کلیدهای عبور (Passkeys) در سال ۲۰۲۵: نکاتی برای کاربران حرفه ‌ای

این راهنما به بررسی استفاده از کلیدهای عبور (Passkeys) برای ورود به سیستم از کامپیوتر دیگران، ذخیره آن‌ ها روی دستگاه‌ های قابل حمل، و انتقال آن ‌ها بین دستگاه ‌های مختلف می‌ پردازد.

شرکت ایده ارتباط تراشه (نماینده رسمی محصولات کسپرسکی در ایران): در راهنمای جامع ما درباره‌ کلیدهای عبور (Passkeys) تاکنون بررسی کردیم که چگونه می ‌توان رمزهای عبور را در ترکیب ‌های رایج سیستم‌ عامل‌ های اندروید، iOS ،macOS و ویندوز کنار گذاشت. این بخش از راهنما بر چند مورد خاص و مهم تمرکز دارد:

• ورود یک ‌باره به حساب کاربری خود از دستگاه دیگران
• نکاتی برای کاربرانی که مدام بین گوشی‌ و کامپیوتر جا به‌ جا می ‌شوند.
• روش ‌های محافظت از حساب کاربری هنگام فعال بودن ورود با رمز عبور پشتیبان
• مشکلات احتمالی هنگام سفرهای بین ‌المللی
• آنچه هنگام استفاده از مرورگرها و سیستم ‌عامل ‌های کمتر شناخته ‌شده رخ می‌ دهد.

اگر لازم باشد از یک کامپیوتر در کتابخانه، فرودگاه یا خانه یکی از آشنایان به حساب کاربری محافظت ‌شده با کلید عبور وارد شوید، چه باید کرد؟ برای به خاطر سپردن رمز عبور پشتیبان خود عجله نکنید.

فرآیند ورود را روی کامپیوتر آغاز کنید: نام کاربری خود را وارد کنید و در صورت درخواست، روی گزینه "ورود با کلید عبور" کلیک کنید. یک کد QR روی صفحه ظاهر می‌ شود که باید با گوشی هوشمندی که کلید عبور در آن ذخیره شده، آن را اسکن کنید. در صورت موفقیت ‌آمیز بودن اسکن، کد QR ناپدید شده و شما به حساب خود وارد خواهید شد.

برای اینکه این فرایند ظاهرا ساده به ‌خوبی انجام شود، چند عامل باید فراهم باشند:

• کامپیوتر باید از فناوری بلوتوث کم‌ مصرف (Bluetooth Low Energy یا BLE) پشتیبانی کند، تا اطمینان حاصل شود که گوشی هوشمند و کامپیوتر واقعا در نزدیکی هم هستند.
• سیستم‌ عامل و مرورگر کامپیوتر باید از کلیدهای عبور پشتیبانی کنند.
• هر دو دستگاه، کامپیوتر و گوشی هوشمند، باید اتصال اینترنت پایدار و قابل اعتمادی داشته باشند.

اگر اغلب از دستگاه ‌های مختلف به حساب ‌های خود دسترسی دارید، استفاده از کلیدهای عبور از طریق کدهای QR ممکن است برایتان ناراحت‌ کننده باشد. در این صورت می ‌توانید کلیدهای عبور خود را نه روی کامپیوتر یا گوشی هوشمند، بلکه روی یک کلید امنیتی سخت‌ افزاری USB مانند یو بی کی (YubiKey)، کلید امنیتی گوگل تیتان (Google Titan Security Key) یا دستگاه مشابه ذخیره کنید تا ورود ایمن به وب‌ سایت ‌ها برایتان فراهم شود. هنگام ایجاد کلید عبور، کافی است گزینه ذخیره روی کلید سخت ‌افزاری را انتخاب کنید. سپس می ‌توانید با اتصال این توکن امنیتی به هر کامپیوتر یا گوشی هوشمند، وارد حساب خود شوید.

فقط مطمئن شوید که کلید امنیتی شما از پورت ‌های مناسب (USB-A ،USB-C ،Lightning) یا پشتیبانی از NFC برخوردار است تا با همه دستگاه ‌های شما سازگار باشد. برخی مدل ‌ها حتی دارای حسگر اثر انگشت هستند که لایه حفاظتی اضافی در برابر سرقت حساب، در صورت گم‌ شدن یا سرقت دستگاه، فراهم می ‌کند.

متاسفانه یک محدودیت وجود دارد: بسیاری از مدل‌ های قدیمی و محبوب توکن ‌ها فقط می ‌توانند حداکثر 25 کلید عبور را ذخیره کنند. تنها چند مدل پیشرفته - مانند YubiKey با نسخه فریمور 5.7 - این محدودیت را تا 100 کلید افزایش داده ‌اند.

