پس‌کی‌ها در آگاهی برنده شدند؛ بازیابی حساب هنوز مشکل حل‌نشده است
پس‌کی‌ها (passkey) موفقیتی تبلیغاتی داشته‌اند که تقریباً هر فناوری امنیتی آن را آرزو می‌کند: آگاهی گسترده و سریع مصرف‌کنندگان. بر اساس گزارش وضعیت پس‌کی‌های ۲۰۲۶ اتحادیه FIDO که توسط Descope خلاصه شده، آگاهی مصرف‌کنندگان از ۷۵ درصد در ۲۰۲۵ به ۹۰ درصد در ۲۰۲۶ جهش کرد — تغییری قابل‌توجه برای فناوری که تا سه سال پیش شناخت عمومی چندانی نداشت. اپل، گوگل و مایکروسافت همگی درخواست‌های پس‌کی را به فرآیند اصلی ورود خود اضافه کرده‌اند و سایت‌های بزرگ از بانک‌ها تا پلتفرم‌های اجتماعی اکنون آن را به‌عنوان گزینه پیش‌فرض ارائه می‌دهند.
با این حال، پیاده‌سازی‌های سازمانی همچنان روی یک مشکل یکسان متوقف می‌شوند: وقتی کسی دستگاهی که پس‌کی او روی آن قرار دارد را از دست می‌دهد، چه اتفاقی می‌افتد. در بررسی‌های سازمان‌هایی که موانع مشخصی برای پذیرش پس‌کی ذکر کرده‌اند، نگرانی درباره گم‌شدن دستگاه و بازیابی حساب یکی از موانع اصلی است که توسط حدود یک‌سوم سازمان‌ها ذکر شده. فناوری‌ای که قرار بود رمز عبور را از بین ببرد، در اکثر پیاده‌سازی‌های واقعی، فرآیند بازیابی‌ای دارد که همچنان به‌طور پنهان به رمز عبور متکی است.
چرا بازیابی به‌طور ساختاری با ورود متفاوت است
یک پس‌کی یک جفت کلید رمزنگاری‌شده است که به یک دستگاه متصل شده (یا بین اکوسیستم دستگاه‌های کاربر از طریق iCloud Keychain، Google Password Manager یا مشابه، همگام‌سازی شده است). همین اتصال دقیقاً چیزی است که پس‌کی‌ها را در برابر فیشینگ مقاوم می‌کند — رازی مشترک برای دزدیده‌شدن وجود ندارد، چون کلید خصوصی هرگز دستگاه را ترک نمی‌کند. اما این به این معنا هم هست که از دست‌دادن تمام دستگاه‌هایی که کلید را در خود داشته‌اند، یا هرگز همگام‌سازی نکردن آن، بدون هیچ خطایی در رعایت بهداشت امنیتی، شما را از دسترسی محروم می‌کند.
پاسخ صادقانه صنعت، بر اساس مرکز ملی امنیت سایبری بریتانیا (NCSC)، این است که اتحادیه FIDO و صنعت گسترده‌تر فعالانه روی مشکل بازیابی کار می‌کنند، اما این موضوع «هنوز به‌طور مؤثر پذیرفته و استقرار نیافته» به‌عنوان یک مسئله حل‌شده است. در عمل، بیشتر سرویس‌ها به دقیقاً همان مکانیزم‌هایی بازمی‌گردند که پس‌کی‌ها برای جایگزینی آن‌ها وجود دارند: بازنشانی رمز عبور، کد پیامکی، سوال مبتنی بر دانش، یا کارمند پشتیبانی که هویت را به‌صورت دستی تأیید می‌کند. هر یک از این مسیرهای جایگزین، سطح حمله‌ای را که پس‌کی‌ها در سمت ورود بسته بودند، دوباره باز می‌کند.
مهاجمان قبلاً تغییر مسیر داده‌اند
این موضوع نظری نیست. NCSC به‌طور خاص اشاره می‌کند که مهاجمان تمرکز خود را به‌سوی ضعف‌های موجود در بازیابی حساب و درخواست‌های بازنشانی تغییر داده‌اند، از جمله کمپین‌های فیشینگ که به‌جای اطلاعات ورود مستقیم، کدهای بازیابی را هدف قرار می‌دهند. این حرکتی قابل‌پیش‌بینی است: اگر درِ ورودی به‌طور چشمگیری سخت‌تر برای باز کردن شود، مهاجمان به‌دنبال کلید یدکی پنهان‌شده زیر فرش می‌روند — و اکنون، مسیر بازیابی معمولاً دقیقاً همان است. یک تماس مهندسی اجتماعی به میز پشتیبانی که کارمند را برای بازنشانی دسترسی حساب متقاعد می‌کند، یا یک کد بازیابی فیش‌شده، کاملاً از محافظت پس‌کی عبور می‌کند بدون آنکه هرگز با پس‌کی تماس داشته باشد.
بازیابی خوب واقعاً چه شکلی دارد
پیاده‌سازی‌هایی که بهترین عملکرد را دارند، به‌جای تکیه بر یک مسیر جایگزین واحد، یک الگوی مشترک دارند: ثبت چندین پس‌کی روی چند دستگاه مختلف از همان ابتدا (تا از‌دست‌دادن یک دستگاه به معنای از‌دست‌دادن دسترسی نباشد)، یک کلید امنیتی سخت‌افزاری فیزیکی که به‌عنوان نسخه پشتیبان صریح نگه‌داری می‌شود نه یک فکر ثانویه، و برای سازمان‌ها، یک گردش‌کار بازیابی با میانجی‌گری مدیر که به تأیید خارج از کانال نیاز دارد نه یک ایمیل بازنشانی رمز عبور سریع. پلتفرم‌های مصرف‌کننده که پس‌کی‌ها را در اکوسیستم دستگاه همگام‌سازی می‌کنند — iCloud Keychain و Google Password Manager دو بزرگ‌ترین مورد هستند — خطر تک‌دستگاهی را به‌طور قابل‌توجهی کاهش می‌دهند، اما این به این معنا نیز هست که وضعیت بازیابی شما فقط به اندازه امنیت حساب Apple ID یا گوگل شما قوی است، که در صورت تقویت‌نشدن آن حساب، نقطه شکست واحد خودش را ایجاد می‌کند.
اگر در سال گذشته هر جا پس‌کی را فعال کرده‌اید، یک کار مشخص که ارزش انجام این هفته را دارد، ثبت یک پس‌کی دوم روی دستگاه جدا، یا افزودن یک کلید امنیتی سخت‌افزاری به‌عنوان نسخه پشتیبان است، به‌جای اینکه در زمان از‌دست‌دادن واقعی دستگاه متوجه شوید که تنها گزینه بازیابی شما همان فرآیند بازنشانی رمز عبوری است که فکر می‌کردید بازنشسته‌اش کرده‌اید. برای تیم‌های فناوری اطلاعات و امنیت که پس‌کی‌ها را در مقیاس بزرگ پیاده‌سازی می‌کنند، گردش‌کار بازیابی سزاوار همان توجه مدل‌سازی تهدید است که گردش‌کار ورود دارد — در حال حاضر، در بیشتر پیاده‌سازی‌ها، تنها بخش کوچکی از آن را دریافت می‌کند.