Passkey چیست؟ راهنمای کلید عبور و ورود امن بدون رمز
Passkey یا کلید عبور چگونه کار میکند؟ با امنیت در برابر فیشینگ، روش فعال‌سازی در گوگل، اپل و ویندوز و نکات مهم بازیابی حساب آشنا شوید.
تا همین چند سال پیش، ورود به یک حساب اینترنتی تقریباً همیشه با وارد کردن رمز عبور شروع می‌شد. حالا در بعضی سرویس‌ها کافی است گوشی را باز کنید یا اثر انگشتتان را تأیید کنید. نکته اینجاست که Passkey فقط یک راه راحت‌تر برای تایپ نکردن رمز نیست؛ شیوه تأیید هویت را از اساس تغییر می‌دهد. این تغییر چه مزیتی دارد و هنگام گم شدن گوشی چه اتفاقی می‌افتد؟
Passkey چیست و چه فرقی با رمز عبور دارد؟
پسکی یا کلید عبور (Passkey) یک اعتبارنامه ورود مبتنی بر استانداردهای FIDO است. به جای اینکه سایت و کاربر یک رمز مشترک داشته باشند، برای حساب شما یک جفت کلید رمزنگاری ساخته می‌شود: کلید عمومی در اختیار سرویس قرار میگیرد و کلید خصوصی در ابزار احراز هویت شما نگهداری می‌شود؛ مثلاً در گوشی، رایانه، مدیر گذرواژه یا کلید امنیتی سخت‌افزاری.
هنگام ورود، سرویس از ابزار شما می‌خواهد یک درخواست تازه را با کلید خصوصی تأیید کند. معمولاً تأیید با اثر انگشت، تشخیص چهره یا پینِ بازکردن دستگاه انجام می‌شود. اثر انگشت شما نقش رمز ارسالی به سایت را ندارد؛ فقط اجازه استفاده از کلید را در همان دستگاه صادر میکند.
پشت صحنه ورود بدون رمز چه اتفاقی می‌افتد؟
- وقتی برای حسابی Passkey می‌سازید، دستگاه یا مدیر اعتبارنامه، جفت‌کلید مخصوص همان حساب و سرویس تولید میکند.
- سرویس، کلید عمومی را ثبت میکند. کلید خصوصی برای پاسخ دادن به درخواست ورود استفاده می‌شود و لازم نیست به سرور سایت ارسال شود.
- دفعه بعد، سایت یک چالش رمزنگاری تازه می‌فرستد. شما با روش بازکردن دستگاه اجازه پاسخ‌دادن را می‌دهید.
- سرویس پاسخ امضاشده را با کلید عمومی بررسی میکند. اگر معتبر باشد، ورود انجام می‌شود.
به بیان ساده، سایت دیگر منتظر شنیدن «کلمه مخفی» شما نیست؛ بررسی میکند که ابزار مجاز، کلید مناسب همان سایت را در اختیار دارد.
چرا Passkey در برابر فیشینگ مقاوم‌تر است؟
در فیشینگ معمولی، مهاجم صفحه‌ای شبیه درگاه ورود می‌سازد و امیدوار است کاربر رمز یا حتی کد یک‌بارمصرف خود را وارد کند. Passkey استاندارد به دامنه سرویس وابسته است. به همین دلیل، صفحه‌ای با دامنه جعلی نمی‌تواند همان پاسخ معتبر موردنیاز سایت اصلی را دریافت کند؛ حتی اگر ظاهر دو صفحه کاملاً یکسان باشد. به این ویژگی «مقاومت در برابر فیشینگ» می‌گویند.
این البته به معنای مصونیت کامل حساب نیست. کسی که دستگاهِ بازشده شما را در اختیار دارد، بدافزاری که محیط دستگاه را آلوده کرده یا فرایند بازیابی حسابی که ضعیف طراحی شده، همچنان می‌توانند دردسرساز شوند. امنیت حساب فقط به روش ورود وابسته نیست.
