نعم، مفاتيح المرور Passkeys أكثر أمانًا من كلمات المرور في معظم سيناريوهات تسجيل الدخول، والسبب لا يتعلق فقط بأنها أصعب في التخمين، بل لأنها تغيّر أصلًا طريقة إثبات هويتك. فبدل إرسال سر يمكن كتابته أو سرقته أو إعادة استخدامه، يعتمد تسجيل الدخول على زوج من المفاتيح المشفّرة، ويبقى الجزء السري داخل جهازك أو مزود مفاتيح المرور. النتيجة أن كثيرًا من الهجمات التي تستهدف كلمات المرور، خصوصًا التصيد وسرقة قواعد بيانات كلمات السر وإعادة استخدام بيانات الدخول المسربة، تصبح أقل فاعلية بكثير.
لكن هذا لا يعني أن الحساب يصبح محصنًا بصورة مطلقة. أمان الحساب يظل مرتبطًا أيضًا بحماية جهازك، وحساب مزود مفاتيح المرور، وآليات الاسترداد التي يتيحها الموقع. لذلك فالسؤال الأدق ليس: هل Passkeys آمنة؟ بل: ما الذي تحميك منه، وأين تبقى نقاط الضعف؟
الإجابة التي تحتاجها قبل تغيير طريقة تسجيل الدخول
قبل أن تكمل
- مفتاح المرور لا يرسل مفتاحك السري إلى الموقع أثناء تسجيل الدخول.
- كل مفتاح مرور مرتبط بالخدمة التي أُنشئ لها، ولذلك يصعب استخدامه في موقع تصيد مزيّف.
- تسريب قاعدة بيانات الموقع لا يكشف سرًا يمكن للمهاجم نسخه واستخدامه بالطريقة نفسها التي تحدث مع كلمات المرور.
- بصمة الإصبع أو الوجه المستخدمة لفتح مفتاح المرور تُعالج عادة على الجهاز ولا تُرسل إلى الموقع.
- مزامنة مفاتيح المرور تسهّل استخدامها على عدة أجهزة، لكنها تجعل حماية حساب المزامنة نفسه مهمة جدًا.
- الاسترداد الضعيف قد يظل طريقًا جانبيًا للمهاجم حتى لو كان تسجيل الدخول الأساسي قويًا.
وفق شرح FIDO Alliance لمفاتيح المرور، تعتمد Passkeys على بيانات اعتماد FIDO وتقنيات التشفير بالمفتاح العام، ويكون لكل خدمة زوج مفاتيح خاص بها بدل وجود سر مشترك بين المستخدم والخادم. هذه النقطة هي الفارق الجوهري بينها وبين كلمة المرور التقليدية.
ما الذي يحدث فعليًا عندما تستخدم Passkey؟
عند إنشاء مفتاح مرور لخدمة ما، يولد جهازك زوجًا من المفاتيح المشفّرة: مفتاحًا خاصًا يبقى محفوظًا لدى جهازك أو مزود مفاتيح المرور، ومفتاحًا عامًا تحتفظ به الخدمة. عند تسجيل الدخول، ترسل الخدمة تحديًا تشفيريًا، ويستخدم جهازك المفتاح الخاص لإثبات امتلاكه دون إرسال المفتاح نفسه.
لفتح المفتاح على جهازك قد تستخدم بصمة الإصبع أو التعرف على الوجه أو رمز PIN أو وسيلة تحقق محلية أخرى. هذه الوسيلة ليست هي مفتاح المرور ذاته، بل طريقة للسماح للجهاز باستخدامه. وتوضح مواصفات FIDO الرسمية أن البيانات البيومترية، عند استخدامها، تبقى على الجهاز ولا تنتقل إلى الخدمة التي تسجل الدخول إليها.
هذا التصميم يزيل مشكلة أساسية في كلمات المرور: وجود سر يعرفه المستخدم ويعرفه الموقع ويمكن نسخه أو اعتراضه أو إدخاله في المكان الخطأ. مع Passkey لا تحتاج الخدمة إلى تخزين كلمة مرور قابلة لإعادة الاستخدام، ولا يحتاج المستخدم إلى كتابة السر في صفحة تسجيل الدخول.
لماذا تقاوم مفاتيح المرور التصيد بشكل أفضل؟
التصيد التقليدي يعتمد على إقناعك بأن الصفحة المزيفة هي الصفحة الأصلية. إذا كنت تستخدم كلمة مرور، فقد تكتبها بنفسك في الموقع الخاطئ، وقد تُدخل بعد ذلك رمز تحقق لمرة واحدة في الصفحة نفسها. هنا يستطيع المهاجم الحصول على معلومات قابلة لإعادة الاستخدام أو تمريرها فورًا إلى الموقع الحقيقي.
