كلمة مرور للبريد، وأخرى للبنك، وثالثة لمواقع التسوق، ثم رمز يصل عبر SMS.
لسنوات حاولنا جعل تسجيل الدخول أكثر أمانًا عبر إضافة المزيد من الخطوات، لكن صناعة التقنية تتحرك الآن في اتجاه مختلف: إزالة كلمة المرور نفسها.
الحل يسمى Passkeys أو مفاتيح المرور.
ما هي Passkeys؟
مفتاح المرور وسيلة لتسجيل الدخول تعتمد على التشفير بدل سر نصي يجب عليك حفظه.
توضح FIDO Alliance أن Passkeys مبنية على معايير FIDO ويمكن تخزينها في الهاتف أو الكمبيوتر أو مفتاح أمان مادي. ويؤكد التحالف أن التقنية مدعومة عبر أنظمة التشغيل والمتصفحات الرئيسية.
عند تسجيل الدخول، قد تستخدم بصمة الإصبع أو الوجه أو PIN الجهاز بالطريقة نفسها التي تفتح بها هاتفك.
كيف تعمل تقنيًا؟
عند إنشاء Passkey يولد النظام زوجًا من مفاتيح التشفير.
أحدهما عام ويمكن للخدمة الاحتفاظ به.
أما المفتاح الخاص فيبقى تحت سيطرة جهاز المستخدم أو مزود مفاتيح المرور.
عند تسجيل الدخول ترسل الخدمة تحديًا، ويستخدم جهازك المفتاح الخاص لإثبات أنك صاحب الحساب دون إرسال ذلك المفتاح إلى الموقع.
لهذا لا توجد كلمة مرور تقليدية يمكن سرقتها من قاعدة بيانات الموقع.
لماذا تقاوم Passkeys التصيد؟
تخيل رسالة مزيفة تبدو وكأنها من البنك وتطلب منك تسجيل الدخول.
مع كلمة المرور قد ينجح المهاجم في إقناعك بكتابتها في موقع مزيف.
أما Passkey فيرتبط بالخدمة التي أُنشئ لها، وتصف FIDO هذه التقنية بأنها مقاومة للتصيد بحكم تصميمها.
وتوضح Microsoft أن مفتاح المرور لا يعمل ببساطة على موقع مقلد أعده المهاجم لسرقة بيانات الدخول.
هل بصمة إصبعي تُرسل إلى الموقع؟
لا.
هذه نقطة يحدث حولها التباس كبير.
وفق FIDO، تظل معالجة البيانات البيومترية محليًا على الجهاز، ولا يرسل الموقع بصمتك أو صورة وجهك إليه؛ بل يحصل على إثبات بأن عملية التحقق على الجهاز نجحت.
Passkey مقابل كلمة المرور
كلمة المرور سر تستطيع كتابته في أي مكان، وهذه ميزتها ومشكلتها في الوقت نفسه.
يمكن نسيانها، أو إعادة استخدامها، أو تسريبها، أو إدخالها في صفحة تصيد.
أما Passkey فلا يحتاج منك حفظ سلسلة طويلة من الأحرف، ولا يعتمد على سر مشترك بينك وبين الموقع.
وهذا يقلل أيضًا مشكلة استخدام كلمة المرور نفسها في أكثر من خدمة.
وهل Passkey أفضل من رمز SMS؟
رمز SMS يضيف حماية مهمة مقارنة باستخدام كلمة مرور وحدها، لكنه ليس مقاومًا لجميع أنواع التصيد.
قد يقنعك مهاجم بإدخال الرمز في موقع مزيف، كما توجد هجمات أخرى تستهدف رقم الهاتف نفسه.
وتقول FIDO إن Passkeys تستطيع تقديم حماية أقوى ضد التصيد من سيناريوهات «كلمة مرور + OTP» التقليدية.
أين يتم حفظ مفاتيح المرور؟
يعتمد ذلك على الجهاز الذي تستخدمه.
يمكن لمزود النظام أو مدير بيانات اعتماد متوافق حفظها ومزامنتها بين أجهزتك.
تذكر FIDO أمثلة تشمل iCloud Keychain وGoogle Password Manager، إضافة إلى مديري كلمات مرور تابعين لجهات أخرى.
كما توجد Passkeys مرتبطة بمفتاح أمان مادي لمن يحتاج مستوى حماية أعلى.
ماذا لو فقدت هاتفي؟
هذه من أهم الأسئلة قبل الانتقال إلى Passkeys.
المفاتيح القابلة للمزامنة يمكن أن تصبح متاحة على جهاز آخر مرتبط بمزود Passkey نفسه.
لكن طريقة الاسترداد تختلف حسب المنصة والخدمة، ولهذا يجب تأمين حساب Apple أو Google أو مدير كلمات المرور الذي تعتمد عليه، والاحتفاظ بطرق استرداد الحساب المناسبة.
لا تنتظر فقد الجهاز حتى تتعرف على طريقة الاسترداد.
هل ألغي جميع كلمات المرور الآن؟
ليس بالضرورة.
دعم Passkeys يتوسع، لكن الخدمات لا تنتقل جميعها بالسرعة نفسها، وقد تحتفظ بعض الحسابات بكلمة المرور كطريقة احتياطية.
ابدأ بالحسابات المهمة التي توفر Passkeys رسميًا، وتأكد من وجود طريقة استرداد آمنة قبل إزالة أي طريقة تسجيل دخول قد تحتاج إليها.
هل Passkeys مثالية؟
لا توجد تقنية مصادقة تحل كل المشكلات.
إذا استطاع شخص الوصول إلى جهاز مفتوح بالفعل، فهناك تهديدات مختلفة يجب التعامل معها عبر قفل الشاشة والتحديثات وحماية الحساب الأساسي.
كما أن طريقة المزامنة والاسترداد تصبح جزءًا مهمًا من نموذج الأمان.
لكن Passkeys تعالج واحدة من أقدم مشكلات الإنترنت: السر المشترك الذي يمكن سرقته أو خداع صاحبه للكشف عنه.
الخلاصة
Passkeys ليست مجرد طريقة أسرع لكتابة كلمة المرور؛ إنها تغيير في طريقة إثبات هويتك للموقع.
وبدل حفظ سر وإرساله عند تسجيل الدخول، تستخدم التقنية تشفير المفتاح العام والتحقق الموجود في جهازك.
لهذا تجمع بين سهولة استخدام البصمة أو الوجه وبين مقاومة أقوى لهجمات التصيد.
أسئلة شائعة
هل Passkey هي نفسها كلمة المرور؟
لا. كلمة المرور سر نصي، بينما Passkey يعتمد على مفاتيح تشفير.
هل يحتاج Passkey إلى بصمة؟
ليس دائمًا؛ يمكن أن يعتمد التحقق على وسائل فتح الجهاز المدعومة مثل PIN أو النمط أو القياسات الحيوية.
هل يمكن سرقة Passkey من موقع مخترق؟
الخدمة لا تحتاج إلى الاحتفاظ بالمفتاح الخاص بالطريقة التي تحتفظ بها بكلمة مرور قابلة للاستخدام لتسجيل الدخول، وهذا يقلل مخاطر سرقة أسرار تسجيل الدخول من قواعد بيانات كلمات المرور.
هل تعمل Passkeys على Android وiPhone وWindows؟
التقنية مدعومة على المنصات الرئيسية، لكن دعم تسجيل الدخول باستخدامها يعتمد أيضًا على الموقع أو التطبيق.
المصادر: الدليل التقني من FIDO Alliance حول Passkeys وشرح Microsoft لمفاتيح المرور وتحديثها حول المصادقة المقاومة للتصيد.