Passkey چیست و چه تفاوتی با رمز عبور دارد؟

Passkey روشی برای ورود به حساب با جفت کلید رمزنگاری است. کلید خصوصی روی دستگاه یا در سامانه همگام‌سازی امن شما می‌ماند و سرویس فقط کلید عمومی را نگه می‌دارد. هنگام ورود، معمولاً با قفل گوشی یا رایانه هویت خود را تأیید می‌کنید. در این روش رمزی برای تایپ یا افشا در صفحه جعلی وجود ندارد.

هنگام ساخت Passkey، دستگاه یک جفت کلید مرتبط می‌سازد. کلید عمومی برای وب‌سایت ثبت می‌شود و کلید خصوصی در اختیار محیط امن دستگاه یا سرویس نگهداری کلید می‌ماند. هنگام ورود، سایت یک درخواست تازه می‌فرستد و دستگاه پس از تأیید شما پاسخی رمزنگاری‌شده برمی‌گرداند.

این پاسخ با کلید عمومی ثبت‌شده سنجیده می‌شود؛ سایت کلید خصوصی را دریافت نمی‌کند. در گوشی ممکن است تأیید با اثر انگشت، تشخیص چهره یا PIN دستگاه باشد. این روش‌ها برای باز کردن دسترسی محلی به کلیدند و اثر انگشت شما به وب‌سایت فرستاده نمی‌شود. اگر دستگاهی قابلیت بیومتریک ندارد، ممکن است PIN یا قفل دیگری به کار رود. تجربه ظاهری ساده است، اما پشت آن استانداردهای احراز هویت قرار دارند. FIDO Alliance در توضیح Passkey بر پایه کلید عمومی و تأیید کاربر روی دستگاه تأکید می‌کند. مهم است بفهمیم «ورود با اثر انگشت» نام دقیق کل سامانه نیست؛ اثر انگشت فقط یکی از راه‌های باز کردن کلید است.

رمز عبور یک راز مشترک است که کاربر آن را می‌داند و سرویس باید شکل محافظت‌شده‌ای از آن را مدیریت کند. Passkey به دانستن و تایپ کردن راز مشترک متکی نیست. هر سرویس کلید جداگانه‌ای دارد و ورود به دامنه همان سرویس گره خورده است.

در روش رمز عبور، اگر کاربر همان رمز را در چند حساب تکرار کند یا آن را در صفحه جعلی وارد کند، خطر سرقت بالا می‌رود. مدیر رمز عبور و تأیید دومرحله‌ای این خطر را کمتر می‌کنند، اما نیاز به تصمیم و رفتار درست کاربر باقی است. Passkey در برابر فیشینگ مقاوم‌تر طراحی شده، چون درخواست ورود به دامنه سرویس وابسته است و کلید خصوصی افشا نمی‌شود. این ویژگی به معنی مصونیت کامل حساب از همه حمله‌ها نیست. بدافزار روی دستگاه بازشده، فریب در بازیابی حساب یا دسترسی غیرمجاز به سرویس همگام‌سازی همچنان مهم است. برای تفاوت مفهوم رمزنگاری در پیام‌ها، مقاله رمزگذاری سرتاسری و معمولی موضوع دیگری را روشن می‌کند؛ رمزنگاری پیام و احراز هویت حساب را نباید یکی دانست.

بله. تأیید استفاده از Passkey می‌تواند با PIN، رمز باز کردن دستگاه، تشخیص چهره یا اثر انگشت انجام شود. روش دقیق به سیستم‌عامل و دستگاه بستگی دارد. آنچه برای سایت مهم است، پاسخ معتبر کلید خصوصی و تأیید حضور یا هویت کاربر طبق تنظیم سرویس است.

در برخی موقعیت‌ها گوشی Passkey را نگه می‌دارد و شما از رایانه دیگری وارد می‌شوید. ممکن است نمایش یک کد QR و ارتباط نزدیک میان دستگاه‌ها لازم شود. این تجربه نباید با اسکن هر کد QR ناشناس یکسان شمرده شود؛ فقط از صفحه ورود سرویس مورد نظر و نشانی درست آن شروع کنید. قفل مناسب گوشی همچنان ضروری است. اگر PIN دستگاه بسیار ساده باشد یا دیگران به دستگاه بازشده دسترسی داشته باشند، امنیت عملی کاهش می‌یابد. در محل عمومی نیز پیش از تأیید، نام حساب و سرویس را ببینید. تأیید بی‌فکر درخواست‌های غیرمنتظره می‌تواند مشکل‌ساز شود، حتی وقتی رمز عبور وارد نمی‌کنید. مقاله پاک‌سازی امن گوشی پیش از فروش یادآوری می‌کند که مدیریت دسترسی دستگاه هنگام واگذاری آن نیز بخشی از امنیت حساب است.