أما مفاتيح المرور فمرتبطة باسم الخدمة أو النطاق الذي سُجلت له. ولهذا لا يستطيع موقع مزيّف يحمل عنوانًا مشابهًا أن يطلب من جهازك مفتاح المرور الخاص بالموقع الحقيقي بالطريقة المعتادة. وتؤكد Microsoft في شرحها الرسمي لمفاتيح المرور أن مفتاح المرور المرتبط بنطاق معين لا يُقدَّم إلى نطاق تصيد مختلف.
القوة الأساسية هنا ليست أن المستخدم أصبح أفضل في اكتشاف الصفحات المزيفة، بل أن آلية المصادقة نفسها ترفض استخدام بيانات الاعتماد مع الموقع غير الصحيح.
ولهذا تصنف FIDO Alliance مفاتيح المرور ضمن وسائل المصادقة المقاومة للتصيد، بينما تبقى كلمات المرور والعديد من وسائل رموز التحقق قابلة للاستهداف بهجمات التصيد إذا استطاع المهاجم إقناع المستخدم بإدخالها في المكان الخطأ.
لكن Passkeys لا تجعل الحساب غير قابل للاختراق
من الخطأ التعامل مع مفتاح المرور كأنه طبقة سحرية تلغي بقية المخاطر. فهو يحسن بصورة كبيرة جزء المصادقة، لكنه لا يحل كل مشكلة أمنية مرتبطة بالحساب أو الجهاز.
الوصول إلى جهاز مفتوح
إذا كان شخص آخر يستطيع فتح جهازك أو يعرف رمز قفله، فقد يتمكن في بعض الحالات من استخدام مفاتيح المرور المخزنة عليه. لذلك تبقى قوة قفل الجهاز، والتحديثات الأمنية، والتحكم في الأجهزة الموثوقة عناصر أساسية.
اختراق حساب مزود المزامنة
يمكن مزامنة بعض مفاتيح المرور بين الأجهزة عبر مزود موثوق، مما يحل مشكلة فقدان الهاتف أو الانتقال إلى جهاز جديد. وتوضح FIDO Alliance أن مزامنة مفاتيح المرور تستخدم حماية وتشفيرًا لدى مزودي Passkeys، لكن هذا يعني عمليًا أن حساب المزود نفسه يستحق حماية قوية ووسائل استرداد مدروسة.
مسار استرداد الحساب
قد يكون مفتاح المرور قويًا جدًا بينما يسمح الموقع بإعادة السيطرة على الحساب من خلال وسيلة أضعف، مثل بريد إلكتروني مخترق أو إجراء استرداد غير محكم. ولهذا تشير إرشادات FIDO الخاصة بمقاومة التصيد إلى أن الوصول إلى حماية شاملة يتطلب تقوية تسجيل الدخول والاسترداد معًا، وليس استبدال كلمة المرور وحدها.
Passkey أم كلمة مرور قوية مع تحقق بخطوتين؟
كلمة مرور فريدة وطويلة مع تحقق بخطوتين أفضل بكثير من كلمة مرور ضعيفة أو معاد استخدامها، لكنها لا تملك الخصائص نفسها التي تمنح Passkeys مقاومتها للتصيد. الفارق يظهر بوضوح عندما يكون المهاجم قادرًا على خداع المستخدم بواجهة تسجيل دخول مقنعة.
| المعيار | مفتاح المرور | كلمة المرور |
|---|---|---|
| التصيد | مصمم لمقاومته عبر الارتباط بالخدمة الأصلية | يمكن للمستخدم إدخالها في موقع مزيّف |
| إعادة استخدام بيانات مسربة | لكل خدمة بيانات اعتماد مستقلة | خطر مرتفع إذا أعيد استخدام الكلمة |
| سر مخزن لدى الخدمة | الخدمة تحتفظ بالمفتاح العام | تعتمد الخدمة على بيانات مشتقة من كلمة المرور |
| سهولة التذكر | لا يوجد سر طويل مطلوب حفظه | يحتاج المستخدم إلى حفظها أو استخدام مدير كلمات مرور |
| فقدان الجهاز | يعتمد على المزامنة والنسخ والاسترداد المتاح | لا ترتبط بالضرورة بجهاز محدد |
إذا كانت الخدمة توفر Passkey بصورة صحيحة، فإن استخدامها غالبًا يمنح حماية أقوى من الاعتماد على كلمة المرور وحدها، وحتى من بعض التركيبات التقليدية التي تستخدم كلمة مرور مع رمز يمكن للمستخدم إدخاله في صفحة تصيد. ولهذا تتجه جهات تقنية إلى وصف Passkeys بأنها وسيلة مصادقة مقاومة للتصيد؛ وتستخدم Microsoft مفاتيح المرور ووسائل FIDO ضمن خيارات المصادقة المقاومة للتصيد في بيئاتها المؤسسية.
