آیا Passkeyها یک تله امنیتی هستند؟ نگاهی فنی به امنیت و مکانیزم WebAuthn — Passkeys Are Not a Trap
خلاصه
این مقاله به بررسی ادعاهای مطرح‌شده علیه تکنولوژی Passkey می‌پردازد و توضیح می‌دهد که برخلاف نگرانی‌های مطرح‌شده درباره Attestation، پس‌کی‌ها ابزاری قدرتمند برای مقابله با فیشینگ هستند و استفاده از آن‌ها بسیار امن‌تر از روش‌های سنتی مثل TOTP است.
در روزهای اخیر، انتشار مقاله‌ای با این ادعا که Passkeyها یک تله امنیتی هستند و کاربران نباید از آن‌ها استفاده کنند، سر و صدای زیادی در Hacker News به پا کرده است. این مقاله که بیشتر برای کاربران عادی وب نوشته شده، توصیه می‌کند افراد به جای پس‌کی‌ها به سراغ رمزهای عبور و کدهای TOTP بازگردند. اما برای یک توسعه‌دهنده نرم‌افزار، واقعیت فنی ماجرا چیست؟ ## ریشه‌های نگرانی: بحث Attestation هسته اصلی استدلال منتقدین روی مفهومی به نام Attestation (گواهی‌سنجی) تمرکز دارد. ایده این است که وب‌سایت‌ها ممکن است در آینده از این قابلیت استفاده کنند تا بررسی کنند کاربر از چه سخت‌افزار، سیستم‌عامل یا نرم‌افزارهای تأییدشده‌ای استفاده می‌کند و در نتیجه، کنترل بیشتری روی کاربران اعمال کنند. اگرچه این نگرانی در سطح تئوری مطرح می‌شود، اما با نحوه کارکرد واقعی پروتکل WebAuthn و اکوسیستم فعلی همخوانی ندارد. ## تکنولوژی Passkey چگونه کار می‌کند؟ پس‌کی‌هایی که اکثر کاربران مصرفی استفاده می‌کنند (ذخیره‌شده در iCloud Keychain، Google Password Manager یا ابزارهایی مثل 1Password و Bitwarden)، معمولاً هیچ‌گونه اطلاعات Attestation را به وب‌سایت ارسال نمی‌کنند. حتی اگر یک وب‌سایت درخواست Attestation کند، پاسخ دریافتی اغلب خالی است. کارهایی که Attestation در پروتکل WebAuthn انجام می‌دهد بسیار محدود است: * تعیین مدل و ساختار سخت‌افزار احراز هویت (از طریق AAGUID) * ارائه زنجیره گواهی از سازنده سخت‌افزار * هیچ اطلاعاتی درباره نسخه سیستم‌عامل، مرورگر، روت یا جیلبریک بودن دستگاه، افزونه‌ها یا جزئیات شخصی ارسال نمی‌کند. نکته جالب اینجاست که منتقدین اصلی Passkey، استفاده از کلیدهای سخت‌افزاری مانند YubiKey را به عنوان راهکار امن‌تر پیشنهاد می‌کنند؛ در حالی که تمام کلیدهای YubiKey دارای گواهی‌های Attestation پیش‌فرض هستند و دقیقاً برای اهداف سازمانی سخت‌گیرانه طراحی شده‌اند. ## چرا TOTP دیگر کافی نیست؟ بسیاری از توسعه‌دهندگان هنوز به کارهای مبتنی بر Time-based One-time Password یا همان TOTP اعتماد دارند. اگرچه TOTP از پسورد خالی بهتر است، اما یک ضعف بزرگ دارد: در برابر حملات فیشینگ آسیب‌پذیر است. ابزارهایی مانند Evilginx می‌توانند به راحتی در میانجی‌گری ارتباط (MitM) عمل کنند، رمز عبور و کد TOTP کاربر را در لحظه به سایت واقعی بفرستند و نشست (Session) را بدزدند. در مقابل، Passkeyها به دامنه‌ای (Domain) که در آن ساخته شده‌اند گره خورده‌اند. مرورگر شما هرگز اجازه نمی‌دهد پس‌کی ساخته‌شده برای یک سایت، در وب‌سایت فیشینگ با دامنه مشابه استفاده شود. این ویژگی، پس‌کی را در برابر حملات فیشینگ مقاوم می‌کند. ## دیدگاه کاربران در Hacker News بحث‌های داغی پیرامون این موضوع در هک‌نیوز شکل گرفت: * تجربه کاربری آشفته: بسیاری از کاربران از پراکندگی پس‌کی‌ها میان اکوسیستم‌های مختلف (گوگل، اپل، ویندوز) و چالش‌های جابجایی بین پلتفرم‌ها گلایه دارند. * نگاه بلندمدت به محدودیت‌ها: برخی مهندسان معتقدند گرچه امروز Attestation اعمال نمی‌شود، اما زیرساخت آن وجود دارد و ممکن است در آینده توسط سرویس‌های بزرگ یا بانک‌ها برای اعمال محدودیت بیشتر روی کاربران (مانند جلوگیری از استفاده از سیستم‌عامل‌های کاستوم) فعال شود. * مدیریت پسوردها: چالش مدیریت کلیدها و اعتماد به ابزارهای مختلف همچنان دغدغه‌ای جدی برای تیم‌های مهندسی است. ## نتیجه‌گیری برای مهندسین نرم‌افزار نگرانی درباره آینده کنترل پلتفرم‌ها موضوع مهمی است، اما کنار گذاشتن Passkeyها و بازگشت به روش‌های آسیب‌پذیر در برابر فیشینگ، راهکار منطقی نیست. پس‌کی‌ها در حال حاضر امن‌ترین راهکار موجود برای حفاظت از اکانت‌ها در وب هستند.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل