کالبدشکافی Passkey: چرا رمزهای عبور در حال مرگ هستند و جایگزین آن‌ها واقعاً چگونه کار می‌کند؟

احتمالاً اخیراً با پیام‌های پاپ‌آپ متعددی در سرویس‌های گوگل، اپل یا مایکروسافت مواجه شده‌اید که از شما می‌خواهند یک «Passkey» (کلید عبور) ایجاد کنید. تیم‌های بازاریابی این شرکت‌های بزرگ، این فناوری را به عنوان «آینده‌ای یکپارچه و بدون رمز عبور» معرفی می‌کنند که قرار است به کابوس فراموشی رمزها پایان دهد. اما به عنوان کاربرانی که دهه‌ها آموزش دیده‌ایم تا رشته‌های پیچیده‌ای از حروف، اعداد و نمادها را حفظ کنیم یا به نرم‌افزارهای مدیریت رمز عبور وابسته باشیم، کنار گذاشتن این عادت کمی غیرطبیعی و حتی ترسناک به نظر می‌رسد. وقتی به گوشی هوشمند خود اجازه می‌دهید به طور کامل جایگزین رمز عبورتان شود، دقیقاً به چه چیزی اعتماد می‌کنید؟ آیا این فقط یک ترفند تبلیغاتی است؟ واقعیت این است که این فناوری بسیار امن‌تر از هر رمز عبوری است که تا به حال ساخته شده، اما درک امنیت آن نیازمند آشنایی با یک تغییر بنیادین در نحوه احراز هویت دیجیتال است.[1][3]

اتحادیه FIDO (Fast Identity Online) و کنسرسیوم وب جهان‌گستر (W3C) به همراه شرکت‌های بزرگ فناوری، کلیدهای عبور را به عنوان یک راهکار جادویی و قطعی در برابر حملات فیشینگ (Phishing) معرفی می‌کنند. اگرچه این ادعا که آن‌ها خطر استفاده از رمزهای عبور دزدیده شده در رخنه‌های اطلاعاتی را به طور کامل از بین می‌برند کاملاً درست است، اما هیچ جادویی در کار نیست. کلیدهای عبور در واقع یک رابط کاربری ساده، زیبا و قابل فهم برای «رمزنگاری کلید عمومی» (Public-Key Cryptography) هستند. این همان مفهوم پیچیده ریاضی است که دهه‌هاست امنیت سرورهای اینترنتی، تراکنش‌های بانکی و ارتباطات نظامی را تامین می‌کند و اکنون به لطف پیشرفت سخت‌افزار، در تراشه‌های امنیتی گوشی هوشمند شما کوچک‌سازی و تعبیه شده است تا نیازی به درک پیچیدگی‌های آن نداشته باشید.[1][2]

برای درک این امنیت، بیایید ببینیم در زیر پوسته این فناوری چه می‌گذرد. وقتی شما یک کلید عبور برای یک وب‌سایت جدید ایجاد می‌کنید، دستگاه شما (گوشی یا لپ‌تاپ) یک جفت کلید متصل به هم از نظر ریاضی تولید می‌کند: یک «کلید عمومی» و یک «کلید خصوصی». کلید عمومی بلافاصله به سرور وب‌سایت ارسال می‌شود و اساساً مانند یک قفل عمل می‌کند که همه می‌توانند آن را ببینند. اما کلید خصوصی، که تنها ابزار موجود در جهان برای باز کردن آن قفل است، هرگز دستگاه شما را ترک نمی‌کند. این کلید در داخل یک تراشه تخصصی، کاملاً ایزوله و غیرقابل نفوذ به نام Secure Enclave در محصولات اپل یا TPM در دستگاه‌های ویندوزی و اندرویدی محبوس می‌شود. حتی سیستم‌عامل دستگاه شما نیز نمی‌تواند این کلید را مستقیماً بخواند یا استخراج کند.

تفاوت اصلی در زمان ورود به حساب کاربری مشخص می‌شود. در این سیستم جدید، وب‌سایت دیگر از شما رمز عبور نمی‌خواهد و هیچ کادر متنی برای تایپ کردن وجود ندارد. در عوض، سرور یک «چالش» (Challenge) — که یک رشته داده تصادفی و یک‌بار مصرف است — را به مرورگر دستگاه شما ارسال می‌کند. دستگاه از شما می‌خواهد تا هویت خود را به صورت محلی تایید کنید (مثلاً با نگاه کردن به دوربین برای FaceID، قرار دادن انگشت روی حسگر یا وارد کردن پین‌کد گوشی). پس از این تایید بیومتریک، تراشه امنیتی دستگاه با استفاده از کلید خصوصیِ پنهان شده، آن چالش را از نظر ریاضی «امضا» کرده و تنها این امضای دیجیتال را به سرور برمی‌گرداند. سرور با استفاده از کلید عمومی شما، صحت امضا را بررسی می‌کند و در صورت تطابق، درهای حساب کاربری به روی شما باز می‌شود.