بسته به نوع Passkey و سامانه، کلید ممکن است فقط روی یک دستگاه بماند یا به‌صورت امن میان دستگاه‌های یک حساب همگام شود. Passkeyهای وابسته به دستگاه و Passkeyهای همگام‌شونده یکسان نیستند. پیش از فعال‌سازی، روش بازیابی و دستگاه‌های قابل استفاده را در همان سرویس بررسی کنید.

برای نمونه، اگر گوشی و لپ‌تاپ شما در یک اکوسیستم و حساب همگام‌سازی قرار دارند، ورود روی هر دو ممکن است ساده‌تر شود. اما اگر به دستگاهی خارج از آن اکوسیستم بروید، شاید باید از گوشی اصلی برای تأیید استفاده کنید یا Passkey دیگری بسازید. وابستگی به یک حساب همگام‌سازی به معنی سپردن رمز قابل خواندن به وب‌سایت نیست، ولی امنیت همان حساب و روش بازیابی‌اش مهم می‌شود. بعضی کلیدهای امنیتی سخت‌افزاری نیز می‌توانند اعتبارنامه وابسته به همان کلید نگه دارند. FIDO میان نوع همگام‌شونده و نوع وابسته به دستگاه فرق می‌گذارد. در مدیریت خانوادگی یا کاری، مشخص کنید چه کسی مالک حساب همگام‌سازی است و اگر گوشی عوض شد، چگونه دوباره دسترسی می‌گیرید.

نه لزوماً. پاسخ به نوع Passkey، وجود دستگاه دوم، همگام‌سازی و روش بازیابی سرویس بستگی دارد. اگر تنها نسخه Passkey روی یک دستگاه بوده و راه جایگزینی تنظیم نکرده‌اید، بازیابی می‌تواند سخت شود. بنابراین پیش از حذف رمز عبور یا روش قبلی، مسیر دسترسی پشتیبان را آزمایش کنید.

در حساب مهم، بهتر است بیش از یک روش ورود معتبر داشته باشید: مثلاً Passkey روی دستگاه دوم یا کلید امنیتی، همراه با روش بازیابی رسمی سرویس. کدهای بازیابی را اگر سرویس ارائه می‌کند، در جای امن و جدا از گوشی نگه دارید. پس از گم شدن دستگاه، از یک دستگاه مطمئن نشست‌های فعال را مرور کنید و در صورت لزوم دسترسی دستگاه گمشده را لغو کنید. تصور نکنید حذف Passkey از یک دستگاه خودکار همه نشست‌های باز در سرویس را می‌بندد. در حساب کاری، سیاست سازمان برای خروج کارکنان و جایگزینی دستگاه اهمیت دارد. خدمات مختلف گزینه‌های بازیابی متفاوتی دارند؛ قبل از تغییر عمده تنظیمات، صفحه راهنمای همان حساب را مطالعه کنید. امنیت بدون امکان بازیابی قابل اعتماد برای کاربر روزمره مشکل عملی ایجاد می‌کند.

Passkey در برابر صفحه ورود جعلی مقاومت مهمی دارد، چون اعتبارنامه به دامنه سرویس وابسته است و کلید خصوصی به سایت جعلی داده نمی‌شود. با این حال، فریب برای ورود به حساب بازیابی، نصب بدافزار یا تأیید عملیاتی ناخواسته همچنان ممکن است. بنابراین آدرس و متن درخواست را باید دید.

به‌خصوص اگر پیامی از شما می‌خواهد «برای حفظ Passkey» فوراً لینکی را باز کنید، آن را نشانه اعتبار پیام ندانید. از برنامه یا نشانی شناخته‌شده سرویس وارد شوید. اگر صفحه‌ای نام کاربری، رمز پشتیبان یا کد بازیابی می‌خواهد، بدانید ممکن است به مسیر دیگری از ورود منتقل شده باشید. ورود مقاوم به فیشینگ، همه مراحل مدیریت حساب را خودکار ایمن نمی‌کند. گزارش FIDO درباره مقاومت Passkey در برابر فیشینگ دامنه این مزیت را شرح می‌دهد. باید میان مزیت فنی اعتبارنامه و امنیت کلی استفاده از حساب تفاوت گذاشت.