علاوه بر این، توسعه دهندگان سیستم عامل ها کلیدهای عبور را فرصتی عالی برای وابسته تر کردن کاربران به اکوسیستم خود می دانند. به طور پیش فرض و بسته به نوع گوشی هوشمندی که استفاده می کنید، معمولا از شما خواسته می شود که کلید عبور را در iCloud Keychain (برای کاربران اپل) یا Google Password Manager (برای کاربران اندروید) ذخیره کنید. در نتیجه، گزینه استفاده از کلید امنیتی سخت‌ افزاری ممکن است در عمق تنظیمات و گزینه ها پنهان شده باشد و کاربر حتی متوجه نشود چنین گزینه ای وجود دارد. این موضوع می تواند مانعی برای کاربران حرفه ای باشد که به دنبال کنترل کامل بر امنیت و جا به‌ جایی کلیدهای عبور خود هستند.

برای ایجاد یک کلید عبور روی یک توکن سخت افزاری، معمولا باید در دستگاه‌ های macOS یا iOS روی لینک نه‌ چندان واضح "گزینه های دیگر" (Other options) کلیک کنید، یا در اندروید گزینه "دستگاه دیگر" (Different device) را انتخاب نمایید تا بتوانید گزینه استفاده از کلید امنیتی سخت افزاری را مشاهده و انتخاب کنید.

در حال حاضر یکی از بزرگ‌ ترین دردسرها زمانی رخ می‌ دهد که همه کلیدهای عبور خود را در فضای پیش فرض گوشی هوشمندتان ذخیره کرده باشید و بخواهید اکوسیستم را تغییر دهید - مثلا از Android به iOS بروید یا بالعکس. در حال حاضر، هیچ یک از سه توسعه دهنده بزرگ سیستم عامل - گوگل، اپل یا مایکروسافت - اجازه انتقال مستقیم کلیدهای عبور را نمی دهند. دلیل این موضوع آن است که هیچ‌ کدام نمی توانند امنیت کامل این فرایند را تضمین کنند. البته اپل و گوگل در حال کار روی امکان‌ پذیر کردن این قابلیت برای آینده هستند، اما اگر همین امروز تصمیم بگیرید گوشی خود را عوض کنید - مثلا از یک آیفون به گوشی گوگل پیکسل بروید - انتقال کلیدهای عبور فرایندی ساده و مستقیم نخواهد بود.

• ابتدا باید در دستگاه جدید خود به حسابی که با کلید عبور محافظت شده وارد شوید. این کار را می توانید به دو روش انجام دهید:
• استفاده از رمز عبور قدیمی (در صورتی که هنوز فعال باشد)
• اسکن کردن یک کد QR با دستگاه قدیمی که کلید عبور فعال روی آن ذخیره شده است.
• سپس باید یک کلید عبور جدید در دستگاه جدید خود ایجاد و ذخیره کنید. بله، برای هر وب سایت یا سرویس آنلاین می‌ توانید چندین کلید عبور داشته باشید.
• در نهایت، اگر قصد دارید دستگاه قدیمی را کنار بگذارید یا واگذار کنید، حتما کلید عبور قدیمی را از آن حذف کنید.

برای جلوگیری از این دردسرها، بهترین راه این است که از همان ابتدا از یک مدیر رمز عبور و کلید عبور شخص ثالث استفاده کنید. به‌ عنوان مثال، در کسپرسکی پسورد منیجر (Kaspersky Password Manager) پشتیبانی از کلیدهای عبور در حال حاضر برای ویندوز فعال است، پشتیبانی از اندروید برای ژوئیه 2025 برنامه ریزی شده و نسخه‌ های iOS و macOS نیز در ماه اوت 2025 این قابلیت را دریافت خواهند کرد.

بیشتر سرویس های آنلاین که امکان استفاده از کلید عبور را فراهم کرده اند، معمولا روش های دیگر ورود به حساب، مانند رمز عبور را غیرفعال نمی‌ کنند. بنابراین اگر پیش از فعال سازی کلید عبور، حساب شما با رمزی ضعیف یا لو رفته محافظت می شده، مهاجمان سایبری همچنان می توانند بدون نیاز به کلید عبور جدید و ایمن شما، با همان رمز قدیمی وارد حساب شوند.

استفاده از کلید عبور برای حسابی که همچنان رمز ضعیفی دارد، مانند نصب یک درِ ضدگلوله جلوی خانه است، در حالی که درِ پشتی خانه باز و کلید زیر پادری پنهان شده است.

