📣 پیامک تمدید دریافت کردید؟ برای تمدید آنلاین گواهی توکن، بدون مراجعه حضوری اینجا کلیک کنید.
تفاوت passkey و FIDO2 چیست؟
دنیای احراز هویت دیجیتال در حال گذر از یک تحول بنیادین است. سال‌هاست که رمز عبور به عنوان اصلی‌ترین ابزار تأیید هویت کاربران استفاده می‌شود، اما این روش مشکلات جدی دارد که دیگر نمی‌توان نادیده گرفت. Passkey چیست و چرا این فناوری نوین می‌تواند جایگزین مناسبی برای رمزهای عبور سنتی باشد؟ پاسخ این سؤال، آینده امنیت دیجیتال را رقم می‌زند. در این مقاله، مفهوم کلید عبور را از پایه توضیح می‌دهیم، تفاوت آن با استاندارد FIDO2 را بررسی می‌کنیم و نشان می‌دهیم چرا سازمان‌ها و کسب‌وکارهای ایرانی باید هر چه زودتر این فناوری را جدی بگیرند.
مرتضی اسدی | انتشار 8 تیر 1405
⏱ ۵ دقیقه مطالعه | 📅آخرین ویرایش: 8 تیر 1405
مرتضی اسدی | مدیرعامل شرکت رهسا
تحلیگر ارشد امنیت اطلاعات با تمرکز بر بومی‌سازی استانداردهای بین‌المللی احراز هویت. او در این مقالات تجربیات راهبردی خود را در زمینه امنیت زیرساخت به اشتراک می‌گذارد.
فهرست مطالب
رمز عبور؛ مشکلی که همه با آن دست‌وپنجه نرم می‌کنند
پیش از اینکه به سراغ Passkey برویم، باید بدانیم چرا اصلاً به جایگزین نیاز داریم. طبق گزارش Verizon در سال ۲۰۲۳، بیش از ۸۰ درصد نقض‌های داده ناشی از رمزهای عبور ضعیف، تکراری یا سرقت‌شده است. کاربران به طور میانگین بیش از صد حساب کاربری آنلاین دارند و یادآوری رمز منحصر به فرد برای هر کدام عملاً غیرممکن است.
مشکل اصلی رمز عبور این است که یک «راز مشترک» محسوب می‌شود؛ یعنی هم شما آن را می‌دانید و هم سرور. اگر سرور هک شود، رمز شما در دست مهاجم قرار می‌گیرد. اگر فریب فیشینگ بخورید و رمزتان را در سایت جعلی وارد کنید، حساب شما به خطر می‌افتد. این آسیب‌پذیری ذاتی است و با هیچ پیچیدگی اضافه‌ای از بین نمی‌رود.
احراز هویت دو مرحله‌ای (2FA) گام مثبتی بود، اما کافی نیست. کدهای SMS قابل رهگیری هستند و حملات SIM Swap این روش را به خطر می‌اندازند. حتی اپلیکیشن‌های Authenticator هم در برابر فیشینگ پیشرفته کاملاً مصون نیستند. صنعت فناوری به راه‌حلی نیاز داشت که از پایه متفاوت باشد، نه فقط یک لایه اضافی روی مشکل قدیمی.
FIDO2 چیست و چه پایه‌ای برای Passkey فراهم کرد؟
برای درک درست Passkey چیست، باید ابتدا استاندارد FIDO2 را بشناسیم، چون Passkey در واقع بر پایه همین استاندارد ساخته شده است.
FIDO2 مجموعه‌ای از استانداردهای فنی است که توسط FIDO Alliance و W3C (کنسرسیوم وب جهانی) تعریف شده. این استاندارد از دو بخش اصلی تشکیل می‌شود: پروتکل WebAuthn که رابط میان مرورگر و سرور را تعریف می‌کند، و پروتکل CTAP (Client to Authenticator Protocol) که ارتباط میان دستگاه کاربر و احراز‌کننده را مدیریت می‌نماید.
چرا FIDO2 از نظر رمزنگاری برتر است؟
هسته فنی FIDO2 بر رمزنگاری کلید عمومی (Public Key Cryptography) استوار است. وقتی یک حساب کاربری با FIDO2 ثبت می‌کنید، دستگاه شما یک جفت کلید رمزنگاری می‌سازد: یک کلید خصوصی که هرگز از دستگاه خارج نمی‌شود و یک کلید عمومی که به سرور ارسال می‌شود.
