С давних времён для авторизации в различных сервисах и приложениях используются пароли. На смену им сначала пытались прийти электронные ключи (токены), но они не получили широкого распространения. Позже появился Passkey, но он скорее стал продвинутыми куки, а не тем, что сможет надолго сохранить ваш доступ в нужный сервис. В результате до сих пор не получилось полноценно заменить пароль.

Развитие вычислительных мощностей ставит жёсткие требования к современным паролям. Для обеспечения надёжной защиты в 256 бит нужен пароль длиной 40 символов! Я разработал современную замену паролю — бумажный ключ PaperKey. Это простой, но в то же время надёжный ключ, про него я расскажу в этой статье.

Передо мной, как перед пользователем, часто встаёт вопрос: как сохранить доступ к различным сервисам, криптокошелькам и приложениям? На данный момент есть несколько вариантов, каждый из которых имеет свои недостатки:

• Пароль или кодовая фраза. Сложно запомнить, легко ошибиться при переписывании вручную и так же легко скомпрометировать, показав его на камеру или сохранив на ПК.

• Токен. Дорогой и требует специального программного обеспечения и драйверов.

• Passkey. Жёстко привязан к железу, которое крайне недолговечно.

• Авторизация через сторонние сервисы или номер телефона. В данном варианте от вас ничего не зависит, и вам остаётся лишь надеяться на лучшее.

Я разработал бумажный ключ PaperKey. По сути это пароль, записанный на бумажку, но в нём внедрены несколько степеней защиты от компрометации и добавлен ряд автоматизаций для удобной работы с ним. Важным преимуществом перед электронными ключами является то, что PaperKey каждый сможет изготовить самостоятельно, и он сможет прослужить не один десяток лет.

PaperKey — бумажная карточка размером с банковскую, на которой с двух сторон расположена таблица со случайным заполнением клеток. Чтобы получить ключ или войти в приложение, карточку надо просканировать смартфоном.

У PaperKey есть три степени защиты, каждая из которых по отдельности может обеспечивать 256 бит защиты (для точек — при достаточном их числе):

1. Случайный ключ, сгенерированный при печати карточки.

2. Ручное добавление случайных точек — защищает от перехвата во время печати.

3. Две стороны карточки — защищают от случайного попадания карточки на камеру, например когда она лежала на столе или когда вы вынимали её из кошелька.

Более подробно про защиту можно прочитать в описании карточки и оценке стойкости.

Вместе с моим другом Клодом мы написали базовое браузерное приложение для генерации, проверки и сканирования карточек. Проект полностью открытый (лицензия Apache 2.0), и вы можете интегрировать PaperKey в своё приложение.

Изготовить карточку крайне просто (подробная инструкция с фотографиями):

1. Сгенерировать её с помощью генератора и распечатать.

2. Затем добавить маркером на листе дополнительные случайные точки.

3. Проверить камерой в приложении, что вы ничего не напутали и всё сделали правильно.

4. Дальше вырезать карточку, склеить и заламинировать скотчем.

После сканирования карточки по ней генерируется 256-битный ключ, который уже можно использовать для различных сервисов и приложений.

Ключ можно использовать в чистом виде, например для создания на его основе вашего криптокошелька. Либо можно использовать этот ключ для авторизации в сервисах, которые это поддерживают. Также на основе ключа можно сгенерировать пароль для простого входа по паролю. По одной карточке можно сгенерировать один пароль или использовать её как мастер‑ключ для генерации различных паролей по имени сервиса. Утилита для работы с паролями доступна в сканере.

За счёт того, что карточка двусторонняя, её можно разделить. Это позволяет хранить её в двух местах, что защитит её от кражи. Либо можно отправить половинки карточки двумя разными курьерами вашему другу, и курьеры по отдельности не смогут её расшифровать.

Я надеюсь на дальнейшее развитие PaperKey и популяризацию его в массах. Сейчас в моём репозитории доступен исходный код базовой утилиты, а также вся документация и спецификация. Я планирую также разработать различные модули для интеграции сканера карточек в приложения. Также надеюсь, что мою идею поддержат и другие разработчики. Буду рад услышать от вас критику в комментариях.

P. S. Оценки токенов и Passkey во введении — моё субъективное мнение как пользователя, а не технический разбор.