این مکانیسم هوشمندانه، بزرگترین و خطرناک‌ترین نقطه ضعف رمزهای عبور را برطرف می‌کند: شما دیگر نمی‌توانید فریب بخورید و کلید خود را به هکرها تقدیم کنید. در دنیای رمزهای عبور، اگر یک هکر کپی دقیقی از وب‌سایت بانک شما بسازد و لینک آن را برایتان پیامک کند، شما رمز خود را در آن تایپ کرده و حساب خود را از دست می‌دهید. اما کلید عبور از نظر رمزنگاری به نام دامنه واقعی (مثلاً bank.com) گره خورده است. اگر وارد سایت جعلی (مثلاً bank-login.com) شوید، مرورگر شما به سادگی متوجه عدم تطابق دامنه شده و از امضای چالش خودداری می‌کند. از آنجایی که هیچ رشته متنی محرمانه‌ای وجود ندارد، هیچ چیزی برای سرقت شدن توسط هکرها یا بدافزارها در دسترس نیست.[2]

با شنیدن این سطح از امنیت سخت‌افزاری، بلافاصله یک سوال بدبینانه و کاملاً منطقی پیش می‌آید: «اگر گوشی‌ام را گم کنم، دزدیده شود یا در دریا بیفتد، چه اتفاقی می‌افتد؟ آیا برای همیشه از تمام حساب‌هایم قفل می‌شوم؟» در مشخصات اولیه استاندارد FIDO2، کلیدها دقیقاً «محدود به دستگاه» (Device-Bound) بودند؛ مانند کلیدهای سخت‌افزاری YubiKey. اگر سخت‌افزار را گم می‌کردید، کلید را هم برای همیشه از دست می‌دادید. اما برای اینکه کلیدهای عبور برای استفاده روزمره صدها میلیون کاربر عادی مناسب باشند، شرکت‌هایی مانند اپل، گوگل و توسعه‌دهندگان برنامه‌های مدیریت رمز عبور، مفهوم «کلیدهای عبور همگام‌سازی شده» (Synced Passkeys) را معرفی کردند. در این حالت، کلید خصوصی شما به شدت رمزگذاری شده و در فضای ابری (مانند iCloud Keychain یا Google Password Manager) پشتیبان‌گیری می‌شود تا در صورت خرید گوشی جدید، به راحتی بازیابی شود.[3]

این همگام‌سازی ابری، دقیقاً همان مصالحه‌ای است که پذیرش گسترده و جهانی این فناوری را ممکن کرد. در واقع، صنعت فناوری امنیت مطلقِ محدود به یک قطعه سخت‌افزار فیزیکی را با راحتی در بازیابی حساب کاربری معاوضه کرده است. اگرچه کلیدها در فضای ابری به صورت رمزگذاری شده (End-to-End) نگهداری می‌شوند و حتی خود اپل یا گوگل هم نمی‌توانند آن‌ها را بخوانند، اما شما اکنون برای محافظت از کل هویت دیجیتال خود، به امنیت حساب اصلی اپل یا گوگل خود اعتماد کرده‌اید. علاوه بر این، انتقال یک کلید عبور از اکوسیستم اپل به اکوسیستم گوگل هنوز فرآیندی پر از اصطکاک است که نشان می‌دهد این «استاندارد جهانی و باز»، همچنان درگیر دیوارهای انحصاری شرکت‌هاست و خروج از یک اکوسیستم را برای کاربران دشوار می‌کند.[3]

با وجود تمام این محدودیت‌های اکوسیستمی و مصالحه‌های امنیتی، گذار به استاندارد WebAuthn و استفاده از کلیدهای عبور، بدون شک مهم‌ترین و بزرگترین ارتقای امنیتی در تاریخ وب محسوب می‌شود. این تغییر بنیادین، بار سنگین امنیت را از حافظه خطاپذیر و خسته انسان برداشته و بر دوش قطعیت بی‌نقص ریاضیات و تراشه‌های سیلیکونی می‌گذارد. ما سرانجام در حال عبور از دوران تاریک «اسرار مشترک» (Shared Secrets) هستیم؛ دورانی که در آن امنیت ما به مخفی نگه داشتن یک کلمه وابسته بود. اگرچه ممکن است بازاریابی شرکت‌های فناوری این گذار را بیش از حد ساده و رویایی جلوه دهد، اما رمزنگاری زیربنایی آن به شکلی غیرقابل انکار، مستحکم، هوشمندانه و قابل اعتماد است.[1][3]