در هنگام ورود، سرور یک چالش رمزنگاری (Challenge) ارسال می‌کند. دستگاه شما این چالش را با کلید خصوصی امضا می‌کند و سرور با استفاده از کلید عمومی، صحت امضا را تأیید می‌نماید. در این فرآیند هیچ رازی بین شما و سرور رد و بدل نمی‌شود، بنابراین اگر سرور هک شود یا ارتباط شما شنود شود، مهاجم چیز مفیدی به دست نمی‌آورد.
این معماری از سه مشکل اصلی رمز عبور جلوگیری می‌کند: فیشینگ (چون کلید خصوصی فقط برای سایت اصلی کار می‌کند)، نقض داده (چون سرور رمز شما را ندارد) و حملات Brute Force (چون اصلاً رمزی برای حدس زدن وجود ندارد).
Passkey چیست؟ تعریف دقیق کلید عبور
حالا که پایه FIDO2 را می‌شناسیم، می‌توانیم به سؤال اصلی برگردیم: Passkey چیست؟
Passkey یا کلید عبور، پیاده‌سازی کاربرپسندِ استاندارد FIDO2 است که توسط شرکت‌های بزرگ فناوری مانند Apple، Google و Microsoft طراحی شده تا احراز هویت بدون رمز عبور را برای عموم کاربران ساده و قابل دسترس کند. به عبارت ساده‌تر، FIDO2 استاندارد فنی است و Passkey محصول نهایی‌ای است که کاربر عادی با آن تعامل دارد.
تفاوت اصلی Passkey با FIDO2 سنتی
در پیاده‌سازی‌های قدیمی‌تر FIDO2، کلیدهای رمزنگاری به یک دستگاه فیزیکی (مثل یک کلید امنیتی USB) یا یک دستگاه خاص گره می‌خوردند. اگر آن دستگاه را گم می‌کردید یا خراب می‌شد، دسترسی به حساب‌هایتان دشوار می‌شد. این محدودیت برای کاربران عادی مشکل‌ساز بود.
Passkey این مشکل را با یک نوآوری مهم حل کرد: همگام‌سازی ابری (Cloud Sync). کلیدهای عبور به صورت رمزنگاری‌شده در اکوسیستم کاربر ذخیره می‌شوند، مثلاً در iCloud Keychain برای کاربران Apple، در Google Password Manager برای Android و Chrome، و در Windows Hello برای کاربران مایکروسافت. این کلیدها بین دستگاه‌های مختلف کاربر همگام می‌شوند، اما به شکلی که کلید خصوصی هرگز در قالب خام به سرورهای شرکت نمی‌رود.
نتیجه این است که کاربر می‌تواند با همان Passkey هم از گوشی و هم از لپ‌تاپ وارد حساب خود شود، بدون نیاز به کلید فیزیکی جداگانه.
نحوه کارکرد Passkey در عمل
درک نحوه استفاده از کلید عبور در دنیای واقعی بسیار مهم است. فرایند ثبت‌نام با Passkey بسیار ساده است: وارد یک سایت یا اپلیکیشن می‌شوید، گزینه ایجاد Passkey را انتخاب می‌کنید، دستگاهتان از شما می‌خواهد هویت خود را با Face ID، Touch ID، Windows Hello یا پین دستگاه تأیید کنید، و در عرض چند ثانیه Passkey ساخته و ذخیره می‌شود.
فرایند ورود با کلید عبور
برای ورود به حساب در دفعات بعد، به جای تایپ رمز عبور، کافی است روی گزینه «ورود با Passkey» کلیک کنید. دستگاه شما Passkey مرتبط با آن سایت را پیدا می‌کند، از شما تأیید بیومتریک یا پین می‌خواهد، و ورود در کمتر از دو ثانیه انجام می‌شود. هیچ رمزی تایپ نمی‌شود، هیچ کدی به گوشیتان نمی‌آید و هیچ خطر فیشینگی وجود ندارد.
این تجربه برای کاربر شبیه باز کردن قفل گوشی است؛ آشنا، سریع و بدون اصطکاک. اما پشت این سادگی، یک سیستم رمزنگاری قدرتمند قرار دارد که از امنیت کامل ورود اطمینان می‌دهد.
مقایسه Passkey، FIDO2 و رمز عبور
برای اینکه تفاوت‌ها کاملاً روشن شود، می‌توانیم این سه روش را در چند بُعد اصلی با هم مقایسه کنیم.
از نظر مقاومت در برابر فیشینگ، رمز عبور کاملاً آسیب‌پذیر است. FIDO2 سنتی (با کلید سخت‌افزاری) مقاومت کامل دارد. Passkey نیز مقاومت کامل دارد، چون کلید به دامنه سایت گره خورده است.