از تنظیمات امنیتی خود سرویس شروع کنید، نه لینک ناشناس پیامک یا ایمیل. گزینه افزودن Passkey را انتخاب کنید، دستگاه را با قفل معتبر تأیید کنید و نام دستگاه یا روش ذخیره را ثبت کنید. سپس یک بار در محیط مطمئن خروج و ورود را آزمایش کنید تا بدانید بازیابی چگونه است.

در حساب‌هایی که رمز عبور همچنان فعال می‌ماند، تقویت همان رمز و فعال نگه داشتن تأیید دومرحله‌ای در صورت پشتیبانی ضروری است. اگر چند دستگاه دارید، ببینید کلید روی کدام‌ها همگام می‌شود یا باید برای هر کدام جدا ثبت شود. مرورگر و سیستم‌عامل را به‌روز نگه دارید، چون رابط Passkey در نسخه‌های قدیمی ممکن است پشتیبانی ناقص داشته باشد. قبل از فروش یا واگذاری دستگاه، راهنمای رسمی خروج از حساب و پاک‌سازی آن را اجرا کنید. نام‌گذاری روشن برای کلیدهای ثبت‌شده کمک می‌کند بعداً نسخه دستگاه گمشده را اشتباه حذف نکنید. اگر سرویس امکان مشاهده آخرین استفاده و حذف کلید دارد، آن صفحه را بشناسید. برای حساب مشترک خانوادگی، Passkey هر فرد را جداگانه تنظیم کنید تا ردگیری دسترسی و لغو آن آسان باشد.

همه سایت‌ها و برنامه‌ها هنوز Passkey را پشتیبانی نمی‌کنند. روش انتقال میان سامانه‌ها، بازیابی پس از گم شدن دستگاه و استفاده روی رایانه عمومی نیز ممکن است برای بعضی کاربران دشوار باشد. همچنین وجود Passkey الزاماً به معنای حذف همه روش‌های ورود ضعیف دیگر از حساب نیست.

اگر سرویس هنوز بازیابی با رمز یا پیامک دارد، امنیت حساب تا حدی به همان مسیرها وابسته می‌ماند. اگر از حساب در سفر یا روی دستگاه قرضی استفاده می‌کنید، پیشاپیش روش ورود بدون حمل دستگاه اصلی را بررسی کنید. تغییر تلفن یا حساب ابری نیز باید برنامه‌ریزی شود. برای سازمان‌ها، مدیریت خروج کارمند، دستگاه مشترک و دسترسی اضطراری مطرح است. در عوض، برای بسیاری از حساب‌های شخصی، حذف نیاز به ساختن و حفظ رمز تازه تجربه را ساده می‌کند. انتخاب خوب به مدل تهدید و امکانات واقعی شما بستگی دارد. Passkey ابزار مناسبی برای کاهش خطر تکرار رمز و صفحه جعلی است، اما با قفل ضعیف دستگاه و بازیابی نامطمئن نمی‌توان انتظار امنیت کامل داشت.

برای حساب‌های پرکاربرد، فهرستی از سرویس‌هایی که Passkey روی آن‌ها ساخته‌اید در محل امن نگه دارید؛ در این فهرست لازم نیست کلید یا اطلاعات حساس نوشته شود. هدف فقط دانستن این است که هنگام تعویض دستگاه کدام حساب‌ها باید آزمایش شوند. پیش از بازنشانی گوشی، از دستگاه دوم وارد یکی از حساب‌ها شوید و مسیر بازیابی را بررسی کنید. اگر سرویس امکان افزودن Passkey دوم دارد، آن را قبل از پاک کردن دستگاه قدیمی ثبت کنید. در حساب سازمانی نیز از مدیر سامانه بپرسید آیا روش شخصی همگام‌سازی مجاز است یا کلید سازمانی باید استفاده شود. تصمیمی که برای حساب شخصی راحت است ممکن است با سیاست دسترسی محل کار سازگار نباشد.

Passkey با جفت کلید عمومی و خصوصی ورود را بدون تایپ رمز انجام می‌دهد و به دامنه سرویس وابسته است. پیش از استفاده، قفل دستگاه و راه بازیابی حساب را آماده کنید. اگر سرویس هنوز رمز عبور را نگه می‌دارد، امنیت آن مسیر را نیز جدی بگیرید.

• FIDO Alliance: Passkeys، تعریف، ساختار کلید و گونه‌های نگهداری Passkey.
• FIDO Alliance: Passkeys and phishing، توضیح مقاومت در برابر صفحه جعلی.