مفاتيح المرور فخ؟ خبير أمني يحذر من استخدامها

أعاد تقرير جديد نُشر على نشرة nonfunctional.substack.com إشعال الجدل حول مفاتيح المرور (passkeys)، إذ وصفها بأنها فخ قد ينتقص من سيطرة المستخدم على هويته الرقمية. ويحمل المقال عنوان «مفاتيح المرور فخ. لا تستخدموها»، ويرى أنه حتى لو كانت هذه المفاتيح أكثر أماناً من كلمات المرور، فإنها لم تُصمم أصلاً مع مراعاة مصلحة المستخدم.

يأتي هذا التقرير في وقت تدفع فيه مزيد من المواقع والخدمات نحو اعتماد مفاتيح المرور كطريقة تسجيل الدخول الافتراضية، بوعدٍ بالسهولة والأمان المعزّز. غير أن الكاتب يحذر من أن هذه التقنية، التي طوّرها تحالف FIDO، تتضمن آلية خفية تتيح للمواقع تقييد طريقة إدارة المستخدم لبيانات اعتماده بشكل تدريجي.

تحالف FIDO، الذي ابتكر مفاتيح المرور، هو تجمّع يضم شركات تكنولوجيا كبرى وحكومات وطنية ووكالات استخبارات وبنوكاً وحتى منظمات غير ربحية مثل Mozilla. وبحسب التقرير، لكل عضو أجندته الخاصة: شركات التكنولوجيا الكبرى تسعى إلى مزيد من عائدات الإعلانات، ووكالات الاستخبارات تريد تتبعاً عالمياً، والبنوك تهدف إلى تقليل مسؤوليتها، والشركات التقنية الأصغر تبحث عن حلول رخيصة.

واللافت أن التحالف لا يضم أي جمعيات للدفاع عن المستهلك، على عكس رابطة الشبكة العالمية (W3C) التي تشمل مجموعات ذات مصلحة عامة وجامعات. ويرجّح التقرير أنه بدون هذه الأصوات، لا تكون مصالح المستخدم ممثَّلة بقوة في تطوير مفاتيح المرور.

يقرّ التقرير بأن كلمات المرور غير آمنة، مستشهداً بأمثلة مثل استخدام شركة SolarWinds لكلمة المرور «solarwinds123»، وورقة لاصقة كشفت كلمة مرور في وكالة إدارة الطوارئ في هاواي. لكنه يبرز أن كلمات المرور تمنح تحكماً بديهياً: يمكن للمستخدم اختيار مكان تخزينها ومع من يشاركها.

في المقابل، يقول الكاتب إن مفاتيح المرور تُلغي هذا التحكم النهائي. فمع مفاتيح المرور، يوجد «مفتاح خفي» يتيح للمواقع تقييد ما يمكن للمستخدم فعله ببيانات اعتماده تدريجياً، وهي ميزة غير موجودة في كلمات المرور ولا في تطبيقات المصادقة ولا في مفاتيح الأمان الفيزيائية.