Passkey-lər: parolları necə əvəz edir və fişinqə necə müqavimət göstərir

Parolu həm siz, həm də vebsayt bilməlidir və məhz bu, onun oğurlana bilməsinə səbəb olur. Passkey bu problemin qarşısını almaq üçün yaradılıb: yazmalı, yadda saxlamalı olduğunuz heç nə yoxdur və saxta saytın toplayıb yenidən istifadə edə biləcəyi məlumat da mövcud deyil.

Passkey-in nə olduğunu, onunla hesabınıza necə daxil olunduğunu, fişinqə niyə davamlı olduğunu və hələ də hansı məqamlarda sizin diqqətinizdən asılı qaldığını izah edirik.

Passkey nədir

Bu standartın arxasında duran sənaye qrupu FIDO Alliance-ın məlumatına görə, passkey tətbiqə və ya vebsayta cihazınızın kilidini açmaq üçün istifadə etdiyiniz üsulla — məsələn, barmaq izi, üz skanı, PIN və ya naxışla — daxil olmağa imkan verən identifikasiya məlumatıdır. O, konkret saytdakı hesabınıza bağlıdır və həm parolu, həm də əksər hallarda əlavə kodu əvəz edir.

Texniki baxımdan passkey kriptoqrafik açar cütündən ibarətdir. Vebsayt özlüyündə heç bir işə yaramayan açıq açarı saxlayır, şəxsi açar isə cihazınızda qalır. Hər sayt üçün yeni açar cütü yaradılır, buna görə paroldan fərqli olaraq passkey-i müxtəlif xidmətlərdə təkrar istifadə etmək mümkün deyil.

Passkey ilə hesaba giriş necə işləyir

Hesabınıza daxil olanda vebsayt cihazınıza birdəfəlik sorğu göndərir. Cihazınız biometrik məlumatınız və ya PIN ilə kilidini açmağınızı istəyir, sonra sorğunu imzalamaq üçün şəxsi açardan istifadə edir və imzalanmış cavabı geri göndərir. Vebsayt imzanı saxlanılan açıq açarla yoxlayır və hesabınıza giriş verir. Böyük Britaniyanın milli kibertəhlükəsizlik agentliyi NCSC də eyni ardıcıllığı təsvir edir və bu prosesdə şəxsi açarın heç vaxt vebsaytla və ya brauzerlə paylaşılmadığını bildirir.

FIDO-nun bildirdiyinə görə, giriş zamanı heç bir şəxsi və ya biometrik məlumat ötürülmür. Barmaq izi və ya üz skanı yalnız cihazınızdakı açarın kilidini açmaq üçün yerli olaraq istifadə edilir.

Passkey-lər niyə fişinqə davamlıdır

Əsas fərq passkey-in həqiqi saytın domeninə bağlı olmasıdır. NCSC izah edir ki, FIDO autentifikatoru yalnız daxil olduğunuz sayta uyğun etimadnamələri təqdim edir və yoxlama etibar etdiyiniz brauzer və ya tətbiq tərəfindən aparılır, buna görə saxta səhifə bu prosesə təsir göstərə bilmir. Bənzər görünən saytın ələ keçirə biləcəyi parol və ya kod yoxdur.

NCSC bunu ənənəvi ikinci autentifikasiya faktorları ilə müqayisə edir və autentifikator tətbiqlərindəki kodlar da daxil olmaqla, onların hamısının real vaxt rejimində saxta səhifə vasitəsilə giriş məlumatlarını ötürən hücumçular qarşısında həssas olduğunu, FIDO2 etimadnamələrinin isə belə olmadığını bildirir. Agentlik həmçinin yazının hazırlandığı vaxta qədər FIDO2 autentifikasiyasının özünə qarşı real hücumların qeydə alınmadığını, lakin hücumçuların hesabları daha zəif ehtiyat giriş üsullarına keçirməyə çalışdıqlarını qeyd edib. Buna görə hesabda hələ də aktiv olan ən zəif giriş üsulu da əhəmiyyət daşıyır.

Sinxronlaşdırılan və cihaza bağlı passkey-lər

Passkey-lər iki formada olur. Sinxronlaşdırılan passkey sinxronizasiya xidməti vasitəsilə ehtiyat nüsxələnir və digər cihazlarınızda da əlçatan olur, buna görə bir cihazı itirmək hesaba girişi itirmək demək deyil. Fiziki təhlükəsizlik açarında saxlanılan passkey kimi cihaza bağlı passkey isə yalnız həmin cihazda qalır və kopyalana bilmir.

