کلید عبور (Passkey) چیست و چطور حساب‌های گوگل، اپل و مایکروسافت را امن‌تر کنیم؟
مقدمه
رمزهای عبور تکراری، پیامک‌های تأیید و کدهای یک‌بارمصرف همچنان راه‌های رایج ورود به حساب‌ها هستند؛ اما همگی می‌توانند هدف فیشینگ، افشای رمز یا سوءاستفاده از سیم‌کارت قرار بگیرند. کلید عبور یا Passkey روشی جدیدتر برای ورود است که به‌جای تایپ رمز، از قفل صفحه دستگاه شما مانند اثر انگشت، تشخیص چهره یا PIN استفاده می‌کند.
کلید عبور برای هر وب‌سایت یا اپلیکیشن به‌صورت اختصاصی ساخته می‌شود و به دامنه همان سرویس وابسته است؛ بنابراین صفحه جعلی نمی‌تواند کلید عبور ساخته‌شده برای سایت اصلی را دریافت کند. با این حال، Passkey جایگزین همه تنظیمات امنیتی نیست: رمز بازیابی، روش‌های ورود جایگزین و بررسی دستگاه‌های متصل به حساب همچنان اهمیت دارند.
کلید عبور دقیقاً چیست؟
Passkey بر پایه استانداردهای FIDO و رمزنگاری کلید عمومی کار می‌کند. هنگام ساخت آن، دستگاه یک جفت کلید رمزنگاری ایجاد می‌کند: کلید خصوصی در سازوکار امن دستگاه یا مدیر اعتبارنامه می‌ماند و سرویس آنلاین فقط کلید عمومی را دریافت می‌کند. در ورودهای بعدی، دستگاه با تأیید شما پاسخ رمزنگاری‌شده می‌سازد؛ پس لازم نیست رمزی را به سایت وارد کنید.
نکته مهم این است که اثر انگشت یا داده چهره شما به وب‌سایت ارسال نمی‌شود. این اطلاعات فقط برای باز کردن قفل همان دستگاه و اجازه استفاده از کلید عبور به کار می‌رود. FIDO و اپل توضیح می‌دهند که کلیدهای عبور برای هر حساب و سرویس یکتا هستند و در برابر صفحات فیشینگ، نسبت به رمزهای معمولی مقاومت بیشتری دارند.
پیش از فعال‌سازی چه چیزهایی را بررسی کنیم؟
- قفل صفحه را جدی بگیرید: PIN ساده، الگوی قابل‌حدس یا ثبت‌نشدن اثر انگشت امن نیست. Passkey به امنیت قفل خود دستگاه تکیه دارد.
- فقط روی دستگاه شخصی بسازید: روی لپ‌تاپ محل کار، گوشی امانتی، کافی‌نت یا دستگاه خانوادگی کلید عبور ذخیره نکنید؛ مگر آن‌که گزینه ذخیره روی گوشی شخصی خودتان را انتخاب کنید.
- حساب اصلی را ایمن کنید: چون همگام‌سازی کلیدهای عبور معمولاً به حساب گوگل، Apple Account یا مدیر رمز وابسته است، برای همان حساب رمز یکتا و تأیید دومرحله‌ای داشته باشید.
- راه بازیابی را حذف نکنید: ایمیل بازیابی، شماره تلفن به‌روز و کدهای بازیابی را بررسی کنید. Passkey ورود را ساده می‌کند، اما برای روزی که دستگاهتان در دسترس نیست باید مسیر بازیابی معتبر داشته باشید.
- به نام سایت دقت کنید: Passkey در برابر فیشینگ مزیت دارد، اما یک صفحه جعلی هنوز ممکن است شما را برای واردکردن رمز قدیمی یا کد بازیابی فریب دهد. آدرس سرویس را پیش از هر ورود بررسی کنید.
