کلید امنیتی فیزیکی برای ورود به حساب چگونه کار می‌کند؟

کلید امنیتی فیزیکی وسیله کوچکی است که هنگام ورود به حساب، حضور شما را با یک عملیات رمزنگاری تأیید می‌کند. در روش‌های FIDO2 و WebAuthn، کلید خصوصی در دستگاه می‌ماند و سایت فقط کلید عمومی مربوط را ثبت می‌کند. این شیوه خطر ورود از صفحه جعلی را کاهش می‌دهد، اما به پشتیبانی سرویس و برنامه بازیابی درست نیاز دارد.

ابتدا در تنظیمات امنیت حساب، گزینه افزودن کلید امنیتی یا Passkey سخت‌افزاری را انتخاب می‌کنید. مرورگر یا سیستم‌عامل با کلید ارتباط می‌گیرد و یک جفت کلید رمزنگاری ویژه همان حساب ساخته می‌شود. بخش عمومی به سرویس می‌رود و بخش خصوصی روی کلید می‌ماند. معمولاً لمس یا وارد کردن PIN برای تأیید حضور لازم است.

این مرحله را تنها در صفحه رسمی حساب انجام دهید و نشانی سایت را بررسی کنید. برخی سرویس‌ها کلید را به‌عنوان عامل دوم کنار رمز عبور ثبت می‌کنند و برخی اجازه ورود بدون رمز با Passkey می‌دهند. بنابراین «کلید امنیتی» نام یک سخت‌افزار است، نه الزاماً یک شیوه ورود واحد. راهنمای FIDO Alliance درباره Passkey توضیح می‌دهد که اعتبارنامه می‌تواند روی دستگاه یا کلید سخت‌افزاری نگه‌داری شود. اگر مرورگر از شما خواست دستگاهی را انتخاب کنید، حواستان باشد کلید سخت‌افزاری را با ذخیره Passkey در گوشی یا مدیر رمز اشتباه نگیرید. پس از ثبت، نامی قابل فهم برای کلید بگذارید تا بعداً بتوانید آن را در فهرست دستگاه‌های مجاز تشخیص دهید.

سرویس یک درخواست چالشی می‌فرستد و کلید با کلید خصوصی خود پاسخی امضاشده تولید می‌کند. سرور امضا را با کلید عمومی ثبت‌شده بررسی می‌کند. کلید خصوصی از سخت‌افزار خارج نمی‌شود. بسته به تنظیم حساب، ممکن است پیش از این مرحله رمز عبور وارد کنید یا ورود با همان کلید کامل شود.

در بسیاری از کلیدها، لمس دکمه یا حسگر فقط نشان می‌دهد کاربر واقعاً کنار دستگاه است؛ این لمس به‌تنهایی نام کاربری یا مجوز دسترسی نیست. بعضی کلیدها PIN یا تأیید هویت محلی هم می‌خواهند. اگر فردی فقط شماره سریال یا عکس کلید را داشته باشد، نمی‌تواند امضای معتبر بسازد. در عوض، اگر کلید را از دست بدهید و راه جایگزین نداشته باشید، ورود به حساب ممکن است دشوار شود. به همین دلیل مرحله ثبت کلید باید با بررسی گزینه‌های بازیابی همراه باشد. روش دقیق هر سرویس را از بخش امنیت همان سرویس بخوانید؛ پیام‌ها و ترتیب صفحه‌ها یکسان نیستند.

در FIDO2، اعتبارنامه به دامنه یا مبدأ سایت پیوند می‌خورد. مرورگر درخواست سایت جعلی با نشانی متفاوت را مانند درخواست سایت اصلی در نظر نمی‌گیرد، حتی اگر ظاهر صفحه شبیه باشد. این ویژگی در برابر فیشینگ رایج مقاوم است. با این حال، امنیت حساب به تنظیمات بازیابی و دیگر مسیرهای ورود هم بستگی دارد.

اگر مهاجم رمز عبور را از شما بگیرد ولی ورود حساب به کلید ثبت‌شده نیاز داشته باشد، صرف داشتن رمز معمولاً کافی نیست. اما وجود مسیرهای بازیابی ضعیف، نشست باز روی دستگاه آلوده یا تأیید اشتباه درخواست‌های دیگر می‌تواند خطر باقی بگذارد. اصطلاح «ضدفیشینگ» را نباید به معنای مصونیت مطلق حساب تعبیر کرد. مقاله تفاوت Passkey و رمز عبور منطق کلید عمومی و خصوصی را توضیح می‌دهد؛ در اینجا تمرکز بر سخت‌افزاری است که اعتبارنامه را نگه می‌دارد. در یک حساب مهم، علاوه بر ثبت کلید، نشست‌های فعال، ایمیل بازیابی و روش‌های قدیمی ورود را نیز بازبینی کنید.

