مفاتيح المرور انتصرت في الوعي. استعادة الحساب لا تزال المشكلة غير المحلولة.

حققت مفاتيح المرور (passkeys) نجاحاً تسويقياً يحلم به تقريباً كل تقنية أمنية: وعي استهلاكي واسع وسريع. وفقاً لتقرير حالة مفاتيح المرور لعام 2026 من تحالف FIDO، كما لخّصته Descope، ارتفع وعي المستهلكين من 75% في 2025 إلى 90% في 2026 — تحول لافت لتقنية لم تكن تحظى بتعرف واسع قبل ثلاث سنوات فقط. دفعت Apple و Google و Microsoft جميعها مطالبات مفاتيح المرور إلى تدفقات تسجيل الدخول الأساسية لديها، وتقدمها الآن المواقع الكبرى من البنوك إلى منصات التواصل الاجتماعي كخيار افتراضي.

ومع ذلك، تستمر عمليات النشر المؤسسي في التوقف عند نفس المشكلة: ماذا يحدث عندما يفقد شخص الجهاز الذي يحمل مفتاح مروره. في استطلاعات المؤسسات التي تذكر عقبات محددة لتبني مفاتيح المرور، تُصنَّف المخاوف المتعلقة بفقدان الجهاز واستعادة الحساب من بين أكبر العقبات، مذكورة من قِبل حوالي ثلث المؤسسات. التقنية التي كان من المفترض أن تقتل كلمة المرور لها عملية استعادة تعتمد بصمت، في معظم عمليات النشر الفعلية، على كلمة مرور.

لماذا تختلف الاستعادة بنيوياً عن تسجيل الدخول

مفتاح المرور هو زوج مفاتيح تشفير مرتبط بجهاز واحد (أو مُزامَن عبر منظومة أجهزة المستخدم عبر iCloud Keychain أو Google Password Manager أو ما شابه). هذا الارتباط هو بالضبط ما يجعل مفاتيح المرور مقاومة للتصيد — فلا يوجد سر مشترك يمكن سرقته، لأن المفتاح الخاص لا يترك الجهاز أبداً. لكنه يعني أيضاً أن فقدان كل الأجهزة التي تحمل المفتاح، أو عدم مزامنته أبداً، يقفل عليك دون أي خطأ في النظافة الأمنية.

الإجابة الصادقة من الصناعة، وفقاً للمركز الوطني للأمن السيبراني البريطاني (NCSC)، هي أن تحالف FIDO والصناعة الأوسع يعملان بنشاط على مشكلة الاستعادة، لكنها «لم تُقبَل وتُؤسَّس بفعالية بعد» كمسألة محلولة. في الممارسة، تعود معظم الخدمات إلى الآليات نفسها التي وُجدت مفاتيح المرور لتحل محلها: إعادة تعيين كلمة المرور، رمز عبر الرسائل النصية، سؤال معرفي، أو وكيل دعم يتحقق من الهوية يدوياً. كل واحد من هذه المسارات البديلة يعيد فتح سطح الهجوم الذي أغلقته مفاتيح المرور على جانب تسجيل الدخول.

المهاجمون غيّروا مسارهم بالفعل

هذا ليس نظرياً. يشير NCSC بالتحديد إلى أن المهاجمين يحوّلون تركيزهم نحو نقاط الضعف في استعادة الحساب وطلبات إعادة التعيين، بما في ذلك حملات التصيد التي تستهدف رموز الاستعادة بدلاً من بيانات تسجيل الدخول مباشرة. إنها خطوة متوقعة: إذا أصبح الباب الأمامي أصعب بشكل كبير على الفتح، يبحث المهاجمون عن المفتاح الاحتياطي المخفي تحت السجادة — والآن، مسار الاستعادة هو عادةً ذلك المفتاح بالضبط. مكالمة هندسة اجتماعية لمكتب الدعم تُقنع وكيل الدعم بإعادة تعيين الوصول إلى الحساب، أو رمز استعادة مُصطاد عبر التصيد، يتجاوز حماية مفتاح المرور تماماً دون لمس مفتاح المرور أبداً.

كيف تبدو الاستعادة الجيدة فعلياً

تشترك عمليات النشر الأفضل أداءً في نمط مشترك، بدلاً من الاعتماد على مسار بديل واحد: تسجيل عدة مفاتيح مرور عبر أجهزة متعددة منذ البداية (حتى لا يعني فقدان جهاز واحد فقدان الوصول)، مفتاح أمان مادي يُحتفظ به كنسخة احتياطية صريحة لا كفكرة لاحقة، وبالنسبة للمؤسسات، سير عمل استعادة بوساطة مسؤول يتطلب تحققاً خارج النطاق المعتاد بدلاً من بريد إعادة تعيين كلمة مرور سريع. تقلل المنصات الاستهلاكية التي تُزامن مفاتيح المرور عبر منظومة الأجهزة — iCloud Keychain و Google Password Manager هما الأكبر — من خطر الجهاز الواحد بشكل كبير، لكنها تعني أيضاً أن وضع استعادتك قوي بقدر قوة أمان حساب Apple ID أو Google الخاص بك فقط، وهو ما يخلق نقطة فشل واحدة خاصة به إذا لم يكن ذلك الحساب نفسه محصّناً.

إذا فعّلت مفاتيح المرور في أي مكان خلال العام الماضي، فإن الشيء الملموس الواحد الذي يستحق القيام به هذا الأسبوع هو تسجيل مفتاح مرور ثانٍ على جهاز منفصل، أو إضافة مفتاح أمان مادي كنسخة احتياطية، بدلاً من أن تكتشف أثناء فقدان جهاز فعلي أن خيار الاستعادة الوحيد لديك هو تدفق إعادة تعيين كلمة مرور ظننت أنك تخليت عنه. بالنسبة لفرق تكنولوجيا المعلومات والأمن التي تنشر مفاتيح المرور على نطاق واسع، يستحق سير عمل الاستعادة نفس اهتمام نمذجة التهديدات الذي يحصل عليه سير عمل تسجيل الدخول — وحالياً، في معظم عمليات النشر، لا يحصل إلا على جزء صغير منه.