Один аккаунт для всех сервисов. Чем опасна единая авторизация
Сегодня зарегистрироваться на новом сайте — дело нескольких секунд. Вместо заполнения анкеты, подтверждения электронной почты и придумывания очередного пароля достаточно нажать кнопку входа через уже существующий аккаунт. Удобно? Безусловно. Особенно когда таких сайтов десятки, а пароли от половины из них давно забыты.
За привычной кнопкой скрывается технология единого входа, известная как Single Sign-On (SSO). В случае федеративной идентификации проверку личности берет на себя отдельный поставщик, результату которой доверяет сторонний сервис. Пользователю не приходится каждый раз доказывать, что он действительно тот, за кого себя выдает.
Но кому в таком случае доверены ключи от всех этих дверей? И что случится, если однажды открыть их не получится?
Google ушел, единый вход остался
С 1 декабря 2023 года в России действуют ограничения на использование иностранных систем авторизации на отечественных интернет-ресурсах. Их установил Федеральный закон № 406-ФЗ, внесший изменения в закон «Об информации, информационных технологиях и о защите информации».
Для авторизации пользователей, находящихся на территории России, владельцам подпадающих под действие закона ресурсов предписано применять предусмотренные им способы. Среди них — номер телефона российского оператора, «Госуслуги», Единая биометрическая система и другие информационные системы, соответствующие требованиям к российскому владельцу.
С 7 июля 2026 года за нарушение этих правил предусмотрены штрафы. Для юридических лиц, как ранее писал IT-World, они составляют от 500 до 700 тыс. рублей.
Запретили ли тем самым пользоваться Gmail? Нет. Адрес иностранной почтовой службы может оставаться контактным адресом пользователя. Важно, каким способом сайт проверяет его личность. Получение письма на Gmail и авторизация через Google — разные процедуры. Да и ответственность за нарушение правил несут владельцы соответствующих интернет-ресурсов, а не посетители.
Место иностранных систем на российских площадках занимают Яндекс ID, VK ID, Сбер ID и другие отечественные решения. Для пользователя процесс мало изменился: выбираешь знакомую кнопку, подтверждаешь вход и оказываешься в нужном сервисе.
К этой системе постепенно добавляются и новые инструменты. Через мессенджер MAX, например, можно получать одноразовые коды авторизации, в том числе для входа на «Госуслуги».
Здесь, правда, есть техническая тонкость. Получить код в мессенджере — не то же самое, что авторизоваться через единого поставщика цифровой идентификации. В первом случае MAX служит каналом подтверждения, во втором сторонний сервис должен доверять результату проверки личности, выполненной другой системой. Пользователь может не замечать разницы, но с точки зрения безопасности она существенна.
Изменив требования к поставщикам авторизации, российское законодательство не изменило сам принцип ее работы. Один аккаунт по-прежнему способен открывать доступ к множеству независимых сервисов.
Что получает злоумышленник вместе с чужим аккаунтом?Представим обычную ситуацию. Пользователь зарегистрировался в нескольких интернет-магазинах, службе доставки и паре приложений через Яндекс ID. Отдельных паролей не создавал — зачем, если везде можно войти привычным способом?
Теперь предположим, что доступ к его аккаунту получил злоумышленник. Что ему помешает воспользоваться тем же Яндекс ID для входа на связанные сайты?
Сам Яндекс предупреждает, что посторонний, завладевший учетной записью, может пользоваться связанными сервисами, просматривать личную информацию и изменять настройки.
Причем взламывать каждый сторонний сайт отдельно злоумышленнику не обязательно. Успешно авторизовавшись через основной аккаунт, он потенциально получает возможность войти и в другие приложения. Правда, многое зависит от их настроек безопасности. Один сервис потребует дополнительного подтверждения личности, другой удовлетворится результатом проверки Яндекс ID.
Защищаясь от подобных ситуаций, Яндекс применяет дополнительные проверки. Попытка войти с незнакомого устройства или из необычного места может вызвать запрос подтверждения по SMS, через уведомление либо другим способом.
А если злоумышленник уже внутри? Одной смены пароля может оказаться недостаточно. Придется проверить активные сеансы, привязанные устройства, способы восстановления доступа. Не исключено, что посторонний успел изменить настройки безопасности или получить доступ к подключенным приложениям.
Пользователь доверил одному аккаунту управление доступом к нескольким независимым сервисам, но при его компрометации проверять последствия придется в каждом из них.
Блокировка без взлома
Для неприятностей злоумышленник вовсе не обязателен. Основную учетную запись могут заблокировать, а дополнительная проверка при входе может потребовать подтверждения на устройстве, которое сломалось или разрядилось. Если через этот аккаунт человек привык входить в другие сервисы, затруднения возникнут и там.
Допустим, пользователь входил в интернет-магазины и приложения через VK ID. Отдельных паролей он не создавал. Но однажды основной аккаунт оказался недоступен. Можно ли попасть в привычные сервисы?
Ответ зависит от каждого из них. Где-то достаточно подтвердить адрес электронной почты и установить пароль. Где-то потребуется обратиться в поддержку либо сначала восстановить доступ к VK ID. Причем запасной способ входа поможет лишь в том случае, если пользователь может им воспользоваться. Код по SMS мало выручит, когда единственный телефон не включается.
