کلیدهای عبور یک تله نیستند

پستی به نام Passkeys یک تله است. از آنها استفاده نکنید. در چند روز گذشته دورهای زیادی را انجام داده است، و آن را در اخبار هکر بسیار بالا کرده است، و من بارها آن را با این جمله برای من ارسال کرده ام "آیا این درست است؟" نوعی جو این برای "شهروندان غیر فنی وب" نوشته شده است، و توصیه اصلی این است که استفاده از کلیدهای عبور را متوقف کنید و به کدهای TOTP و رمزهای عبور بازگردید.

این پست چیزی که به نظر می‌رسد یک ادعای اصلی است مطرح می‌کند: کلیدهای عبور از چیزی به نام تأیید پشتیبانی می‌کنند که به وب‌سایت اجازه می‌دهد برای اثبات رمزنگاری چیزی که رمز عبور را ساخته است بخواهد.

نویسنده این را "شماره گیری مخفی" می نامد و استدلال می کند که سایت ها به آرامی آن را روشن می کنند، تا زمانی که فقط با نرم افزار تایید شده در یک سیستم عامل تایید شده، بدون هیچ تغییری، بدون LineageOS و بدون اشتراک گذاری رمز عبور Netflix خود، مجاز به ورود به سیستم شوید. uBlock Origin، لیست عضویت FIDO Alliance و پیشنهادات اسکن تصویر بریتانیا را در نظر بگیرید، و نتیجه این است که کلیدهای عبور "برای اولویت دادن به علایق شما طراحی نشده اند". <that-escalated-quickly.gif>

این یک داستان متقاعد کننده است. این با نحوه عملکرد واقعی هیچ یک از اینها مطابقت ندارد ...

رمز عبوری که اکثر مردم استفاده می کنند، کلیدهای عبور همگام سازی شده هستند که در iCloud Keychain، Google Password Manager، 1Password، Bitwarden یا هر نرم افزار دیگری که انتخاب می کنید ذخیره می شوند. این کلیدهای عبور به هیچ وجه به وب‌سایت‌ها بیانیه گواهی نمی‌دهند، و اگرچه یک سایت می‌تواند بپرسد، چیزی که باز می‌گردد هیچ است. من این را می دانم زیرا یک کتابخانه رمزهای عبور متن باز نوشتم و آن را در دسترس همه قرار دادم.

اگر یک وب‌سایت مصرف‌کننده فردا تصمیم بگیرد که فقط کلیدهای عبور تأیید شده را می‌پذیرد، تقریبا همه کاربران خود را فورا قفل می‌کند. چه وب سایتی قرار است این کار را انجام دهد؟ علاوه بر این، راهنمای سایت‌های مصرف‌کننده این بوده است که سال‌هاست حتی درخواست تأییدیه ندهند.

این پست گواهی را به عنوان اثبات "مدیریت رمز عبور تایید شده، سیستم عامل و سیستم عامل در حال استفاده است" توصیف می کند که به سادگی درست نیست.

در صورت وجود، گواهی WebAuthn به سایت می‌گوید ساخت و مدل احراز‌دهنده، که توسط AAGUID آن مشخص شده است، با یک زنجیره گواهی از فروشنده برای پشتیبان‌گیری از آن. در مورد سیستم عامل، مرورگر، برنامه های افزودنی، روت یا جیلبریک بودن گوشی، نسخه سیستم عامل شما یا حتی رنگ آن چیزی نمی گوید.

این قسمتی است که بیشتر از همه مرا شگفت زده کرد. برای افرادی که خواهان امنیت قوی‌تر هستند، این پست یک کلید امنیتی سخت‌افزاری مانند YubiKey را توصیه می‌کند، زیرا این کلید از تأیید کل سیستم عامل جلوگیری می‌کند.

