeys — це додатковий спосіб автентифікації на час бета-тесту, а не миттєва заміна всіх попередніх варіантів. Паролі, QR-вхід та інші методи залишаються потрібними людям без сумісного iPhone, тим, хто ще не зареєстрував Passkey, а також для сервісів і пристроїв, які поки не охоплені поетапним запуском.

Старі методи важливі для доступності та сумісності, однак їхня безпека сильніше залежить від поведінки користувача. Людину можуть переконати назвати пароль або одноразовий код, відсканувати підроблений QR-код чи підтвердити неочікуваний запит.

Поліція Сінгапуру й надалі закликає нікому невідомому не повідомляти пароль Singpass або дані двофакторної автентифікації.

Passkeys зменшують обсяг облікових даних, які можна виманити фішингом, але не усувають усі види шахрайства. Зловмисник усе ще може видавати себе за представника організації, тиснути на людину, щоб отримати персональні дані, або атакувати процес відновлення доступу чи захоплення акаунта.

Як Passkeys пов’язані зі стандартами FIDO

Дизайн Singpass відповідає моделі криптографії з відкритим ключем, прив’язаної до джерела, яку використовують стандарти FIDO та WebAuthn. FIDO2 — це відкритий стандарт автентифікації, створений для використання криптографічних облікових даних, стійких до фішингу, замість власницьких секретів, які можна повторно використати.

Відкриті стандарти важливі для сумісності Passkeys із ширшою екосистемою входу. FIDO Alliance описує Passkeys як облікові дані, пов’язані з акаунтом на сайті або в застосунку, які можуть зберігатися на телефоні, комп’ютері чи апаратному ключі безпеки — залежно від реалізації та підтримки конкретного сервісу.

Для Singpass практична перевага полягає в прив’язці до домену: автентифікатор має відповідати справжньому сервісу, а не візуально схожому фішинговому сайту.

Які масштаби фішингу зафіксували в Сінгапурі

У 2025 році в Сінгапурі зареєстрували 37 308 випадків шахрайства, а загальні втрати становили близько S$913,1 млн. Це статистика всіх типів шахрайства, а не лише фішингу.

Окремо офіційні щорічні дані вказують на 6 264 випадки фішингу та S$39,9 млн, втрачених через фішингові схеми, у 2025 році. Фішинг був суттєвою частиною ширшої проблеми шахрайства, але ці цифри не означають, що всі збитки були пов’язані з викраденням облікових даних Singpass.

Отже, мета Passkeys доволі конкретна: зробити етап викрадення облікових даних під час фішингової атаки значно менш ефективним. Користувачам все одно потрібно перевіряти адресу сайту, відхиляти неочікувані запити на вхід і нікому не передавати дані Singpass — особливо доки старі способи автентифікації залишаються доступними.