استفاده از رمزهای عبور را کنار گذاشتم و به کلیدهای عبور روی آوردم؛ جایگزینی امنتر و سریعتر. از آن زمان، شمار این کلیدها پیوسته افزایش یافته و بنا بر گزارش ائتلاف FIDO، اکنون به پنج میلیارد رسیده است. اما این رشد، شکافی در پوشش را پنهان میکند: کلیدهای عبور فعلاً گزینهای ممتاز در کنار رمزهای عبورند، نه جایگزینی کامل برای آنها.
چرا کلیدهای عبور هنوز کاملاً جای رمزهای عبور را نگرفتهاند
استفاده رو به افزایش است، اما شکاف هنوز بسته نشده
آمارها از پیروزی کلیدهای عبور خبر میدهند. اکنون حدود ۴۸ درصد از ۱۰۰ وبسایت برتر از آنها پشتیبانی میکنند و بیش از دوسوم مصرفکنندگان دستکم در جایی یکی را فعال کردهاند. هرگاه کلیدهای عبور درست کار کنند، دادههای FIDO در سال ۲۰۲۵ نرخ موفقیت ورود را ۹۳ درصد اعلام میکند؛ در برابر ۶۳ درصد برای روشهای دیگر. همچنین ورود با آنها حدود ۷۳ درصد سریعتر انجام میشود.
با این همه، برای بیشتر مردم رمز عبور همچنان رایجترین راه ورود است. چرا؟ بزرگترین مانع بر سر راه جایگزینی کامل رمزهای عبور با کلیدهای عبور، رمزنگاری نیست؛ مسئله از همان لحظهای آغاز میشود که از دستگاهی که همهچیز روی آن تنظیم شده، فاصله میگیرید. فیس آیدی در آیفون من بیدردسر به نظر میرسد، اما کافی است سراغ لپتاپ محل کار یا رایانهٔ مشترک خانواده بروید تا این روانی خیلی زود از میان برود. بارها ناچار شدهام کد QR را اسکن کنم، در صفحهای دیگر درخواستی را تأیید کنم یا صرفاً حدس بزنم کلید عبور موردنیازم در کدام خزانه است: iCloud یا Google Password Manager.
این موضوع را در هفتهای که یک گوشی را راهاندازی میکردم، از همیشه روشنتر دیدم. کلیدهای عبور گوگل و مایکروسافت من که روی لپتاپ ساخته شده بودند، اصلاً آنجا نبودند. ناچار شدم به رمز عبورم برگردم تا فقط بتوانم آنقدر وارد حساب شوم که یک کلید عبور تازه برای دستگاه جدید ثبت کنم؛ کاری که برای سامانهای که قرار است از جایگزینش راحتتر باشد، حس یک گام رو به عقب دارد.
ائتلاف FIDO میکوشد با استانداردهای تازهٔ «تبادل اعتبارنامه» این شکاف را پر کند؛ استانداردهایی که سرانجام اجازه میدهند کلیدهای عبور را میان مدیرهای رمز عبور جابهجا کنید، بهجای آنکه هرجا نخستین بار ساخته شدهاند، همانجا گیر بیفتند. این راهحلی واقعی است، اما هنوز پلتفرمبهپلتفرم در حال عرضه است و تا زمانی که به همه نرسد، رمز عبور تنها شیوهٔ ورود است که همهجا، هر بار و بینیاز از هیچ تنظیمی کار میکند.
چرا دارندگان کلید عبور هنوز به رمز عبور برمیگردند
آرامشِ روال آشنای ورود
حتی پس از آنکه هرجا توانستم کلید عبور تنظیم کردم، باز هم گاهی از روی عادت خودم را در حال تایپ رمز عبور میبینم. مسئله این نیست که کلید عبور شکست خورده؛ روال قدیمی فقط زودتر اعتماد آدم را جلب میکند. برای رمز عبور فراموششده راهحلی هست که همه از بر میدانند: روی «رمز عبور را فراموش کردهاید» کلیک کنید، ایمیلتان را بررسی کنید، آن را بازنشانی کنید و تمام. کلیدهای عبور هنوز چنین حافظهٔ عادتواری را در کاربران ایجاد نکردهاند؛ به همین دلیل، نخستین پرسش بیشتر مردم این است: «اگر گوشیام را گم کنم، چه میشود؟»
این تردید کاملاً هم بیمنطق نیست. NCSC فرایند بازیابی را در کلیدهای عبور خطری واقعی میداند، زیرا مهاجمان میتوانند بهجای تلاش برای دزدیدن خودِ اعتبارنامه، مسیر بازیابی را هدف بگیرند. هنگام پژوهش برای این مطلب، خودم نیز با شکلی از همین مسئله روبهرو شدم: بزرگترین دردسر کلیدهای عبور هرگز ورود روزمره نبوده است؛ بلکه سازوکارهای زیرین آن است ــ حساب همگامسازی، روش بازیابی و زیستبوم دستگاهها ــ که فقط وقتی گوشیتان از کار میافتد یا پلتفرم عوض میکنید، به آنها فکر میکنید.