فعال‌سازی کلید عبور در اندروید و حساب گوگل
در اندروید، کلیدهای عبور می‌توانند در Google Password Manager یا یک مدیر اعتبارنامه سازگار دیگر مانند Samsung Pass ذخیره شوند. مسیر دقیق در گوشی‌ها ممکن است متفاوت باشد، اما معمولاً از تنظیمات با جست‌وجوی عبارت‌هایی مانند «Passwords»، «Passkeys» یا «Password Manager» قابل دسترسی است.
- قفل صفحه گوشی را فعال کنید و سیستم‌عامل و مرورگر را به‌روز نگه دارید.
- وارد سایت یا اپلیکیشنی شوید که Passkey را پشتیبانی می‌کند.
- در تنظیمات امنیت یا هنگام ورود، گزینه‌ای مانند «Create a passkey» یا «Use a passkey» را انتخاب کنید.
- درخواست ذخیره را فقط پس از اطمینان از نام سرویس و محل ذخیره تأیید کنید.
- با اثر انگشت، تشخیص چهره یا PIN گوشی، ساخت کلید را تأیید کنید.
برای حساب گوگل، صفحه تنظیمات Passkeys در بخش «Security & sign-in» امکان مشاهده و حذف کلیدهای ثبت‌شده را فراهم می‌کند. گوگل اعلام می‌کند ایجاد Passkey، عوامل بازیابی و تأیید دومرحله‌ای فعلی را حذف نمی‌کند. اگر گوشی گم شد یا کلیدی روی دستگاه مشترک ساخته شد، کلید عبور مربوط را از تنظیمات حساب گوگل حذف و نشست‌های آن دستگاه را نیز بررسی کنید.
فعال‌سازی در آیفون و آیپد
در اکوسیستم اپل، کلیدهای عبور برای سایت‌ها و اپ‌هایی که از آن پشتیبانی می‌کنند در اپ Passwords و iCloud Keychain مدیریت می‌شوند. برای همگام‌سازی بین دستگاه‌های خود، باید با یک Apple Account وارد باشید، iCloud Keychain و تأیید دومرحله‌ای را فعال کرده باشید.
- ابتدا به سایت یا اپ پشتیبان Passkey وارد شوید.
- در بخش تنظیمات حساب یا پنجره پیشنهادی سرویس، گزینه ساخت یا ذخیره Passkey را انتخاب کنید.
- درخواست را با Face ID، Touch ID یا رمز عبور دستگاه تأیید کنید.
- برای ورودهای بعدی، نام حساب پیشنهادی را انتخاب و با روش بازکردن قفل دستگاه تأیید کنید.
اگر با رایانه‌ای خارج از اکوسیستم اپل کار می‌کنید، برخی سرویس‌ها گزینه ورود با «دستگاه نزدیک» را نشان می‌دهند و یک QR Code نمایش می‌دهند. در این حالت، فقط وقتی ادامه دهید که خودتان فرآیند ورود را روی رایانه آغاز کرده‌اید؛ سپس QR Code را با آیفون شخصی اسکن کنید. برای چنین ورود میان‌دستگاهی، بلوتوث معمولاً برای تأیید نزدیک‌بودن دستگاه‌ها لازم است.
ویندوز، مک و ورود میان دستگاه‌ها
در ویندوز می‌توان Passkey را با Windows Hello، یک مدیر رمز همگام‌ساز یا کلید امنیتی فیزیکی FIDO2 ذخیره کرد. در مک نیز iCloud Keychain و روش‌های قفل دستگاه نقش مشابهی دارند. اگر گوشی و لپ‌تاپ شما از دو اکوسیستم متفاوت هستند، به‌جای ساخت کلیدهای پراکنده روی هر دستگاه، ابتدا تصمیم بگیرید مدیر اصلی اعتبارنامه‌تان کدام است.
| نیاز شما | انتخاب مناسب‌تر |
|---|---|
| چند دستگاه اندرویدی و کروم | Google Password Manager یا مدیر سازگار منتخب شما |
| آیفون، آیپد و مک | iCloud Keychain و اپ Passwords |
| رایانه ویندوزی شخصی | Windows Hello یا مدیر اعتبارنامه همگام‌ساز |
| حساب بسیار حساس یا نیاز سازمانی | کلید امنیتی فیزیکی سازگار با FIDO2، در کنار روش‌های بازیابی |
همگام‌سازی به معنی بی‌نیازی از احتیاط نیست. اگر Passkey را در یک مدیر همگام‌ساز ذخیره می‌کنید، از قفل قوی و تأیید دومرحله‌ای برای همان حساب ابری استفاده کنید. همچنین ممکن است سیاست سازمان یا دانشگاه، استفاده از Passkey را محدود یا به روش مشخصی وابسته کرده باشد.
