رمز طولانی ساخته‌اید، اما هنوز نگران ورود از یک لینک جعلی هستید؟ این نگرانی بی‌دلیل نیست: رمز پیچیده هم اگر در صفحه اشتباه وارد شود، می‌تواند در اختیار مهاجم قرار بگیرد. Passkey یا کلید عبور روشی متفاوت برای ورود است که در سرویس‌های پشتیبان، وابستگی به تایپ رمز را کم می‌کند. با این حال، امنیت حساب فقط با فعال‌کردن یک گزینه کامل نمی‌شود؛ دستگاه، روش بازیابی و دسترسی‌های باقی‌مانده هم مهم‌اند.
این راهنما برای کاربری است که می‌خواهد ایمیل، حساب ابری و حساب‌های کاری خود را امن‌تر کند، بدون آنکه هنگام تعویض گوشی از همه چیز بیرون بماند. ابتدا مفهوم را روشن می‌کنیم، سپس یک برنامه اجرایی می‌سازیم.
Passkey چه تفاوتی با رمز عبور دارد؟
در ورود معمول با رمز، یک راز قابل تایپ دارید. در Passkey، احراز هویت بر پایه کلیدهای رمزنگاری و تأیید توسط دستگاه یا ابزار سازگار انجام می‌شود. کلید عبور به سرویس مربوط وابسته است؛ قرار نیست همان راز را در چند سایت تایپ کنید. مرورگر و سیستم‌عامل در اعتبارسنجی مقصد نقش دارند.
مستندات رسمی Passkey گوگل توضیح می‌دهد که این روش برای وب‌سایت یا برنامه ثبت‌شده کار می‌کند و در برابر فیشینگ مبتنی بر صفحه ورود جعلی مقاوم است. این مزیت به معنی مصونیت در برابر همه تهدیدها نیست؛ بدافزار، دسترسی غیرمجاز به دستگاه یا مشکل نشست حساب همچنان موضوعاتی جدا هستند.
اثر انگشت یا PIN دستگاه با رمز سایت یکی نیست
هنگام استفاده ممکن است دستگاه از شما اثر انگشت، تشخیص چهره یا PIN بخواهد. این مرحله برای تأیید محلی استفاده از ابزار ورود است؛ نباید آن را با ارسال اثر انگشت به هر وب‌سایت یکی دانست. روش دقیق به دستگاه و ارائه‌دهنده بستگی دارد و باید با توضیح همان سیستم بررسی شود.
در تحلیل امنیتی، «ورود راحت‌تر» نباید به معنی رهاکردن قفل دستگاه باشد. اگر دیگران می‌توانند گوشی شما را باز کنند، باید آن را در ارزیابی دسترسی حساب‌ها در نظر بگیرید. راهنمای حساب گوگل تأکید می‌کند Passkey را فقط روی دستگاهی بسازید که شخصاً مالک و استفاده‌کننده آن هستید؛ خروج از حساب لزوماً کلید ساخته‌شده روی دستگاه را حذف نمی‌کند.
Passkey، کد پیامکی و برنامه احراز هویت یکسان نیستند
احراز هویت چندعاملی لایه دیگری به ورود اضافه می‌کند، اما همه روش‌ها در برابر همه حمله‌ها رفتار یکسانی ندارند. راهنمای عمومی NIST برای امنیت حساب استفاده از عامل اضافه و مدیر رمز را مطرح می‌کند و تفاوت سطح حفاظت روش‌ها را توضیح می‌دهد. اگر سرویس شما Passkey ندارد، این به معنی بی‌فایده‌بودن روش‌های دیگر نیست؛ بهترین گزینه پشتیبانی‌شده و قابل مدیریت را بررسی کنید.
صرف دیدن دو مرحله در صفحه ورود، مقاومت قطعی در برابر فیشینگ را ثابت نمی‌کند. کدی که خودتان در صفحه جعلی وارد می‌کنید می‌تواند هدف سوءاستفاده قرار بگیرد. درخواست تأیید ناخواسته را هم بدون شروع ورود از طرف خودتان قبول نکنید.
با حساب ایمیل اصلی شروع کنید، نه با تغییر هم‌زمان همه حساب‌ها
ایمیل اصلی اغلب مسیر بازیابی حساب‌های دیگر است. ابتدا فهرست کوتاهی از حساب‌های مهم بسازید: ایمیل، فضای ابری و سرویس‌های کاری. برای هرکدام بررسی کنید چه دستگاه‌هایی وارد هستند، روش بازیابی چیست و چه گزینه ورود امنی پشتیبانی می‌شود. اطلاعات حساس این فهرست را در فایل عمومی نگه ندارید.
- از مسیر رسمی برنامه یا وب‌سایت، وارد بخش امنیت شوید؛ از لینک پیام ناشناس شروع نکنید.
- اطلاعات بازیابی تحت کنترل خودتان را بررسی کنید.
- روش جدید را فقط روی دستگاه شخصی و به‌روز فعال کنید.
- با حفظ دسترسی فعلی، یک ورود آزمایشی مجاز انجام دهید.
- نام یا توضیح دستگاه را برای بازبینی بعدی قابل تشخیص نگه دارید.
- پس از اطمینان از مسیر جایگزین، دسترسی‌های قدیمی و غیرضروری را بررسی کنید.