آیا Passkey همان ورود با اثر انگشت است؟
نه دقیقاً. اثر انگشت و تشخیص چهره معمولاً راه بازکردن کلید هستند، نه خودِ Passkey. در دستگاه‌هایی که حسگر زیستی ندارند، ممکن است همان کار با پین یا قفل صفحه انجام شود. در استفاده معمول از Passkey، اطلاعات زیست‌سنجی لازم نیست برای احراز هویت Passkey به وبسایت فرستاده شود؛ در پیاده‌سازی‌های معمول، بررسی آن روی دستگاه انجام می‌شود.
پس اگر نگران فرستاده‌شدن تصویر چهره‌تان به هر سایتی هستید که دکمه «ورود با Passkey» دارد، این دو فرایند را از هم جدا بدانید.
کلید عبور کجا ذخیره می‌شود؟
دو شیوه متداول وجود دارد. Passkey همگام‌شونده می‌تواند از راه مدیر اعتبارنامه‌ای مانند iCloud Keychain، Google Password Manager یا سرویس‌های سازگار دیگر، در دستگاه‌های تأییدشده شما در دسترس قرار بگیرد. این کار جابه‌جایی بین موبایل و لپ‌تاپ را آسان میکند، ولی حفاظت از حسابِ ارائه‌دهنده آن مدیر اعتبارنامه نیز اهمیت پیدا میکند.
در مقابل، Passkey وابسته به دستگاه در یک ابزار معین، مثل کلید امنیتی FIDO2 یا فضای امن یک دستگاه، باقی می‌ماند. این روش ممکن است برای محیط‌های حساس مناسب‌تر باشد، اما باید برای خرابی یا گم‌شدن ابزار برنامه داشته باشید. همه انواع Passkey از نظر سطح تضمین امنیت یکسان نیستند؛ در محیط‌های بسیار حساس، ممکن است استفاده از کلید امنیتی سخت‌افزاری و سیاست‌های سخت‌گیرانه‌تر ضروری باشد.
چطور Passkey را فعال کنیم؟
فعال‌سازی در حساب گوگل
- روی دستگاه شخصی خود وارد بخش Passkeys حساب گوگل شوید.
- در صورت نیاز، هویتتان را تأیید کنید و گزینه Create a passkey را انتخاب کنید.
- محل ذخیره‌سازی پیشنهادی را بررسی کنید و با بازکردن قفل دستگاه، ساخت کلید را تأیید کنید.
- یک بار از حساب خارج شوید و روش ورود با Passkey را امتحان کنید؛ البته مطمئن باشید راه بازیابی حسابتان برقرار است.
نکته مهم: اضافه‌کردن Passkey به‌خودی‌خود رمز عبور یا روش‌های بازیابی قبلی را حذف نمی‌کند. ایجاد این کلید را هم به رایانه‌های عمومی و اشتراکی موکول نکنید؛ فردی که بتواند قفل همان دستگاه را باز کند ممکن است بتواند به حساب شما وارد شود.
در آیفون و مک
در سایت یا برنامه‌ای که Passkey را پشتیبانی میکند، هنگام ساخت حساب یا در تنظیمات امنیتی، گزینه ایجاد کلید عبور را انتخاب کنید و درخواست سیستم را با Face ID، Touch ID یا رمز دستگاه تأیید کنید. برای ذخیره و همگام‌سازی در اکوسیستم اپل، iCloud Keychain و تنظیمات لازم آن باید فعال باشند.
در ویندوز و حساب مایکروسافت
حساب‌های پشتیبانی‌شده می‌توانند از Windows Hello با پین یا روش‌های زیستی استفاده کنند. برای حساب شخصی مایکروسافت، در تنظیمات امنیت پیشرفته حساب، روش ورود جدید اضافه می‌شود و می‌توان محل نگهداری Passkey را انتخاب کرد. بسته به دستگاه و سرویس، کلید ممکن است روی ویندوز، گوشی، کلید سخت‌افزاری یا مدیر اعتبارنامه ذخیره شود.
نام منوها با نسخه سیستم‌عامل و نوع حساب تغییر میکند. بعضی حساب‌های سازمانی نیز تابع سیاست مدیر سیستم هستند.
