چرا کلیدهای عبور (Passkeys) یک تله هستند و نباید فریب ظاهر آن‌ها را خورد؟ — Passkeys are a trap
خلاصه
فناوری Passkey با وعده امنیت بالاتر و جایگزینی رمزهای عبور سنتی به میدان آمده است، اما در عمل کنترل نهایی داده‌ها را از کاربر سلب می‌کند. پشت این نام واحد، سازوکارهای پیچیده‌ای پنهان شده که به شرکت‌های بزرگ اجازه می‌دهد مانع از اشتراک‌گذاری یا جابه‌جایی آزادانه کلیدهای ورود شوند.
این روزها تقریباً تمام وب‌سایت‌ها از کاربران می‌خواهند استفاده از رمزهای عبور سنتی را متوقف کرده و به سراغ فناوری جدیدی به نام Passkey بروند. در نگاه اول، این کلیدها امن‌تر و راحت‌تر به نظر می‌رسند، اما درست مانند اسب تروا، زیر لایه جذاب ظاهری آن‌ها سازوکاری نگران‌کننده نهفته است: با استفاده از Passkey، شما کنترل نهایی اطلاعات ورود خود را از دست می‌دهید.
در روش‌های سنتی، کنترل با شماست؛ می‌توانید رمز عبور را روی کاغذ بنویسید یا کلیدهای امنیتی فیزیکی را به همکار مورد اعتماد خود بدهید. حتی با استانداردهایی مثل TOTP (کدهای یک‌بارمصرف اپلیکیشن‌های اعتبارسنجی)، نرم‌افزار تولید کد و محل ذخیره کلید کاملاً در اختیار شماست. اما سازوکار Passkey به وب‌سایت‌ها این امکان را می‌دهد تا به مرور زمان، اختیارات کاربر را محدود کنند.
چه کسانی پشت FIDO Alliance هستند؟
پاس‌کی ابداع FIDO Alliance است؛ کنسرسیومی متشکل از غول‌های فناوری (Big Tech)، نهادهای دولتی، سازمان‌های جاسوسی و بانک‌ها. هر یک از این اعضا انگیزه‌های متفاوتی دارند: شرکت‌های بزرگ به دنبال قفل کردن کاربران در اکوسیستم خود و فروش بیشتر تبلیغات هستند، نهادهای امنیتی تمایل به ردگیری دقیق‌تر دارند و کسب‌وکارها می‌خواهند مسئولیت‌های امنیتی خود را کاهش دهند. برخلاف سازمانی مثل W3C که حامی منافع عمومی وب است، در FIDO Alliance هیچ گروهی برای دفاع از حقوق بنیادین مصرف‌کنندگان حضور ندارد.
برتری استانداردهای بازی مانند TOTP
رمزهای عبور ضعف‌های متعددی دارند، اما پیش از این راهکار استاندارد و امنی به نام TOTP (بر پایه RFC 6238) وجود داشت. این سازوکار کدهای تصادفی را با استفاده از زمان و یک کلید اولیه تولید می‌کند. نیازی به اتصال اینترنت یا اپلیکیشن خاص مثل Google Authenticator نیست؛ شما می‌توانید این فرمول را با یک اسکریپت پایتون یا حتی روی یک کنسول قدیمی Game Boy اجرا کنید و کنترل کلید اصلی کاملاً در دست خودتان است.
کاتالوگ گیج‌کننده و پنهان Passkeys
واژه «Passkey» از نظر فنی گمراه‌کننده است؛ استاندارد WebAuthn تنوع زیادی از پیکربندی‌ها را زیر یک نام یکسان قرار داده تا کاربر متوجه تفاوت‌ها نشود:
- قابل کپی در برابر غیرقابل کپی (Copyable vs Non-Copyable): می‌توانید کلیدی بسازید که بین دستگاه‌ها همگام شود یا کلیدی که قفل شده و هرگز قابل خروج نباشد. در صورت عدم آگاهی، ممکن است با خرابی لپ‌تاپ، برای همیشه دسترسی به حساب خود را از دست بدهید.
- قابل انتقال در برابر غیرقابل انتقال (Transferable vs Non-Transferable): وب‌سایت‌ها می‌توانند تعیین کنند که آیا امکان انتقال کلید به دستگاه جدید وجود دارد یا کلید به یک سخت‌افزار خاص محدود است.
- متکی به سخت‌افزار در برابر متکی به نرم‌افزار (Hardware-Backed vs Software-Backed): برخی کلیدها مانند فایل‌های عادی هستند، اما کلیدهای سخت‌افزاری درون تراشه‌های امنیتی پردازنده (مانند Secure Enclave در محصولات Apple یا TPM در کامپیوترها) ذخیره می‌شوند؛ جایی که حتی خود سیستم‌عامل و صاحب دستگاه هم دسترسی مستقیم به داده‌های خام آن ندارند.
- احراز اصالت و گواهی دستگاه (Attested Credentials): پلتفرم‌ها می‌توانند تأییدیه بخواهند که کلید حتماً روی دستگاه خاصی با شرایط مشخص اجرا شود.
همه این سازوکارها به غول‌های فناوری و وب‌سایت‌ها اجازه می‌دهد مشخص کنند شما چطور و روی چه دستگاهی حق دارید وارد حساب کاربری خود شوید؛ سیاستی که بیش از هر چیز اهدافی چون جلوگیری از اشتراک‌گذاری حساب‌ها و وابسته نگه‌داشتن کاربران به اکوسیستم‌های بسته را دنبال می‌کند.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل