کلیدهای عبور؛ چگونه جایگزین رمزهای عبور می‌شوند و در برابر فیشینگ مقاوم‌اند
رمز عبور باید هم برای شما و هم برای وب‌سایت معلوم باشد و همین دقیقاً باعث می‌شود که بتوان آن را دزدید. کلید عبور برای جلوگیری از این مشکل طراحی شده است: چیزی برای تایپ‌کردن یا به‌خاطر سپردن وجود ندارد و سایت جعلی هم نمی‌تواند چیزی را جمع‌آوری کند و دوباره به کار ببرد.
در ادامه می‌خوانید کلید عبور چیست، ورود با آن چگونه انجام می‌شود، چرا در برابر فیشینگ مقاوم است و در چه مواردی همچنان به خودتان وابسته است.
کلید عبور چیست
به گفته FIDO Alliance، گروه صنعتی پشتیبان این استاندارد، کلید عبور یک اعتبارنامه است که به شما اجازه می‌دهد با همان روشی که دستگاهتان را باز می‌کنید، وارد یک برنامه یا وب‌سایت شوید؛ مانند اثر انگشت، اسکن چهره، PIN یا الگو. این کلید به حساب شما در یک سایت مشخص متصل است و جایگزین رمز عبور و در بیشتر موارد، کد اضافی می‌شود.
در پشت صحنه، کلید عبور یک جفت کلید رمزنگاری است. وب‌سایت کلید عمومی را ذخیره می‌کند که به‌تنهایی کاربردی ندارد، و کلید خصوصی روی دستگاه شما باقی می‌ماند. برای هر سایت یک جفت کلید جدید ساخته می‌شود؛ بنابراین برخلاف رمز عبور، نمی‌توان از یک کلید عبور در چند سرویس استفاده کرد.
ورود با کلید عبور چگونه انجام می‌شود
وقتی وارد حساب می‌شوید، وب‌سایت یک چالش یک‌بارمصرف به دستگاهتان می‌فرستد. دستگاه از شما می‌خواهد آن را با داده زیستی یا PIN باز کنید، سپس با استفاده از کلید خصوصی، چالش را امضا می‌کند و پاسخ امضاشده را برمی‌گرداند. وب‌سایت امضا را با کلید عمومی ذخیره‌شده بررسی می‌کند و اجازه ورود می‌دهد. NCSC، آژانس ملی امنیت سایبری بریتانیا، همین روند را توضیح می‌دهد؛ در این روند، کلید خصوصی هرگز با وب‌سایت یا مرورگر به اشتراک گذاشته نمی‌شود.
FIDO می‌گوید هنگام ورود هیچ داده شخصی یا زیستی منتقل نمی‌شود. اثر انگشت یا اسکن چهره فقط به‌صورت محلی برای بازکردن کلید روی دستگاه شما استفاده می‌شود.
چرا کلیدهای عبور در برابر فیشینگ مقاوم‌اند
تفاوت اصلی این است که کلید عبور به دامنه سایت واقعی متصل است. NCSC توضیح می‌دهد که ابزار احراز هویت FIDO فقط اعتبارنامه‌هایی را ارائه می‌کند که با سایتی که واقعاً در آن هستید مطابقت دارند و این بررسی را مرورگر یا برنامه مورداعتماد شما انجام می‌دهد؛ بنابراین یک صفحه جعلی نمی‌تواند بر آن اثر بگذارد. هیچ رمز عبور یا کدی وجود ندارد که یک سایت مشابه بتواند آن را بدزدد.
NCSC این روش را با عوامل دومرحله‌ای سنتی مقایسه می‌کند و می‌گوید همه آن‌ها، از جمله کدهای برنامه‌های احراز هویت، در برابر مهاجمانی آسیب‌پذیرند که ورود را در لحظه از طریق یک صفحه جعلی منتقل می‌کنند؛ اما اعتبارنامه‌های FIDO2 چنین نیستند. این سازمان همچنین گزارش داد که تا زمان نگارش، هیچ حمله‌ای به خود احراز هویت FIDO2 در دنیای واقعی مشاهده نشده بود؛ هرچند مهاجمان تلاش می‌کنند حساب‌ها را به روش‌های جایگزین ضعیف‌تر سوق دهند. به همین دلیل، ضعیف‌ترین گزینه ورود که همچنان برای یک حساب فعال است اهمیت دارد.
کلیدهای عبور همگام‌شده و متصل به دستگاه
کلیدهای عبور به دو شکل وجود دارند. از یک کلید عبور همگام‌شده از طریق یک سرویس همگام‌سازی نسخه پشتیبان تهیه می‌شود و روی دستگاه‌های دیگر شما نیز در دسترس است؛ بنابراین گم‌شدن یک دستگاه به معنی ازدست‌دادن دسترسی نیست. کلید عبور متصل به دستگاه، مانند کلیدی که روی یک کلید امنیتی فیزیکی ذخیره شده، فقط روی همان دستگاه باقی می‌ماند و نمی‌توان آن را کپی کرد.