از نظر راحتی استفاده، رمز عبور نیاز به حفظ کردن و تایپ دارد. کلیدهای سخت‌افزاری FIDO2 نیاز به حمل فیزیکی دستگاه دارند. اما Passkey با یک لمس یا نگاه کار می‌کند.
از نظر پشتیبانی گسترده، رمز عبور همه‌جا پشتیبانی می‌شود. FIDO2 در سازمان‌ها و سرویس‌های تخصی پشتیبانی می‌شود. Passkey از سال ۲۰۲۳ در اکثر مرورگرها و سیستم‌عامل‌های اصلی پشتیبانی می‌شود.
Passkey در دستگاه‌های مختلف؛ اکوسیستم‌های بزرگ
یکی از نقاط قوت Passkey پشتیبانی گسترده‌ای است که در کمتر از دو سال به دست آمده. Apple از iOS 16 و macOS Ventura از Passkey پشتیبانی می‌کند و کلیدها از طریق iCloud Keychain بین iPhone، iPad و Mac همگام می‌شوند.
Google در Android 9 به بالا از این فناوری پشتیبانی می‌کند و مرورگر Chrome روی همه پلتفرم‌ها Passkey را اجرا می‌نماید. Microsoft نیز Windows Hello را با استاندارد Passkey یکپارچه کرده و کاربران ویندوز ۱ می‌توانند با تشخیص چهره یا اثرانگشت از Passkey استفاده کنند.
آیا Passkey بین اکوسیستم‌های مختلف کار می‌کند؟
بله، و این یکی از بزرگ‌ترین پیشرفت‌های اخیر است. اگر Passkey شما در iCloud ذخیره شده باشد اما بخواهید با یک کامپیوتر ویندوزی وارد حساب شوید، می‌توانید از گوشی اپل خود به عنوان احراز‌کننده استفاده کنید. سایت یک QR Code نمایش می‌دهد، گوشی را به آن نزدیک می‌کنید، تأیید بیومتریک می‌دهید وارد می‌شوید. این قابلیت با پروتکل CTAP2 در چارچوب همان استاندارد FIDO2 ممکن شده است.
کاربردهای Passkey در سازمان‌ها و کسب‌وکارها
احراز هویت بدون رمز عبور فقط یک راحتی شخصی نیست؛ برای سازمان‌ها یک ضرورت امنیتی است. مطالعات نشان می‌دهد که هزینه بازیابی رمز عبور برای تیم IT در سازمان‌های متوسط سالانه بین ۵ تا ۱۵ میلیون تومان است. Passkey این هزینه را به صفر نزدیک می‌کند.
در بخش بانکی، سازمان‌ها می‌توانند از کلید عبور برای احراز هویت کارمندان در دسترسی به سیستم‌های Core Banking استفاده کنند. در حوزه سلامت، دسترسی به پرونده‌های الکترونیک بیمار باید هم امن باشد و هم سریع؛ Passkey هر دو را تأمین می‌کند. در سازمان‌های دولتی، جلوگیری از نفوذ به سیستم‌های اداری اهمیت حیاتی دارد.
Passkey و سامانه‌های احراز هویت سازمانی
برای سازمان‌هایی که به دنبال پیاده‌سازی Passkey یا سایر روش‌های احراز هویت مبتنی بر FIDO2 هستند، رهسا سامانه احراز هویت نشانه را ارائه می‌دهد که بر اساس استاندارد FIDO2 طراحی شده و هم توکن سخت‌افزاری و هم توکن نرم‌افزاری را پشتیبانی می‌کند. این سامانه برای سازمان‌های ایرانی بومی‌سازی شده و با زیرساخت‌های موجود یکپارچه می‌شود. درباره سامانه نشانه بیشتر بدانید
محدودیت‌های Passkey؛ چه چیزی هنوز کامل نیست؟
هر فناوری نوینی در مراحل اولیه با محدودیت‌هایی روبروست و Passkey هم از این قاعده مستثنا نیست. شفافیت در این مورد مهم است.
اول، وابستگی به دستگاه: اگر به دستگاهی دسترسی ندارید که Passkey در آن ذخیره شده، نیاز به یک روش بازیابی دارید. البته همگام‌سازی ابری این مشکل را تا حدی حل کرده، اما در سناریوهای خاص (مثل از دست دادن همه دستگاه‌ها) به پشتیبان‌گیری قبلی نیاز است.
