انتشر مؤخرًا حديث حول أن تقنيات «Passkeys» ما هي إلا ‘فخ’ يجب تجنبه، ودعوات للعودة إلى طرق التوثيق القديمة مثل رموز TOTP وكلمات المرور. تسببت هذه المزاعم في إثارة العديد من التساؤلات بين مطوري الويب ومستخدميه حول مدى أمان هذه التقنية الحديثة.
«Passkeys» المزامنة لا تُقدم توثيقًا معمقًا
لكن برأينا، هذه المخاوف لا تتطابق مع طريقة عمل «Passkeys» في الواقع. فغالبية المستخدمين يعتمدون على «Passkeys» المزامنة المخزنة في أدوات مثل iCloud Keychain أو Google Password Manager أو 1Password. هذه المفاتيح لا تُقدم لأي موقع إلكتروني بيان توثيق (attestation statement) يُكشف عن تفاصيل نظام التشغيل أو الجهاز.
إذا قرر موقع استهلاكي فجأة أن يقبل فقط «Passkeys» الموثقة (attested Passkeys)، فسيؤدي ذلك إلى حرمان الغالبية العظمى من مستخدميه من الوصول. في الواقع، تُشير التوجيهات للمواقع الاستهلاكية منذ سنوات إلى عدم طلب التوثيق بالأساس.
فهم التوثيق ومزايا «Passkeys» الأمنية
يصف البعض التوثيق بأنه إثبات لاستخدام مدير «Passkey» ونظام تشغيل وبرامج ثابتة معتمدة، وهذا ليس صحيحًا. عندما يكون التوثيق موجودًا، فإنه يخبر الموقع فقط بنوع وموديل جهاز المصادقة (authenticator) من خلال معرّف AAGUID، مع سلسلة شهادات من البائع لدعم ذلك. لا يُكشف أي شيء عن نظام التشغيل أو المتصفح أو الإضافات أو ما إذا كان هاتفك مُخترقًا أو مكسور الحماية.
حتى توصية بعض المنتقدين باستخدام مفاتيح أمان صلبة مثل YubiKey لتجنب ‘التوثيق على مستوى نظام التشغيل’ تُعد مُضللة. مفاتيح YubiKey هي تحديدًا من بين أدوات المصادقة التي تُقدم التوثيق، وكل منها يأتي بشهادة توثيق صادرة عن Yubico. تُستخدم هذه الميزة تحديدًا في بيئات الشركات لطلب استخدام مفاتيح أجهزة معتمدة.
في المقابل، رغم أن TOTP أفضل من كلمة المرور وحدها، إلا أنه يعاني من ضعف كبير: إمكانية إدخال الرمز في موقع إلكتروني خاطئ أو موقع تصيد. تُستخدم مجموعات أدوات التصيد مثل Evilginx لسرقة بيانات الاعتماد ورموز TOTP في الوقت الفعلي. هذه ليست مجرد نظرية، بل هي الطريقة التي تحدث بها أعداد هائلة من عمليات الاستيلاء على الحسابات اليوم.
هنا يكمن الحل الذي تُقدمه «Passkeys». فالمفتاح مرتبط بالاسم النطاق الذي تم إنشاؤه من أجله. لذلك، لن يستخدم متصفحك «Passkey» الخاص بموقع example.com على موقع examp1e.com. لا يوجد رمز يتم قراءته ولا مجال للمستخدم لارتكاب الخطأ. هذا يجعل «Passkeys» مُقاومة لهجمات التصيد والاحتيال بشكل فعال.
ما الذي يعنيه هذا للمطورين والمصممين؟
بالنسبة للمطورين والمصممين، نرى أن «Passkeys» تُقدم حاليًا أفضل حل متاح لحماية حسابات المستخدمين. استخدامها يقلل بشكل كبير من مخاطر التصيد والاحتيال مقارنة بكلمات المرور أو حتى TOTP. لذا، شجعوا على اعتمادها وتوفيرها كخيار أساسي للتوثيق على منصاتكم.
على الرغم من المخاوف حول التوثيق، فإنه لم يتم تطبيقه على نطاق واسع في المواقع الاستهلاكية، والمقدمون الكبار لا يدعمونه بهذه الطريقة المقلقة. تجنب «Passkeys» اليوم لا يوفر أي حماية إضافية، بل يترك المستخدمين أكثر عرضة لهجمات التصيد. برأينا، يجب أن نتبنى التقنيات التي تُعزز أمان المستخدم وتُبسط تجربته في آن واحد.
المصدر: scotthelme.co.uk