راه ارتباط کلید با دستگاه ممکن است USB-A، USB-C، NFC یا در بعضی مدل‌ها Bluetooth باشد. این تفاوت به سازگاری فیزیکی مربوط است؛ اصل رمزنگاری FIDO2 می‌تواند در چند شکل ارتباطی اجرا شود. پیش از خرید، درگاه دستگاه، پشتیبانی گوشی و روش مورد قبول سرویس‌های مهم خود را بررسی کنید.

برای لپ‌تاپ قدیمی با USB-A، کلید فقط USB-C بدون مبدل مناسب شاید به‌راحتی استفاده نشود. برای گوشی، NFC می‌تواند ساده باشد، اما همه گوشی‌ها یا برنامه‌ها از آن مسیر پشتیبانی نمی‌کنند. داشتن NFC به‌تنهایی نشان نمی‌دهد کلید با هر حسابی کار می‌کند. اگر از چند سیستم‌عامل استفاده می‌کنید، صفحه سازگاری سازنده کلید و راهنمای سرویس را جداگانه بخوانید. کلیدهای فیزیکی ممکن است از استانداردهای قدیمی‌تر مانند U2F یا روش‌های OTP نیز پشتیبانی کنند؛ هنگام ثبت، گزینه FIDO2 یا Security key را با نوع مورد نظر تطبیق دهید. خرید بر اساس شکل ظاهری یا عنوان «فلش امنیتی» کافی نیست، چون یک حافظه USB معمولی کلید FIDO محسوب نمی‌شود.

کد پیامکی رشته‌ای است که دریافت و در صفحه ورود وارد می‌کنید. کلید FIDO2 به جای انتقال یک کد قابل تایپ، درخواست همان سایت را با کلید خصوصی امضا می‌کند. به همین دلیل صفحه جعلی نمی‌تواند به سادگی کد را بگیرد و در سایت اصلی وارد کند. البته هر دو روش به پیکربندی درست حساب وابسته‌اند.

کد پیامکی برای کاربرانی که سخت‌افزار اضافه ندارند در دسترس‌تر است، ولی به شماره تلفن، پوشش شبکه و امنیت سیم‌کارت وابسته می‌ماند. کلید فیزیکی حمل و نگهداری می‌خواهد و اگر گم شود، بدون راه جایگزین دردسر می‌آفریند. مقایسه درست فقط «کدام قوی‌تر است» نیست؛ باید دید سرویس چه روشی را پشتیبانی می‌کند و شما چگونه حساب را بازیابی می‌کنید. اگر سرویس اجازه می‌دهد، می‌توانید پس از ثبت کلید، گزینه‌های قدیمی و کم‌امنیت را با دقت بازبینی کنید. پیش از حذف هر روش، مطمئن شوید دسترسی با کلید و راه بازیابی را در یک نشست جدا آزمایش کرده‌اید.

پیش از وابسته شدن به یک کلید، یک راه بازیابی معتبر آماده کنید. بسیاری از کاربران برای حساب مهم کلید دوم را به‌عنوان پشتیبان ثبت و در جای جدا نگه می‌دارند. بعضی سرویس‌ها کدهای بازیابی یا Passkey دیگری هم می‌دهند. شیوه پشتیبان باید با تنظیمات واقعی همان حساب سازگار باشد.

ثبت دو کلید بدون نگهداری جداگانه فایده محدودی دارد؛ اگر هر دو در یک کیف گم شوند، مشکل پابرجاست. پس از ثبت، یک بار ورود را با کلید پشتیبان آزمایش کنید. کدهای بازیابی را آفلاین و دور از دسترس دیگران نگه دارید؛ مقاله نگهداری کدهای بازیابی به‌صورت آفلاین جزئیات بیشتری دارد. اگر کلید اصلی گم شد ولی هنوز به حساب دسترسی دارید، آن را از فهرست روش‌های ورود حذف کنید و کلید جدیدی ثبت کنید. اگر دسترسی ندارید، فقط از روند رسمی بازیابی سرویس استفاده کنید. هیچ فردی برای بازیابی حساب نباید از شما بخواهد PIN یا کدهای پشتیبان را در یک پیام ناشناس بفرستید.

