چگونه «کلیدهای عبور» (Passkeys) بدون انتقال رمز، جایگزین رمزهای عبور میشوند؟
با تغییر مدل به رمزنگاری کلید عمومی، کلیدهای عبور رازهای مشترکی را که امکان حملات گسترده سرقت اعتبار و فیشینگ را فراهم میکنند، حذف میکنند.
به قلم کاوه کردی
این خبر را به اشتراک بگذارید
- حامیان حذف رمز عبور
- اولویت دادن به پذیرش گسترده و راحتی برای حذف فیشینگ.
- سختگیران امنیتی
- اولویت دادن به انزوای سختافزاری مطلق کلیدهای خصوصی نسبت به همگامسازی ابری.
- تحلیلگران مستقل
- ارزیابی مصالحهها بین قابلیت استفاده و امنیت رمزنگاری مطلق.
دیدگاههایی که این گزارش پوشش نداده است
- مدیران فناوری اطلاعات سازمانی که سیستمهای قدیمی را مدیریت میکنند و نمیتوانند از WebAuthn پشتیبانی کنند.
نکات کلیدی
- کلیدهای عبور، رمزهای عبور سنتی را با یک جفت کلید رمزنگاری جایگزین میکنند و کلید خصوصی را به طور ایمن روی دستگاه کاربر نگه میدارند.
- فناوری زیربنایی توسط WebAuthn، یک استاندارد باز منتشر شده توسط W3C و مورد حمایت ائتلاف فیدو (FIDO Alliance)، تأمین میشود.
- از آنجا که سرور فقط یک کلید عمومی را ذخیره میکند، نقض پایگاه داده هیچ راز قابل استفادهای را برای سرقت در اختیار مهاجمان قرار نمیدهد.
- اسکنهای بیومتریک مانند فیس آیدی (Face ID) یا تاچ آیدی (Touch ID) هرگز دستگاه را ترک نمیکنند؛ آنها صرفاً قفل کلید خصوصی محلی را باز میکنند.
- شرکتهای بزرگ فناوری اکنون از همگامسازی کلیدهای عبور در اکوسیستمهای ابری پشتیبانی میکنند، که این امر به معنای مبادله انزوای سختافزاری مطلق با راحتی کاربر و امکان بازیابی حساب است.
کلیدهای عبور با تولید یک جفت کلید رمزنگاری منحصر به فرد برای هر وبسایت، جایگزین رمزهای عبور میشوند؛ به این صورت که کلید خصوصی روی دستگاه شما قفل میماند و فقط کلید عمومی با سرور به اشتراک گذاشته میشود. از آنجا که سرور هرگز رازی دریافت نمیکند، چیزی برای سرقت توسط هکر یا رهگیری توسط سایت فیشینگ وجود ندارد.[3][4]
این فناوری که از سال ۲۰۲۲ به شدت توسط اپل، گوگل و مایکروسافت تبلیغ و بازاریابی شده است، متکی بر استانداردی به نام WebAuthn (رابط برنامهنویسی احراز هویت وب) است. WebAuthn که اولین بار توسط کنسرسیوم شبکه جهانی وب (W3C) در سال ۲۰۱۹ منتشر شد و مشخصات سطح ۲ آن در ۲۱ آوریل ۲۰۲۱ نهایی گشت، نحوه تبادل اعتبارنامهها توسط مرورگرها و دستگاهها را بدون انتقال رمز عبور، رسمی میکند.[1][5]
برای درک اینکه کلیدهای عبور واقعاً چه مشکلی را حل میکنند، باید به نقص مکانیکی در رمزهای عبور سنتی نگاه کنیم. رمزهای عبور یک «راز مشترک» هستند. وقتی کاربر وارد سیستم میشود، این راز را از طریق شبکه به سرور منتقل میکند و سرور آن را با مقداری که ذخیره کرده است، مقایسه میکند.[1]
حتی زمانی که سرورها آن رمزهای عبور را هش (Hash) و نمکگذاری (Salt) میکنند، معماری اساسی همچنان آسیبپذیر باقی میماند. اگر پایگاه دادهای نقض شود، مهاجمان میتوانند آن هشها را به صورت آفلاین رمزگشایی کنند. ائتلاف فیدو (FIDO Alliance)، که در سال ۲۰۱۳ برای هدایت فناوری بدون رمز عبور تأسیس شد، در تحقیقات مصرفکننده خود در سال ۲۰۲۵ دریافت که ۳۶ درصد از مردم حداقل یک حساب کاربری خود را در ۱۲ ماه گذشته به دلیل رمزهای عبور ضعیف یا سرقت شده، به خطر افتاده دیدهاند.
چرا مهم است
رمزهای عبور ضعیفترین حلقه در امنیت دیجیتال هستند و مسئول بخش عمدهای از تصاحب حسابها و نقض دادهها محسوب میشوند. با روی آوردن به یک مدل رمزنگاری که در آن سرور هیچ رازی را نگه نمیدارد، کلیدهای عبور به طور سیستماتیک مکانیسمهایی را که فیشینگ و سرقت اعتبار را ممکن میسازند، از بین میبرند.
اصطلاحات کلیدی
- WebAuthn
- رابط برنامهنویسی احراز هویت وب، استانداردی که به سرورها اجازه میدهد تا کاربران را با استفاده از رمزنگاری کلید عمومی به جای رمز عبور، ثبت و احراز هویت کنند.
- Public-Key Cryptography
- رمزنگاری کلید عمومی، یک سیستم رمزنگاری که از جفت کلیدها استفاده میکند: کلیدهای عمومی که میتوانند به طور گسترده منتشر شوند، و کلیدهای خصوصی که فقط برای مالک شناخته شده هستند.
- FIDO Alliance
- ائتلاف فیدو، یک انجمن صنعتی باز که در سال ۲۰۱۳ راهاندازی شد و مأموریت آن توسعه و ترویج استانداردهای احراز هویتی است که به کاهش اتکای بیش از حد جهان به رمزهای عبور کمک میکند.
- Discoverable Credential
- اعتبارنامه قابل کشف، نوعی اعتبارنامه WebAuthn (که اغلب کلید عبور نامیده میشود) که میتواند در دستگاهها ذخیره و همگامسازی شود و به کاربر اجازه میدهد بدون وارد کردن نام کاربری ابتدا وارد سیستم شود.
منابع
پوشش منابع
6 منبع
3 دیدگاه شناساییشده
- [1]Wikipediaسختگیران امنیتی
Web Authentication
مطالعه در Wikipedia → - MDN Web Docs
نظرات
هر زاویه. هر روز.
دریافت فناوری اخبار همراه با پوشش کامل منابع و تحلیل دیدگاهها، مستقیم در صندوق ورودی شما.