Hər birinin öz üstünlükləri və çatışmazlıqları var. NCSC sinxronizasiya xidmətinin arxasında duran hesabı fişinqdən qorumağı və onu bərpa etmək üçün təhlükəsiz üsul saxlamağı tövsiyə edir. Agentlik qeyd edir ki, 2025-ci ildə əsas birinci tərəf sinxronizasiya xidmətlərini nəzərdən keçirərkən passkey saxlamaq üçün onların iki faktorlu autentifikasiya tələb etdiyini, üçüncü tərəf xidmətlərində isə tələblərin fərqli olduğunu müəyyən edib. Cihaza bağlı passkey-lərlə bağlı isə itirilmiş açarı bərpa etmək mümkün olmadığı üçün istifadəçilərin ehtiyat açar qeydiyyatdan keçirməli olduğunu bildirir.

Passkey-lər nəyi təmin etmir

Passkey hər şeyi deyil, yalnız hesaba giriş mərhələsini qoruyur. Kimdəsə cihazınız və zəif PIN-iniz varsa, o sizə kömək edə bilməz. NCSC qeyd edir ki, hesabın bərpası çox vaxt giriş prosesinin özündən daha zəif olur və hücumçuların hədəfindədir. Passkey həmçinin kripto pul kisəsinin açarı deyil. O, hesaba daxil olmağınızı təmin edir, özünümühafizə olunan pul kisəsindəki vəsaitlərə isə seed phrase və ya şəxsi açar nəzarət edir; passkey bunların heç birini qoruya və ya əvəz edə bilməz.

WEEX xatırladır: passkey seed phrase deyil

WEEX istifadəçilərə xatırladır ki, passkey hesaba daxil olmağınızı təmin edir, seed phrase və ya şəxsi açar isə özünümühafizə olunan pul kisəsinə nəzarət edir. Passkey-i “təsdiqləmək” və ya “bərpa etmək” üçün seed phrase istəyən heç bir səhifəyə onu yazmayın və dəstək əməkdaşı olduğunu deyənlər də daxil olmaqla, heç kimlə paylaşmayın. Cihazlarınızda güclü PIN istifadə edin, hesabın bərpa seçimlərini yeniləyin və daxil olmamışdan əvvəl saytın ünvanını yoxlayın. Buradakı məlumatlar maliyyə məsləhəti deyil.

Nəticə

Passkey paylaşılan gizli məlumatı açar cütü ilə əvəz edir. Beləliklə, vebsayt oğurlanıb yenidən istifadə oluna biləcək məlumat saxlamır, saxta saytın isə toplaya biləcəyi heç nə olmur. Buna görə də şəxsi hesablara giriş üçün mövcud olan ən güclü üsullardan biridir. Bununla belə, passkey təhlükəsiz cihazdan, qorunan sinxronizasiya hesabından və etibarlı bərpa üsulundan asılıdır və pul kisəsinin seed phrase-inə heç bir təsiri yoxdur.

Tez-tez verilən suallar

1. Passkey nədir?
Passkey parol əvəzinə cihazınızın kilidini açmaq üçün istifadə etdiyiniz biometrik məlumat, PIN və ya naxışla tətbiqə və ya vebsayta daxil olmağa imkan verən FIDO etimadnaməsidir.

2. Passkey paroldan nə ilə fərqlənir?
Parol sizin yazdığınız və saytın saxladığı paylaşılan gizli məlumatdır. Passkey açar cütüdür: saytda yalnız açıq açar saxlanılır, hər hesab üçün ayrıca yaradılır və cihazınızda kiliddən açılır.

3. Passkey iki faktorlu autentifikasiyadır?
Giriş üçün biometrik məlumatınız və ya PIN tələb olunanda cihazınızdakı açar — sahib olduğunuz bir şey — özünüz olduğunuz və ya bildiyiniz bir şeylə birləşir. FIDO bunun ayrıca kodu əvəz edə biləcəyini bildirir, NCSC isə onu iki faktorlu autentifikasiyaya ekvivalent hesab edir.

4. Passkey fişinqə məruz qala bilərmi?
Passkey həqiqi saytın domeninə bağlı olduğu üçün fişinqə davamlı olmaq məqsədilə hazırlanıb. Hücumçular hesabı daha zəif ehtiyat giriş üsuluna keçirməyə yenə də cəhd edə bilər, buna görə hesabdakı digər giriş seçimləri də əhəmiyyətlidir.

5. Passkey olan cihazı itirsəm nə baş verir?
Sinxronlaşdırılan passkey eyni sinxronizasiya hesabındakı digər cihazlarda əlçatan olur və ya yeni cihazda həmin hesabı bərpa etməklə geri qaytarıla bilər. Cihaza bağlı passkey kopyalana bilmir, buna görə ehtiyat açar və ya başqa bərpa üsulu lazımdır.