برای حساب سازمانی، سیاست مسئول فناوری اطلاعات مقدم است. روی حساب کاری، روش‌های ورود یا بازیابی را بدون هماهنگی تغییر ندهید. هدف این راهنما، کمک به تصمیم آگاهانه است؛ دورزدن سیاست دسترسی سازمان نیست.
پیش از تعویض گوشی، برنامه بازیابی را آزمایش کنید
Passkey ممکن است در مدیر کلید سازگار همگام شود یا به ابزار مشخصی وابسته باشد. این دو حالت را یکی ندانید. بررسی کنید کلید کجا نگهداری می‌شود، از کدام حساب برای همگام‌سازی استفاده می‌شود و اگر گوشی از دسترس خارج شد، چه مسیر رسمی دیگری دارید. فقط دیدن آیکون حساب روی گوشی جدید کافی نیست.
دستگاه قدیمی را تا پایان بررسی دسترسی‌ها پاک نکنید. در راهنمای انتقال اطلاعات از اندروید به آیفون چک‌لیست قبل و بعد از جابه‌جایی آمده است. انتقال عکس‌ها، انتقال خودکار تمام روش‌های ورود و کدهای بازیابی را تضمین نمی‌کند؛ هر حساب مهم را جدا آزمایش کنید.
اگر سرویس کد بازیابی می‌دهد، آن را طبق دستور همان سرویس و در محل امن نگه دارید. نسخه قابل دسترسی فقط داخل همان حسابی که ممکن است قفل شود، برنامه جایگزین کاملی نیست. درباره مدیریت نسخه‌های امن، راهنمای بکاپ و تست بازیابی مفید است؛ اطلاعات ورود را با فایل‌های عمومی پروژه مخلوط نکنید.
روی دستگاه مشترک یا لپ‌تاپ دست‌دوم چه کنیم؟
روی کامپیوتر عمومی، دستگاه قرضی یا سیستمی که دیگران قفل آن را می‌دانند، Passkey شخصی نسازید. پس از فروش یا تحویل دستگاه نیز بازبینی دستگاه‌های مورد اعتماد و روش‌های ورود در حساب لازم است. حذف یک فایل یا خروج مرورگر را با پاک‌شدن همه دسترسی‌ها یکسان ندانید.
پیش از خرید دستگاه کارکرده، علاوه بر سلامت سخت‌افزار، فرایند تحویل حساب‌ها و راه‌اندازی شخصی را جدی بگیرید. چک‌لیست خرید گوشی دست‌دوم و راهنمای خرید لپ‌تاپ استوک و ریفربیشد مسیر بررسی خرید را تکمیل می‌کنند. رمز یا کد بازیابی فروشنده نباید بخشی از استفاده روزانه شما بماند.
اگر هنوز باید رمز بسازیم، چه چیزی مهم‌تر است؟
برای سرویس‌های دارای رمز، از رمز یکتا برای هر حساب استفاده کنید و در صورت انتخاب مدیر رمز، امنیت حساب اصلی و روش بازیابی آن را هم بررسی کنید. رمز یکسان میان ایمیل و چند سایت، اثر افشای یک حساب را بیشتر می‌کند. رمز را برای گرفتن «کمک فنی» در پیام ارسال نکنید؛ پشتیبانی معتبر به دانستن رمز اصلی شما برای توضیح مراحل عمومی نیاز ندارد.
Passkey را راهی برای کاهش یک دسته خطر بدانید، نه مجوز بی‌احتیاطی. راهنمای امنیت Passkey در OWASP نیز وابستگی اعتبارنامه به سرویس و اهمیت پیاده‌سازی درست را توضیح می‌دهد. در استفاده روزمره، قفل دستگاه، به‌روزرسانی و بازبینی دسترسی‌ها مکمل روش ورود هستند.
پرسش‌های متداول کلید عبور
آیا فعال‌کردن Passkey رمز قبلی را حذف می‌کند؟
لزوماً خیر. رفتار سرویس‌ها متفاوت است؛ روش‌های باقی‌مانده و بازیابی را در تنظیمات همان حساب بررسی کنید.
اگر گوشی گم شود، حساب را برای همیشه از دست می‌دهم؟
نتیجه به نوع نگهداری کلید و مسیرهای بازیابی بستگی دارد. پیش از وقوع مشکل، روش جایگزین رسمی را مشخص و آزمایش کنید.
آیا Passkey همان کد شش‌رقمی است؟
خیر. کلید عبور از سازوکار رمزنگاری وابسته به سرویس استفاده می‌کند؛ کد یک‌بارمصرف، روش دیگری است.
آیا می‌توانم روی لپ‌تاپ مشترک خانواده Passkey بسازم؟
برای حساب شخصی، دستگاه و قفل باید تحت کنترل مناسب خودتان باشند. اگر دیگران می‌توانند به پروفایل یا قفل شما دسترسی داشته باشند، آن را دستگاه خصوصی فرض نکنید.
آیا با Passkey دیگر فریب هیچ پیامی را نمی‌خورم؟
خیر. مقاومت در برابر صفحه ورود جعلی، همه انواع فریب، بدافزار یا سوءاستفاده از دسترسی دستگاه را حذف نمی‌کند.