خیر. پشتیبانی از کلید امنیتی و نقش آن در ورود با سرویس، مرورگر و نوع حساب فرق دارد. ممکن است سایتی فقط آن را به‌عنوان عامل دوم بپذیرد، سایتی ورود با Passkey را فعال کرده باشد و سایتی هنوز هیچ‌کدام را نداشته باشد. پیش از خرید برای یک حساب خاص، راهنمای همان سرویس را ببینید.

حتی وقتی سرویس پشتیبانی می‌کند، ممکن است در برنامه موبایل و نسخه وب تجربه متفاوتی داشته باشید. در حساب سازمانی نیز مدیر سامانه می‌تواند سیاست جداگانه‌ای تعیین کند. راهنمای فنی FIDO Alliance درباره جایگزینی ورود فقط با رمز توضیح می‌دهد که کلیدهای سخت‌افزاری اعتبارنامه وابسته به دستگاه نگه می‌دارند و برنامه بازیابی اهمیت دارد. هنگام راه‌اندازی، پیام خطای «این دستگاه پشتیبانی نمی‌شود» را با خراب بودن کلید یکی ندانید؛ ممکن است مشکل از مرورگر، رابط اتصال یا سیاست سرویس باشد. آزمایش روی مرورگر و دستگاه سازگار به تشخیص کمک می‌کند.

کلیدی انتخاب کنید که استاندارد مورد نیاز حساب‌ها و درگاه دستگاه‌های شما را پشتیبانی کند. امکان ثبت کلید دوم، مقاومت فیزیکی مناسب و شیوه احراز حضور کاربر را بررسی کنید. نام تجاری یا قیمت بالا به‌تنهایی تضمین سازگاری نیست. کلید را مانند وسیله دسترسی مهم نگه دارید و به دیگران قرض ندهید.

اگر از رایانه عمومی یا مشترک استفاده می‌کنید، پس از ورود از حساب خارج شوید؛ کلید فیزیکی جای مدیریت نشست را نمی‌گیرد. PIN کلید را با رمز حساب یکسان انتخاب نکنید و آن را روی بدنه کلید ننویسید. به‌روزرسانی سیستم‌عامل و مرورگر نیز در سازگاری و امنیت تجربه ورود نقش دارد. هنگام فروش یا واگذاری کلید، صرف پاک کردن برچسب کافی نیست؛ از راهنمای سازنده برای بازنشانی استفاده کنید و پیش‌تر کلید را از حساب‌های ثبت‌شده بردارید. اگر فقط یک حساب کم‌اهمیت دارید، ممکن است ابزار دیگری کافی باشد؛ برای حساب‌های مهم، هزینه و پیچیدگی را کنار فایده و امکان بازیابی بسنجید.

در حالی که هنوز با روش فعلی وارد حساب هستید، کلید را ثبت کنید، نام بدهید و راه بازیابی را بررسی کنید. سپس در یک پنجره خصوصی یا دستگاه دیگر، ورود با کلید را آزمایش کنید. تنها پس از موفقیت این آزمون درباره حذف روش قدیمی تصمیم بگیرید. حساب‌های مختلف را یکی‌یکی منتقل کنید.

در فهرستی کوتاه بنویسید کدام حساب کلید اصلی، کلید پشتیبان و کد بازیابی دارد. این فهرست نباید خودِ PIN یا کدها را آشکار کند. اگر یک سرویس امکان افزودن کلید دوم ندارد، پیش از اتکای کامل به آن محدودیت را جدی بگیرید. برای حساب کاری، سیاست سازمان ممکن است تعیین کند چه روش‌هایی مجازند؛ از مسئول سامانه راهنمایی بگیرید. اگر در حین ثبت پیام مشکوک یا درخواست ورود در دامنه‌ای غیرمنتظره دیدید، فرایند را متوقف کنید و از مسیر رسمی سرویس دوباره شروع کنید. راه‌اندازی امن با یک آزمایش واقعی پایان می‌یابد، نه با پیام «کلید ثبت شد».

کلید امنیتی فیزیکی با نگه داشتن کلید خصوصی و امضای درخواست ورود، روشی مقاوم در برابر فیشینگ رایج فراهم می‌کند. پیش از استفاده، پشتیبانی سرویس و دستگاه را بررسی کنید، راه بازیابی و کلید پشتیبان داشته باشید و ورود را در یک نشست جدا امتحان کنید. امنیت حساب به همه مسیرهای ورود و بازیابی آن وابسته است.

• FIDO Alliance: Passkeys، سازوکار کلید عمومی و خصوصی و انواع محل نگهداری اعتبارنامه.
• FIDO Alliance: Replacing Password-Only Authentication، کلید سخت‌افزاری وابسته به دستگاه و ملاحظات بازیابی.