به همین دلیل، پیش از فعال سازی کلید عبور برای هر سرویس آنلاین، اکیدا توصیه می کنیم که رمز عبور حساب خود را نیز تغییر دهید. از آنجا که این رمز عبور را دیگر به طور روزمره وارد نخواهید کرد - بلکه تنها به‌ عنوان پشتیبان برای ورود در صورت نیاز استفاده می‌ شود - می توانید تا حد امکان آن را پیچیده و قدرتمند انتخاب کنید. منظور ما رمزهای قوی با حداقل 16 کاراکتر است که ترکیبی از حروف بزرگ و کوچک، اعداد و نمادهای خاص باشند؛ رمزهایی که در عمل تقریبا غیرقابل شکستن هستند. ایده آل است که این رمز قدرتمند را در همان مدیر رمز عبوری ذخیره کنید که قرار است کلیدهای عبور شما را نیز نگه داری کند. برای ساخت رمزهای عبور پیچیده به مدل های هوش مصنوعی تکیه نکنید. تحقیقات اخیر ما نشان داده که اگرچه این رمزها ظاهرا پیچیده‌ اند، اما مدل‌ های زبانی بزرگ (LLM ها) تمایل دارند به طور ناخواسته از کاراکترهای خاصی بیش از حد استفاده کنند، که این موضوع می‌ تواند رمز تولید شده را به طور غیر منتظره‌ ای قابل پیش بینی کند.

استاندارد WebAuthn که زیرساخت فنی کلیدهای عبور را تشکیل می دهد، بسته به مرورگرها و سیستم عامل‌ های مختلف، می تواند به روش‌ های کاملا متفاوتی پیاده سازی شود. همچنین، وب‌ سایت‌ ها نیز اغلب این قابلیت را به‌ شیوه‌ ای خاص و سفارشی سازی‌ شده در سرویس های خود ادغام می‌ کنند. نتیجه آن است که حتی کاربران حرفه ای نیز ممکن است با چالش هایی گیج کننده و آزار دهنده رو به رو شوند. در ادامه چند نمونه از این مشکلات آورده شده است:

• هنگام ایجاد کلید عبور در ویندوز، پنجره های استاندارد این سیستم‌ عامل گزینه‌ های متعددی برای انتخاب محل ذخیره ارائه می‌ دهند. به‌ طور پیش فرض، ویندوز کلید عبور را در حافظه محلی امن کامپیوتر ذخیره می کند. اگر در زمان ذخیره سازی، محل مورد نظر خود (مثلا مدیر رمز عبور شخص ثالث) را انتخاب نکنید، آن کلید عبور فقط در همان دستگاه قابل استفاده خواهد بود.
• بسیاری از سرویس های آنلاین مانند Kayak یا AliExpress ده ها نسخه منطقه ای دارند که هر کدام یک وب سایت جداگانه هستند: com ،.com.tr ،.co.uk. و غیره. اگر کلید عبور را برای نسخه محلی یک سایت ایجاد کنید و بعدا بخواهید وارد نسخه ای دیگر از همان سرویس شوید، احتمال زیادی وجود دارد که نتوانید با آن کلید عبور وارد شوید.
• برخی وب سایت ها در مرورگر فایرفاکس امکان ایجاد یا ورود با کلید عبور را فراهم نمی کنند، صرف‌ نظر از اینکه از چه سیستم‌ عاملی استفاده می کنید. این در حالی است که از نظر فنی، هیچ ناسازگاری خاصی وجود ندارد و گاهی با ترفندهایی ساده می‌ توان مشکل را رفع کرد، اما مشخص نیست چرا کاربران باید مجبور به چنین راهکارهای غیررسمی شوند.
• برخی از کاربران اپل گزارش داده‌ اند که کلیدهای عبور ذخیره‌ شده در Keychain به‌ صورت دوره‌ ای ناپدید می شوند. در سوی دیگر، برخی کاربران اندروید نیز عنوان کرده اند که برای فعال سازی کلید عبور مجبور به ریست فکتوری یا نصب مجدد سیستم عامل شده اند.

هر یک از این وضعیت‌ ها وقتی بدتر می شود که متوجه می‌ شویم خطاهای مربوط به ایجاد یا ورود با کلیدهای عبور معمولا در مستندات راهنما یا اصلا توضیح داده نمی‌ شوند، یا بسیار مبهم توصیف شده اند. در بسیاری از موارد، کاملا مشخص نیست که چگونه باید مشکل را رفع کرد. با این حال، زمانی که مشکلات مربوط به کلمه عبور بروز می کند، تقریبا همیشه وب‌ سایت ها یک گزینه پشتیبان ارائه می دهند - مثلا ارسال یک کد یک بار مصرف به ایمیل کاربر.

با وجود این چالش‌ ها، آینده ای بدون رمز عبور و مبتنی بر کلیدهای عبور، به‌ سرعت در حال نزدیک شدن است. ما توصیه می کنیم که از همین حالا برای این آینده آماده شوید:

• در هر وب سایتی که این امکان را فراهم کرده، کلید عبور ایجاد کنید.
• آن ها را در مدیر رمز عبور مطمئن - کسپرسکی پسورد منیجر (Kaspersky Password Manager) - ذخیره نمایید.
• به طور منظم رمزهای عبور پشتیبان و اطلاعات تماس خود را بررسی و به روزرسانی کنید تا در صورت بروز مشکل با کلید عبور، همچنان امکان بازیابی دسترسی به حساب خود را داشته باشید.