Показательный пример — Почта Mail. В официальной справке сервиса описаны восстановление доступа к VK ID и возможность отвязать почтовый ящик от единого аккаунта, установив отдельный пароль. Однако наличие такой возможности в одном сервисе не означает, что она предусмотрена во всех остальных.
Данные на сторонних ресурсах при этом необязательно исчезнут. Заказы, документы, переписка могут оставаться на месте, но воспользоваться ими не получится, пока вопрос со входом не будет решен.
Блокировка основной учетной записи также не всегда немедленно прекращает работу связанных приложений. Некоторые сохраняют уже открытые сеансы. Поэтому проблема может обнаружиться позднее — при следующем входе или повторной проверке личности.
Стоит заранее проверить, как устроен доступ к действительно важным сервисам. Можно ли войти с компьютера, если телефон не работает? Есть ли отдельный пароль, резервные коды или другой способ подтверждения? Несколько вариантов входа полезны, если все они не зависят от одного и того же устройства.
Поставщик авторизации знает больше, чем кажется
Есть у единого входа и менее известная особенность. Каждый раз, обращаясь к внешней системе для подтверждения личности, пользователь сообщает ей о своем взаимодействии со сторонним сервисом.
Какую информацию способен собрать поставщик авторизации? Это зависит от используемой технологии, настроек и объема обрабатываемых данных. Но потенциально сведения о входах на разные площадки позволяют составить довольно подробное представление об активности человека.
На этот риск обращают внимание специалисты американского Национального института стандартов и технологий (NIST). В рекомендациях NIST SP 800-63C-4 отдельно рассматривается возможность отслеживания действий пользователя при авторизации на нескольких независимых ресурсах.
Чтобы затруднить сопоставление информации между площадками, стандарт предусматривает специальные механизмы защиты, в том числе использование различных псевдонимных идентификаторов для каждого сервиса.
Но есть и обратный информационный поток. Что узнает о пользователе сайт, предложивший ему войти через стороннюю систему?
Сам факт авторизации не дает владельцу сайта доступ к паролю или всей информации из основного аккаунта. Например, при стандартном входе через Google передаются имя пользователя, адрес электронной почты и фотография профиля. Для доступа к дополнительным данным, включая файлы и контакты, требуются отдельные разрешения. Об этом Google подробно рассказывает в своей справке.
Российские системы работают с собственными наборами разрешений и программными интерфейсами. Прежде чем подтвердить вход через Яндекс ID или другую систему, стоит посмотреть, какую именно информацию запрашивает приложение.
Особого внимания заслуживают дополнительные разрешения. Получив согласие пользователя, сторонний сервис может сохранить переданные сведения у себя. И даже если позднее отозвать доступ, уже скопированные данные необязательно исчезнут. Вопрос об их удалении придется решать отдельно.
Отдельные пароли тоже не панацея
Так, может быть, отказаться от всех этих кнопок и вернуться к отдельным паролям? На первый взгляд решение разумное. Взломав одну учетную запись, злоумышленник не должен автоматически получить доступ к остальным.
Но сколько уникальных паролей способен запомнить обычный пользователь? Десять? Двадцать? А если сервисов полсотни?
Неудивительно, что одни и те же комбинации начинают повторяться. В результате утечка данных из небольшого интернет-магазина может поставить под угрозу учетные записи совсем на других площадках. К тому же обычные пароли нередко становятся добычей мошенников, создающих поддельные страницы входа.
Единая авторизация помогает сократить количество таких рисков. Сторонним сайтам не требуется хранить пароль от основной учетной записи, а ее владелец может пользоваться централизованными средствами защиты.
В России требования к надежности идентификации и аутентификации также отражены в национальных стандартах. ГОСТ Р 58833-2020 устанавливает общие правила этих процессов и определяет роли их участников. Более подробно уровни доверия к результатам проверки личности описаны в ГОСТ Р 70262.2-2025, разработанном с участием ФСТЭК России. Соответствующая информация опубликована Росстандартом.
В сентябре 2026 года утвержден еще один национальный стандарт — ГОСТ Р 70262.3-2026. Он посвящен типовым угрозам и уязвимостям идентификации и аутентификации, которые необходимо учитывать при разработке систем защиты. Документ вступит в силу 1 декабря 2026 года.
Вопросы безопасности аутентификации рассматриваются и в международной практике. В рекомендациях американского Национального института стандартов и технологий (NIST) особое внимание уделяется устойчивости к фишингу. В частности, описываются криптографические механизмы, применяемые в современных ключах доступа (passkeys). Такой ключ привязан к определенному сайту, поэтому воспользоваться им на поддельной странице значительно сложнее, чем обычным паролем.
Как же поступить пользователю, который уже связал с одним аккаунтом множество сервисов?
Прежде всего стоит позаботиться о защите основной учетной записи, включив многофакторную аутентификацию и настроив резервные способы восстановления. Для наиболее важных сайтов полезно предусмотреть независимый вариант входа, если такая возможность существует.
Не менее важно проверить список подключенных приложений. Какие из них действительно нужны? У каких сохранились разрешения, выданные несколько лет назад? Удаляя ненужные подключения, следует предварительно убедиться, что доступ к соответствующим сайтам не будет потерян.
А если коды приходят через мессенджер, лучше заранее узнать, можно ли получить их другим способом. Причем проверять это стоит до того, как доступ понадобится срочно. Служба поддержки — не самое приятное место для выяснения того, кому на самом деле принадлежит ваша учетная запись.
Опубликовано 25.10.2026