YubiKey ها احراز هویت هستند که گواهی را انجام می دهند. هر یک از آنها دارای گواهی گواهینامه صادر شده توسط Yubico هستند و گواهی سازمانی به طور خاص وجود دارد تا سازمان ها بتوانند به کلیدهای سخت افزاری تایید شده نیاز داشته باشند. من همچنان یک YubiKey را به هر کسی که می‌خواهد توصیه می‌کنم، آنها عالی هستند و من از آنها استفاده می‌کنم، اما اگر گواهی‌نامه چیزی است که شما نگران آن هستید، توصیه خود پست شما را به سمت تأیید سوق می‌دهد تا از آن دور شوید!

این پست TOTP را به عنوان یک راه حل عالی "از قبل" نگه می دارد. TOTP از یک رمز عبور به تنهایی بهتر است، اما یک ضعف بزرگ دارد: می توانید کد را در وب سایت اشتباهی تایپ کنید، فقط از دوست خوبم تروی هانت بپرسید. کیت‌های فیشینگ مانند Evilginx در وسط قرار می‌گیرند، رمز و کد شما را در زمان واقعی به سایت واقعی منتقل می‌کنند و با جلسه خود کنار می‌روند. این تئوری نیست، به این صورت است که امروزه تعداد زیادی از تصاحب حساب ها اتفاق می افتد و ما شواهدی برای اثبات آن داریم.

این مشکلی است که کلیدهای عبور حل می کنند. یک رمز عبور به دامنه ای که برای آن ایجاد شده است متصل می شود، بنابراین مرورگر شما به سادگی از رمز عبور example.com شما در examp1e.com استفاده نمی کند. هیچ کدی برای خواندن وجود ندارد و هیچ مشکلی برای کاربر وجود ندارد. نویسنده حتی این را در ضمیمه پذیرفته است و می‌گوید که کلیدهای عبور محدود به دامنه هستند و در برابر حملات انسان در وسط مقاومت می‌کنند، اما همچنان به خوانندگان می‌گوید از آنها اجتناب کنند. مبادله اعتبار مقاوم در برابر فیشینگ با اعتبار فیشینگ، تجارت بسیار بدی است...

به استفاده از کلیدهای عبور ادامه دهید! هر جا که سایتی یکی را ارائه می دهد، آن را بگیرید و در یک مدیر رمز عبور/کلید عبوری که به آن اعتماد دارید ذخیره کنید. اگر می خواهید بتوانید اعتبارنامه خود را جابه جا کنید، ارائه دهنده ای را انتخاب کنید که از آن پشتیبانی می کند. اگر نگران ورود گواهینامه به ورود مصرف کنندگان هستید، پس ارزش آن را دارد که با صدای بلند (اگر چنین اتفاقی بیفتد) به عقب برگردید. اما این اتفاق نیفتاده است، بزرگترین ارائه دهندگان از آن پشتیبانی نمی کنند، و اجتناب از کلیدهای عبور امروز در حالی که منتظر آن هستید، شما را از چیزی محافظت نمی کند، فقط شما را برای فیشینگ باز می گذارد.

من WhyNoPasskeys.com را برای ردیابی در دسترس بودن کلیدهای عبور در وب ایجاد کردم.

من پشتیبانی از کلیدهای عبور را در شرکت SaaS خودم ساخته و مستقر کردم.

ما کتابخانه کلیدهای عبور خود را ساختیم و امنیت آن را بررسی کردیم.

من در مورد ملاحظات امنیتی هنگام استفاده از Passkeys در وب سایت شما نوشتم.

من رمز عبور 101 را نوشتم: مقدمه ای بر کلیدهای عبور و نحوه کار آنها.

من کتابخانه رمز عبور ما را منبع باز ساختم تا همه بتوانند از آن استفاده کنند.

من آزمایش های امنیتی گسترده ای را برای پیاده سازی کلیدهای عبور انجام داده ام.

من آشکارا محدودیت های عدم استفاده از گواهی در کلیدهای عبور را پذیرفته ام.

فکر می‌کنم مهم‌تر از همه مهم است که بگوییم من از کلیدهای عبور در هر جایی که بتوانم استفاده می‌کنم، زیرا در حال حاضر بهترین چیزی است که ما برای محافظت از حساب‌هایمان در دسترس داریم. و آنها تله نیستند.