هرکدام مزایا و ملاحظات خود را دارند. NCSC توصیه می‌کند از حساب مرتبط با سرویس همگام‌سازی در برابر فیشینگ محافظت کنید و راه امنی برای بازیابی آن داشته باشید. این سازمان همچنین اشاره می‌کند که بررسی‌اش از سرویس‌های اصلی همگام‌سازیِ ارائه‌شده توسط خود پلتفرم‌ها در سال 2025 نشان داد که برای ذخیره کلیدهای عبور، احراز هویت دومرحله‌ای الزامی بود؛ درحالی‌که شرایط سرویس‌های شخص ثالث متفاوت بود. درباره کلیدهای عبور متصل به دستگاه، این سازمان می‌گوید کاربران باید یک کلید پشتیبان ثبت کنند، چون کلید گم‌شده قابل بازیابی نیست.
کلیدهای عبور چه کاری انجام نمی‌دهند
کلید عبور از مرحله ورود محافظت می‌کند، نه از همه چیزهای دیگر. اگر کسی به دستگاه شما دسترسی داشته باشد و PIN ضعیفی داشته باشید، این کلید کمکی نمی‌کند. NCSC همچنین اشاره می‌کند که بازیابی حساب اغلب از خودِ ورود ضعیف‌تر است و مهاجمان آن را هدف می‌گیرند. کلید عبور، کلید کیف پول رمزارزی هم نیست. این کلید شما را وارد یک حساب می‌کند، درحالی‌که عبارت بازیابی یا کلید خصوصی کیف پول، دارایی‌های یک کیف پول خودحضانتی را کنترل می‌کند و کلید عبور نمی‌تواند از هیچ‌یک از آن‌ها محافظت کند یا جایگزینشان شود.
یادآوری WEEX: کلید عبور عبارت بازیابی نیست
WEEX به کاربران یادآوری می‌کند که کلید عبور شما را وارد یک حساب می‌کند، درحالی‌که عبارت بازیابی یا کلید خصوصی، کیف پول خودحضانتی را کنترل می‌کند. هرگز عبارت بازیابی را در صفحه‌ای که برای «تأیید» یا «بازیابی» کلید عبور آن را می‌خواهد وارد نکنید و آن را با هیچ‌کس، حتی افرادی که می‌گویند از پشتیبانی هستند، به اشتراک نگذارید. برای دستگاه‌هایتان PIN قدرتمندی انتخاب کنید، گزینه‌های بازیابی حساب را به‌روز نگه دارید و پیش از ورود، نشانی سایت را بررسی کنید. مطالب اینجا توصیه مالی نیستند.
جمع‌بندی
کلید عبور یک راز مشترک را با یک جفت کلید جایگزین می‌کند؛ بنابراین وب‌سایت چیزی در اختیار ندارد که بتوان آن را دزدید و دوباره به کار برد و سایت جعلی هم چیزی برای جمع‌آوری ندارد. این ویژگی آن را به یکی از قوی‌ترین روش‌های ورود موجود برای حساب‌های شخصی تبدیل می‌کند. بااین‌حال، این روش همچنان به دستگاهی امن، حساب همگام‌سازی محافظت‌شده و مسیر بازیابی مناسبی وابسته است و هیچ کاری برای عبارت بازیابی کیف پول انجام نمی‌دهد.
سؤالات متداول
1. کلید عبور چیست؟
کلید عبور یک اعتبارنامه FIDO است که به شما اجازه می‌دهد به‌جای رمز عبور، با همان داده زیستی، PIN یا الگویی که برای بازکردن دستگاهتان استفاده می‌کنید، وارد یک برنامه یا وب‌سایت شوید.
2. تفاوت کلید عبور با رمز عبور چیست؟
رمز عبور یک راز مشترک است که آن را تایپ می‌کنید و سایت ذخیره‌اش می‌کند. کلید عبور یک جفت کلید است که فقط کلید عمومی آن در سایت قرار دارد؛ برای هر حساب جداگانه ساخته می‌شود و روی دستگاه شما باز می‌شود.
3. آیا کلید عبور نوعی احراز هویت دومرحله‌ای است؟
وقتی ورود به داده زیستی یا PIN شما نیاز دارد، چیزی که دارید، یعنی کلید روی دستگاهتان، با چیزی که هستید یا می‌دانید ترکیب می‌شود. FIDO می‌گوید این روش می‌تواند جایگزین یک کد جداگانه شود و NCSC آن را معادل احراز هویت دومرحله‌ای ارزیابی می‌کند.
4. آیا می‌توان با فیشینگ کلید عبور را به‌دست آورد؟
این روش برای مقاومت در برابر فیشینگ طراحی شده است، چون به دامنه سایت واقعی متصل است. مهاجمان ممکن است همچنان تلاش کنند حساب را به یک روش جایگزین ضعیف‌تر سوق دهند؛ بنابراین سایر گزینه‌های ورود حساب اهمیت دارند.
5. اگر دستگاهی را که کلید عبورم روی آن است گم کنم، چه می‌شود؟
کلید عبور همگام‌شده روی دستگاه‌های دیگرِ همان حساب همگام‌سازی در دسترس است یا می‌توان با بازیابی آن حساب روی دستگاه جدید، دوباره به آن دسترسی پیدا کرد. کلید عبور متصل به دستگاه قابل کپی‌کردن نیست؛ بنابراین به یک کلید پشتیبان یا روش بازیابی دیگری نیاز دارید.
سودده‌ها