اگر گوشی یا لپ‌تاپ گم شد چه کنیم؟
اولویت با محافظت از حساب اصلی و قطع دسترسی دستگاه است، نه صرفاً تغییر رمز یک سایت. از یک دستگاه مطمئن این کارها را انجام دهید:
- از بخش مدیریت دستگاه‌های حساب گوگل، اپل یا مایکروسافت، دستگاه گم‌شده را پیدا و در صورت نیاز از حساب خارج کنید.
- Passkeyهای منتسب به آن دستگاه را در تنظیمات سرویس‌های مهم حذف کنید؛ به‌ویژه ایمیل، حساب‌های مالی، فضای ابری و شبکه‌های اجتماعی.
- رمز حساب اصلی و هر رمز مهمی را که احتمال افشایش وجود دارد تغییر دهید.
- روش‌های بازیابی، شماره تلفن و ایمیل بازیابی را بازبینی کنید.
- اگر احتمال سرقت وجود دارد، قابلیت‌های رسمی یافتن یا پاک‌سازی از راه دور دستگاه را فعال کنید و با اپراتور درباره سیم‌کارت اقدام کنید.
اگر Passkey در یک مدیر اعتبارنامه همگام‌ساز ذخیره شده باشد، گم‌شدن یک دستگاه لزوماً به معنی از دست‌رفتن کلید نیست؛ اما تا زمانی که دسترسی دستگاه گم‌شده را قطع نکرده‌اید، نباید این موضوع را بدیهی فرض کنید.
اشتباه‌های رایج هنگام استفاده از Passkey
- ساخت Passkey روی دستگاه مشترک: هرکس بتواند قفل آن دستگاه را باز کند، ممکن است وارد حساب شود.
- حذف رمز و روش بازیابی بدون برنامه: بعضی سرویس‌ها هنوز برای تغییرات حساس یا بازیابی، رمز یا روش دیگری می‌خواهند.
- تکیه کامل به پیامک: پیامک می‌تواند مسیر بازیابی باشد، اما بهتر است تنها لایه امنیتی حساب‌های مهم نباشد.
- نادیده‌گرفتن هشدارهای ورود: اعلان ورود جدید، افزودن Passkey یا تغییر ایمیل بازیابی را فوراً بررسی کنید.
- فرض پشتیبانی همه سرویس‌ها: اگر گزینه Passkey را نمی‌بینید، احتمالاً آن وب‌سایت یا اپ هنوز از آن پشتیبانی نمی‌کند؛ برای فعال‌سازی، به نسخه‌های غیررسمی یا افزونه‌های ناشناس اعتماد نکنید.
جمع‌بندی
کلید عبور راهی عملی برای کم‌کردن وابستگی به رمزهای تکراری و افزایش مقاومت در برابر فیشینگ است؛ اما بهترین نتیجه زمانی به دست می‌آید که آن را در کنار قفل قدرتمند دستگاه، تأیید دومرحله‌ای، اطلاعات بازیابی به‌روز و بررسی دوره‌ای دستگاه‌های متصل استفاده کنید. برای شروع، Passkey را ابتدا روی حساب اصلی گوگل، اپل یا مایکروسافت و فقط روی گوشی یا لپ‌تاپ شخصی خود فعال کنید؛ سپس به‌تدریج حساب‌های مهم دیگری را که پشتیبانی می‌کنند به این روش منتقل کنید.
برای جزئیات فنی و دستورالعمل‌های رسمی، راهنماهای FIDO Alliance، Google Account Help، Apple Support و Microsoft Support را ببینید.