دوم، پشتیبانی ناقص برخی سایت‌ها: هنوز همه وب‌سایت‌ها و اپلیکیشن‌ها از Passkey پشتیبانی نمی‌کنند. پذیرش در حال رشد است اما هنوز جهانی نشده.
سوم، یادگیری کاربران: بسیاری از کاربران با مفهوم کلید عبور آشنا نیستند و ممکن است در ابتدا مقاومت نشان دهند. آموزش و ارتباط شفاف با کاربران در مرحله انتقال ضروری است.
Passkey و FIDO2 در برابر OTP؛ کدام بهتر است؟
بسیاری از سازمان‌های ایرانی هم‌اکنون از رمز یکبار مصرف (OTP) برای احراز هویت دو مرحله‌ای استفاده می‌کنند. رهسا دستگاه‌های رمزیاب سخت‌افزاری مدل‌های C100، C200 و درسا 300 را برای این منظور ارائه می‌دهد که بر اساس استانداردهای TOTP، HOTP و OCRA کار می‌کنند. این دستگاه‌ها گزینه مناسبی برای سازمان‌هایی هستند که به سطح بالایی از امنیت OTP نیاز دارند. مشاهده رمزیاب‌های رهسا
اما از نظر امنیت فنی، Passkey و FIDO2 از OTP برتر هستند. OTP در برابر حملات real-time phishing آسیب‌پذیر است؛ مهاجم می‌تواند همزمان با شما کد را از صفحه جعلی بخواند و در سایت اصلی وارد کند. Passkey این آسیب‌پذیری را کاملاً از بین می‌برد، چون کلید به دامنه سایت گره خورده و در هیچ سایت دیگری کار نمی‌کند.
انتخاب بین این روش‌ها بستگی به نیاز، زیرساخت و بودجه سازمان دارد. در بسیاری از موارد، ترکیب OTP و FIDO2 بهترین استراتژی امنیتی لایه‌بندی‌شده را فراهم می‌کند.
آینده Passkey؛ این فناوری به کجا می‌رود؟
پذیرش Passkey با سرعت چشمگیری در حال رشد است. Google اعلام کرده که میلیاردها حساب کاربری در اکوسیستمش از Passkey پشتیبانی می‌کنند. Amazon، PayPal، GitHub، Dropbox و صدها سرویس بزرگ دیگر این فناوری را اضافه کرده‌اند.
در سال‌های آینده، انتظار می‌رود که Passkey در سناریوهای Enterprise گسترش بیشتری پیدا کند. یکپارچگی با سیستم‌های Single Sign-On (SSO)، مدیریت هویت سازمانی (IAM)، و Zero Trust Architecture بخش مهمی از این مسیر است.
نقش Passkey در آینده بانکداری دیجیتال ایران
بانک‌ها و موسات مالی ایران با الزامات بانک مرکزی برای احراز هویت قوی روبرو هستند. Passkey و FIDO2 راه‌حلی ارائه می‌دهند که هم این الزامات را برآورده می‌کند، هم تجربه کاربری مشتریان را بهبود می‌بخشد و هم هزینه‌های پشتیبانی را کاهش می‌دهد. سامانه فوآس رهسا با پشتیبانی از روش‌های متنوع احراز هویت از جمله OTP، ایمیل و بیومتریک، به بانک‌ها و سازمان‌ها کمک می‌کند این مسیر را طی کنند. درباره سامانه فوآس بیشتر بدانید
راهنمای عملی پیاده‌سازی Passkey در کسب‌وکار
اگر صاحب یک کسب‌وکار یا مسئول IT یک سازمان هستید، این مراحل کلی می‌تواند نقطه شروع خوبی باشد.
ارزیابی آمادگی زیرساخت اولین قدم است. باید بررسی کنید آیا پلتفرم احراز هویت فعلی شما از WebAuthn/FIDO2 پشتیبانی می‌کند. بسیاری از پلتفرم‌های مدرن این قابلیت را دارند اما فعال نیست.
قدم دوم، انتخاب رویکرد مناسب است. برخی سازمان‌ها Passkey را به عنوان عامل دوم (کنار رمز عبور) معرفی می‌کنند. برخی دیگر مستقیم به احراز هویت بدون رمز عبور می‌روند. هر دو رویکرد معتبر است و انتخاب به فرهنگ سازمانی و ریسک‌پذیری شما بستگی دارد.
آموزش و ارتباط با کاربران سومین اولویت است. کاربران باید بدانند چرا این تغییر رخ می‌دهد، چه مزایایی دارد و چگونه در صورت مشکل می‌توانند کمک بگیرند. این فرآیند ارتباطی را دست کم نگیرید.
