لماذا أصبحت مفاتيح المرور Passkeys خيارًا عمليًا بدل كلمات المرور؟
كلمات المرور خدمت الإنترنت لعقود، لكنها تحمل مشكلة أساسية: السر الذي يثبت هويتك يمكن كتابته في موقع مزيف أو تسريبه من قاعدة بيانات أو إعادة استخدامه في أكثر من خدمة. لهذا ظهرت مفاتيح المرور، المعروفة باسم Passkeys، كطريقة تسجيل دخول تعتمد على مفاتيح تشفير بدل كلمة سر مشتركة بين المستخدم والخدمة. الفكرة تبدو تقنية، لكن استخدامها اليومي غالبًا أبسط من حفظ عشرات كلمات المرور.
عند إنشاء مفتاح مرور، يُنشئ جهازك زوجًا من المفاتيح: مفتاحًا خاصًا يبقى لديك ومفتاحًا عامًا تحفظه الخدمة. عند تسجيل الدخول، ترسل الخدمة تحديًا ويستخدم جهازك المفتاح الخاص لإثبات هويتك من دون إرسال المفتاح نفسه. هذه البنية تعني أن الخادم لا يحتاج إلى تخزين كلمة مرور يمكن سرقتها واستخدامها مباشرة.
ميزة مهمة هي مقاومة التصيد. معيار WebAuthn المستخدم مع تقنيات FIDO يربط بيانات المصادقة بالموقع الصحيح. عندما يحاول مهاجم تقليد صفحة تسجيل الدخول على نطاق مختلف، لا يعمل مفتاح المرور بالطريقة نفسها لأن الاعتماد مرتبط بالخدمة الأصلية. هذا يختلف عن كلمة المرور التي يمكن للمستخدم كتابتها يدويًا في صفحة مزيفة تبدو مقنعة.
في الاستخدام اليومي، يفتح المستخدم مفتاح المرور بالطريقة التي يفتح بها جهازه عادة، مثل بصمة الإصبع أو التعرف على الوجه أو رمز PIN. البيانات البيومترية لا تُرسل إلى الموقع؛ الفحص يتم محليًا على الجهاز، بينما تحصل الخدمة على إثبات نجاح المصادقة. هذا مهم لأن كثيرين يعتقدون خطأ أن بصمتهم تنتقل إلى كل موقع يستخدم Passkeys.
توجد مفاتيح مرور متزامنة بين أجهزة المستخدم عبر مزود موثوق، كما توجد مفاتيح مرتبطة بجهاز أو مفتاح أمان مادي. الاختيار يعتمد على مستوى الحماية والراحة المطلوبة. المزامنة تسهّل الانتقال بين الهاتف والحاسوب، بينما قد تفضل مؤسسات أو مستخدمون ذوو احتياجات أمنية عالية مفاتيح مرتبطة بأجهزة محددة أو مفاتيح أمان مستقلة.
هل يعني ذلك أن كلمات المرور انتهت؟ ليس بعد. كثير من الخدمات ما زالت في مرحلة انتقالية، وبعضها يقدم مفتاح المرور إلى جانب كلمة المرور، وقد تعتمد عملية استرداد الحساب على وسائل تقليدية. هذه نقطة مهمة لأن أمن تسجيل الدخول لا يكون أقوى من أضعف طريق يسمح بالوصول إلى الحساب. إذا كانت عملية الاسترداد تعتمد على أسئلة سهلة أو بريد غير محمي، فإن مفتاح المرور وحده لا يحل كل المشكلة.
عند تفعيل Passkeys، من الحكمة حماية حساب النظام أو مدير بيانات الاعتماد نفسه. إذا كانت مفاتيحك متزامنة عبر حساب رئيسي، فهذا الحساب يصبح مهمًا للغاية. استخدم حماية قوية له، وفعّل وسائل الاسترداد الموثوقة، واحتفظ بطريقة بديلة إذا فقدت جهازك. الشركات يجب أن تخطط كذلك لحالات فقدان الأجهزة أو مغادرة الموظفين أو استبدال الحواسيب.
هناك فرق بين Passkeys ورموز التحقق المرسلة عبر SMS أو تطبيق المصادقة. الرمز المؤقت يضيف طبقة ثانية، لكنه قد يظل قابلًا للتصيد إذا أقنع المهاجم المستخدم بإدخاله في الوقت نفسه. مفاتيح المرور المصممة وفق FIDO تستهدف مقاومة هذا النوع من الهجمات لأنها تعتمد على ارتباط التحقق بالموقع نفسه بدل مجرد امتلاك رقم مؤقت.
من ناحية الراحة، تختفي مشكلة اختيار كلمة مرور جديدة وفق شروط معقدة أو إعادة استخدامها أو نسيانها. لكن التجربة قد تختلف بين الأنظمة والمتصفحات، وقد يواجه المستخدم ارتباكًا عندما يملك أكثر من مزود لمفاتيح المرور. لذلك من الأفضل اختيار مدير بيانات اعتماد رئيسي وفهم طريقة المزامنة والاسترداد بدل إنشاء المفاتيح بصورة عشوائية عبر عدة خدمات.
إذا كانت خدمة مهمة لك تدعم Passkeys بصورة ناضجة، فإن تفعيلها خطوة جيدة، خصوصًا للحسابات التي تتعرض لمحاولات تصيد متكررة مثل البريد والحسابات المهنية. ومع ذلك، احرص على مراجعة إعدادات الاسترداد والأجهزة المصرح بها دوريًا. التقنية تقلل مخاطر مهمة، لكنها لا تلغي الحاجة إلى إدارة الحساب بعناية.
التحول من كلمات المرور لن يحدث في يوم واحد، لكنه يسير في اتجاه واضح: إثبات الهوية عبر مفاتيح تشفير فريدة لكل خدمة أكثر أمانًا من مشاركة سر يمكن نسخه. بالنسبة للمستخدم العادي، القيمة ليست في فهم كل تفاصيل التشفير، بل في الحصول على تسجيل دخول أسرع مع مقاومة أفضل للتصيد وتسريب كلمات المرور.