متى تكون مفاتيح المرور أفضل اختيار لك؟
استخدم مفتاح المرور عندما تدعمه الخدمة وتستطيع الحفاظ على وسيلة استرداد موثوقة. وهو مفيد بصورة خاصة للحسابات التي تهمك حمايتها من التصيد أو إعادة استخدام كلمات المرور، مثل البريد الإلكتروني والحسابات التي تُستخدم لتسجيل الدخول إلى خدمات أخرى.
- فعّل Passkey من داخل إعدادات الحساب الأصلية بدل اتباع روابط تصل إليك في رسائل غير متوقعة.
- احمِ الهاتف أو الكمبيوتر برمز قفل قوي وبصمة أو وجه عند توفرها.
- راجع الأجهزة المرتبطة بحساب مزود مفاتيح المرور وأزل الأجهزة التي لم تعد تستخدمها.
- تحقق من وسائل استرداد الحساب قبل الاعتماد على Passkey وحده، خصوصًا إذا كنت تنوي إزالة كلمة المرور لاحقًا.
- إذا كانت الخدمة تسمح بإنشاء أكثر من مفتاح مرور أو وسيلة احتياطية موثوقة، فقد يساعد ذلك في تجنب فقدان الوصول عند تعطل جهاز واحد.
ولا ينبغي أن يؤدي استخدام Passkey إلى إهمال إشعارات تسجيل الدخول أو الجلسات النشطة. فإذا رأيت جهازًا أو جلسة لا تعرفها، تعامل معها باعتبارها حادثة مستقلة تحتاج إلى مراجعة حتى لو كنت تستخدم أقوى وسائل المصادقة.
الحكم الأمني الذي يمكن الاعتماد عليه
القرار العملي
- إذا كان الموقع يدعم Passkeys، فاختيارها مناسب عادة لتقليل مخاطر التصيد وسرقة كلمات المرور.
- لا تعتبرها بديلًا عن حماية الجهاز وحساب المزامنة ووسائل الاسترداد.
- لا تُبقِ كلمة مرور ضعيفة كخيار احتياطي إذا كان الحساب يسمح لك بتقوية هذا المسار.
- في الحسابات الحساسة، راجع جميع طرق الدخول والاسترداد بدل التركيز على طريقة واحدة فقط.
خطوتك التالية هي فتح إعدادات الأمان في أحد حساباتك المهمة، والتحقق مما إذا كان يدعم مفتاح مرور، ثم مراجعة وسائل الاسترداد والأجهزة الموثوقة قبل تفعيله.
قد يهمك:
- ماذا تفعل إذا ظهرت جلسة نشطة غريبة في حسابك؟
- كيف تستعيد حسابك بعد فقدان الجهاز الذي يحتوي مفتاح المرور؟
- لماذا تستمر إشعارات موقع مزعج بعد إغلاق صفحته؟
- لماذا تطلب المواقع إذن الحافظة وما خطر السماح؟
توضيحات إضافية
هل يمكن اختراق مفتاح المرور نفسه؟
لا توجد تقنية تمنع جميع أشكال الاختراق، لكن تصميم Passkeys يمنع كثيرًا من الأساليب الشائعة لسرقة بيانات الدخول. الخطر ينتقل بدرجة أكبر إلى حماية الجهاز والمزود ومسار استرداد الحساب.
هل بصمة الإصبع تُرسل إلى الموقع عند استخدام Passkey؟
لا. التحقق البيومتري يتم محليًا على الجهاز، والموقع يتلقى نتيجة المصادقة المشفرة وليس نسخة من بصمتك أو وجهك.
هل يجب حذف كلمة المرور بعد إنشاء Passkey؟
يعتمد ذلك على إعدادات الخدمة. بعض الخدمات تبقي كلمة المرور كطريقة بديلة، لذلك يجب أن تظل قوية وفريدة إذا بقيت قابلة للاستخدام.
ماذا يحدث إذا فقدت هاتفي؟
يعتمد الأمر على نوع مفتاح المرور ومزود التخزين والمزامنة. إذا كان المفتاح متزامنًا فقد يظهر على جهاز آخر موثوق، وإلا فقد تحتاج إلى وسيلة استرداد أو مفتاح مرور احتياطي.
هل Passkey أفضل من رمز SMS؟
من ناحية مقاومة التصيد، تتمتع Passkeys بميزة مهمة لأنها مرتبطة بالخدمة الأصلية ولا تطلب منك كتابة رمز يمكن نقله إلى صفحة مزيفة. ومع ذلك تبقى جودة تنفيذ الخدمة وآليات الاسترداد جزءًا من مستوى الأمان النهائي.