سؤالات متداول (FAQ) راجع به Passkey و FIDO2
سؤال ۱: Passkey چیست و چه فرقی با رمز عبور دارد؟
Passkey یا کلید عبور یک روش احراز هویت بدون رمز عبور است که بر اساس رمزنگاری کلید عمومی کار می‌کند. برخلاف رمز عبور که یک راز مشترک بین شما و سرور است، Passkey هیچ رازی را به سرور نمی‌فرستد. دستگاه شما یک جفت کلید رمزنگاری می‌سازد، کلید خصوصی فقط روی دستگاه می‌ماند و کلید عمومی به سرور ارسال می‌شود. نتیجه این است که حتی اگر سرور هک شود، مهاجم چیزی برای سوءاستفاده پیدا نمی‌کند.
سؤال ۲: تفاوت Passkey و FIDO2 چیست؟
FIDO2 یک استاندارد فنی بین‌المللی است که توسط FIDO Alliance تعریف شده و پایه رمزنگاری احراز هویت بدون رمز عبور را مشخص می‌کند. Passkey پیاده‌سازی کاربرپسند همین استاندارد است که توسط Apple، Google و Microsoft با قابلیت همگام‌سازی ابری بین دستگاه‌ها ارائه شده. به عبارت دیگر، هر Passkey از FIDO2 استفاده می‌کند، اما نه هر پیاده‌سازی FIDO2 لزوماً Passkey است.
سؤال ۳: آیا Passkey در برابر فیشینگ مقاوم است؟
بله، Passkey به صورت ذاتی در برابر فیشینگ مقاوم است. هر کلید عبور به دامنه دقیق سایتی که برایش ساخته شده گره می‌خورد. اگر مهاجمی شما را به یک سایت جعلی هدایت کند، Passkey مربوط به سایت اصلی در آن سایت جعلی کار نمی‌کند و اطلاعاتی برای سرقت وجود ندارد.
سؤال ۴: اگر گوشی یا لپ‌تاپم را گم کنم، Passkeyهایم چه می‌شوند؟
اگر از همگام‌سازی ابری استفاده می‌کنید (مثل iCloud Keychain در اپل یا Google Password Manager)، Passkeyهای شما روی سایر دستگاه‌های متصل به همان حساب قابل دسترس هستند. در صورت از دست دادن همه دستگاه‌ها، می‌توانید ابتدا به حساب Apple ID یا Google خود دسترسی بگیرید و از آنجا Passkeyها را بازیابی کنید.
سؤال ۵: آیا سایت‌های ایرانی از Passkey پشتیبانی می‌کنند؟
پذیرش Passkey در ایران هنوز در مراحل اولیه است، اما سازمان‌ها و شرکت‌های پیشرو در حال بررسی و پیاده‌سازی آن هستند. رهسا با سامانه نشانه مبتنی بر FIDO2، زیرساخت لازم برای پیاده‌سازی این فناوری را برای سازمان‌های ایرانی فراهم کرده است.
سؤال ۶: آیا برای استفاده از Passkey به اینترنت نیاز است؟
برای ورود با Passkey در اکثر پیاده‌سازی‌ها نیاز به اینترنت دارید تا ارتباط با سرور برقرار شود. اما عملیات رمزنگاری روی دستگاه شما انجام می‌شود و کلید خصوصی هیچ‌وقت از دستگاه خارج نمی‌شود.
نتیجه‌گیری
Passkey چیست را حالا می‌توان در یک جمله خلاصه کرد: کلید عبور، پیاده‌سازی کاربرپسند استاندارد FIDO2 است که احراز هویت بدون رمز عبور را برای همه ممکن می‌سازد. این فناوری نه یک ایده آینده‌نگرانه، بلکه یک واقعیت امروزی است که هم‌اکنون میلیاردها کاربر از آن بهره می‌برند.
تفاوت اصلی Passkey با FIDO2 سنتی در همگام‌سازی ابری و سهولت استفاده است. FIDO2 استاندارد فنی قدرتمند و غیرقابل نفوذی است که Passkey روی آن ساخته شده. هر دو از رمز عبور امن‌تر، سریع‌تر و راحت‌تر هستند.
برای سازمان‌های ایرانی که به دنبال ارتقای امنیت احراز هویت هستند، رهسا با ارائه سامانه نشانه مبتنی بر FIDO2 و توکن‌های فایدو سخت‌افزاری این مسیر را هموار کرده است. آینده احراز هویت دیجیتال بدون رمز عبور است و این آینده هم‌اکنون در دسترس است.