ورود با Passkey گوشی روی لپ‌تاپ چگونه است؟
ممکن است در لپ‌تاپ بخواهید وارد سایتی شوید، ولی Passkey روی گوشی‌تان باشد. در سرویس‌های سازگار، گزینه استفاده از دستگاه دیگر را انتخاب می‌کنید، کد QR را با گوشی می‌خوانید و ورود را روی گوشی تأیید می‌کنید. در بسیاری از این جریان‌ها بلوتوث برای بررسی نزدیک‌بودن دستگاه‌ها استفاده می‌شود. اسکن QR قرار نیست کلید خصوصی را به رایانه منتقل کند. جزئیات روش ورود بین سرویس‌ها یکسان نیست.
اگر گوشی گم شود، حساب را از دست می‌دهیم؟
لزوماً نه. اگر کلیدها در مدیر اعتبارنامه همگام‌شونده ذخیره شده باشند، با دسترسی امن به حساب آن مدیر و دستگاه جدید ممکن است دوباره به آن‌ها برسید. وجود یک Passkey دیگر روی دستگاه مستقل یا کلید امنیتی پشتیبان هم می‌تواند کمک کند. بااین‌حال، مسیر بازیابی کاملاً به سرویس و ارائه‌دهنده Passkey بستگی دارد.
پیش از کنار گذاشتن رمزهای قدیمی، این موارد را بررسی کنید:
- راه بازیابی حساب: ایمیل، شماره بازیابی یا روش‌های دیگری که سرویس واقعاً ارائه میکند، باید به‌روز و تحت کنترل شما باشند.
- دستگاه پشتیبان: برای حساب‌های مهم، تنها به یک گوشی تکیه نکنید.
- قفل قوی دستگاه: پین قابل‌حدس امنیت Passkey را در استفاده روزمره تضعیف میکند.
- مدیریت دستگاه گم‌شده: پس از سرقت، نشست‌های فعال و کلیدهای ثبت‌شده را از بخش امنیت حساب بازبینی و در صورت لزوم حذف کنید.
چند پرسش پرتکرار
آیا همه سایتها از Passkey پشتیبانی میکنند؟
خیر. پشتیبانی از کلید عبور به وبسایت یا برنامه بستگی دارد. اگر گزینهای برای ایجاد یا استفاده از آن نمیبینید، نمیتوان فرض کرد که سرویس از Passkey پشتیبانی میکند.
آیا Passkey جای احراز هویت دومرحلهای را میگیرد؟
در بعضی پیادهسازیها، استفاده از Passkey همراه با بازکردن قفل دستگاه یک ورود چندعاملی فراهم میکند و سرویس دیگر کد پیامکی جداگانه نمیخواهد. اما تصمیم نهایی به سیاست امنیتی همان سرویس بستگی دارد؛ پسکی و کد دومرحلهای را نباید در همه شرایط معادل دانست.
می‌توان Passkey را برای شخص دیگری فرستاد؟
کلید عبور برای ارسال دستی مثل یک رمز متنی طراحی نشده است. بعضی مدیرهای اعتبارنامه قابلیت اشتراک‌گذاری کنترل‌شده دارند، اما برای حساب شخصی بهتر است هر فرد دسترسی و کلید خودش را داشته باشد.
جمع‌بندی: همین امروز رمزها را حذف کنیم؟
Passkey برای حسابی که آن را پشتیبانی میکند، معمولاً انتخاب بهتری از تکیه‌کردن بر یک رمز تکراری است؛ خصوصاً وقتی خطر صفحات ورود جعلی مطرح باشد. با این وجود، مهاجرت خوب یعنی اول روش ذخیره کلید، دستگاه جایگزین و بازیابی حساب را بشناسیم. اگر سرویسی هنوز ورود با رمز دارد، یک رمز یکتا در مدیر گذرواژه و احراز هویت دومرحلهای مناسب را حفظ کنید.
نظرات و گفت‌وگو
نظرها پس از تایید مدیر منتشر می‌شوند. پاسخ‌های رسمی مدیر با نشان مشخص نمایش داده می‌شوند.