موضوع دیگر، اعتمادی است که هر بار با یک تجربهٔ بد آسیب میبیند. یک برنامه روند کلید عبور را با یک ضربه بینقص انجام میدهد؛ برنامهٔ بعدی کد QR یا مرحلهای ناآشنا پیش رویتان میگذارد و ناگهان تمام این ایده از آنچه باید باشد، کمپیشبینیتر به نظر میرسد. این ناهمگونی به مردم یاد میدهد به روش تازه بیاعتماد باشند، هرچند کلیدهای عبور هنگام کارکردن، بیشتر از رمزهای عبور موفق میشوند. مسئله شکست فنی کلیدهای عبور نیست؛ مسئله این است که بهمحض نامطمئن شدن چیزی، مردم به روش ورودی بازمیگردند که بیست سال به آن اعتماد کردهاند.
چرا حتی وبسایتهای «آمادهٔ کلید عبور» هم رمز عبور میخواهند
واجد شرایط بودن، با ثبتنام کردن یکی نیست
دادههای FIDO در سال ۲۰۲۵ نشان میدهد ۹۳ درصد حسابهای کاربری از نظر فنی واجد شرایط استفاده از کلید عبورند، اما فقط برای ۳۶ درصد آنها کلید عبور تنظیم شده و تنها ۲۶ درصد ورودها با آن انجام میشود. یک وبسایت میتواند خود را آمادهٔ کلید عبور بنامد، چون زیرساختش از نظر فنی آن را پشتیبانی میکند؛ در حالی که بیشتر کاربران واقعیاش هنوز کلید عبور ثبت نکردهاند. در نتیجه، درخواست رمز عبور تنها گزینهای است که برای آنها کار میکند.
وبسایتها همچنین عمداً رمزهای عبور را بهعنوان تور ایمنی نگه میدارند. از آنجا که با ورود کلیدهای عبور، بازیابی حساب اهمیت بیشتری پیدا میکند ــ زیرا مهاجمان ممکن است همان مسیر جایگزین را هدف بگیرند ــ بیشتر سرویسها جانب احتیاط را نگه میدارند و بهجای بازنشسته کردن کامل آن، امکان ورود با رمز عبور را حفظ میکنند. در روند فعلی عرضه، هیچچیز کسی را وادار نمیکند پس از افزودن کلیدهای عبور، رمزها را حذف کند؛ این دو روی هم قرار میگیرند و وبسایت در هر صورت میتواند خود را مدرن بنامد.
بنابراین یک وبسایت میتواند با افتخار از کلیدهای عبور پشتیبانی کند، اما همچنان کادر گذرواژه را بهعنوان راهِ جایگزین همگانی برای حدود سهچهارم ورودهایی نگه دارد که هنوز با کلید عبور انجام نمیشوند. تا وقتی استفاده از کلیدهای عبور به همان اندازهٔ تایپکردن گذرواژه عادی و قابلپیشبینی نشود، وبسایتها هر انگیزهای دارند که این راه را باز نگه دارند.
کلیدهای عبور آیندهاند، هرچند هنوز اندکی فاصله دارند
با رسیدن شمار کلیدهای عبور به پنج میلیارد، دیگر نمیتوانم آن را فناوریای دوردست بدانم. این راهکاری امروزی و کاربردی برای جایگزینی گذرواژه است؛ راهکاری که همزمان امنیت مرا بیشتر میکند و مسئولیت حقوقی ارائهدهنده را نیز کاهش میدهد. فقط گذرواژهها هنوز خروج خود را کامل نکردهاند.
منبع: این مطلب ترجمه و بومیسازی مقالهای از MakeUseOf به قلم Tashreef Shareef است. مشاهده مقاله اصلی