کلیدهای عبور یک تله هستند. از آنها استفاده نکنید

به نظر می رسد هر وب سایتی از ما می خواهد که استفاده از رمزهای عبور را متوقف کنیم. جایگزینی وجود دارد که از ما خواسته می شود به جای آن از کلیدهای عبور استفاده کنیم. اگر گذرواژه‌ها برای شما آشنا هستند و این کلیدهای عبور مبهم را به طور کامل درک نمی‌کنید، باید کمی نگران کننده باشد.

وب‌سایت‌ها می‌گویند که کلیدهای عبور ایمن‌تر یا راحت‌تر یا چیزی مشابه سودمند هستند. در حالی که درست است که کلیدهای عبور می توانند بسیار امن تر از رمزهای عبور باشند و ممکن است در واقع راحت تر باشند، این تمام ماجرا نیست. کلیدهای عبور برای اولویت بندی علایق شما طراحی نشده اند. مانند اسب تروجان، کلیدهای عبور به طور قانونی در سطح زیبا هستند، اما چیزی در داخل وجود دارد.

آنچه مهم است بدانید این است که برخلاف هر نوع اعتبار ورود به سیستم، شما کنترل نهایی روی کلیدهای عبور خود ندارید. با رمزهای عبور، می توانید انتخاب کنید که کجا آنها را یادداشت کنید. با برنامه‌های احراز هویت، می‌توانید خودتان تصمیم بگیرید که از کدام یک استفاده کنید (آنها کاملا قابل تعویض هستند). و با کلیدهای امنیتی فیزیکی، اگر واقعا به آنها اعتماد دارید، می توانید آنها را در اختیار همکار خود قرار دهید. اما با کلیدهای عبور یک شماره گیری مخفی ارائه می شود که به وب سایت هایی که از آنها استفاده می کنید به تدریج توانایی شما را برای انجام کارهای دلخواه با آنها حذف می کند.

من در ادامه توضیح خواهم داد که چگونه این امکان وجود دارد، اما اجازه دهید ابتدا نگاهی به این موضوع بیندازیم که چه کسی می خواهد شما از کلیدهای عبور استفاده کنید.

کلیدهای عبور اختراع اتحاد FIDO 1 است که کنسرسیومی از تعدادی از منافع رقیب مختلف - فناوری بزرگ، فناوری کوچک، دولت های ملی، آژانس های اطلاعاتی، بانک ها، موسسات عمومی مختلف و حتی تعداد انگشت شماری از سازمان های غیرانتفاعی مانند موزیلا - که همگی می توانند توافق کنند که کلیدهای عبور یک هدف خوب و درست هستند، هستند.

اعضای اتحاد FIDO همه منافع خود را دارند. فناوری بزرگ می‌خواهد ناراحتی‌های کوچکی را وارد زندگی ما کند تا بتوانند تبلیغات بیشتری به ما بفروشند. سازمان های اطلاعاتی می خواهند همه افراد جهان را ردیابی کنند. بانک ها می خواهند غرامت نداشته باشند. فناوری کوچک راه حل های ارزانی برای کاهش مسئولیت می خواهد. موزیلا می خواهد از مرگ بر روی تپه خاصی اجتناب کند. 2 من ادعای خاصی ندارم که هر یک از اینها انگیزه های بدی هستند. اما قابل توجه است که هیچ گروه حمایت از مصرف کننده عضو اتحادیه FIDO نیست.

(این برخلاف کنسرسیوم جهانی وب است، سازمانی که استانداردهای مورد استفاده در وب را تعیین می‌کند. در کنار اعضای معمول شرکت‌ها، نه تنها گروه‌های منافع عمومی بلکه دانشگاه‌ها و تیم برنرز لی، دانشمند کامپیوتر بریتانیایی که شبکه جهانی وب را در سال 1989 اختراع کرد، دارد. مکان.) در مورد اتحاد FIDO، هیچ کس وجود ندارد که برای منافع خود کاربر ادعای قوی کند.

دلیلی که به عموم مردم ارائه شده است که چرا همه اکنون باید از کلیدهای عبور استفاده کنند این است که رمزهای عبور ناامن هستند. در این مورد من موافقم. در نظر بگیرید که سرورهای پشت شرکت میلیارد دلاری فناوری اطلاعات آمریکایی SolarWinds به طور معروف از بادهای خورشیدی استفاده می کنند. آژانس مدیریت اضطراری هاوایی (همان آژانسی که هشدار موشکی نادرست را ارسال کرد) به طور تصادفی یک رمز عبور را به دلیل یک یادداشت چسبناک روی میز شخصی در پس‌زمینه یک عکس فاش کرد.

اگر امنیت شما متکی به رمز عبور است، همیشه نگران این خواهید بود که کسی، جایی، به نحوی متوجه شده باشد که چیست و از قبل به حساب بانکی شما دسترسی داشته باشد.

از سوی دیگر: رمز عبور برای آنها این است که آنها بسیار شهودی هستند، همه می دانند که چگونه کار می کنند، مردم از زمان های بسیار قدیم از آنها استفاده می کردند، و شما می توانید انتخاب کنید که کجا آنها را ذخیره کنید و با چه کسانی به اشتراک بگذارید. این را در نظر داشته باشید.

(این را نیز در نظر داشته باشید: نتفلیکس نمی‌خواهد رمزهای عبور خود را به اشتراک بگذارید.)

اما مشکل امنیتی که اتحادیه FIDO ادعا می کند با کلیدهای عبور حل کرده است، مشکلی است که قبلا حل شده است: ابتدا با احراز هویت دو مرحله ای (به ویژه: دریافت یک پیام متنی یا ایمیل با یک کد یکبار مصرف)، سپس با سیستم قوی تر گذرواژه های یک بار مصرف مبتنی بر زمان (TOTP) - در اصطلاح رایج، "Authentic. "

نکته جالب در مورد TOTP این است که اصلا به پیام های متنی یا ایمیل یا حتی اینترنت متکی نیست. نرم افزار احراز هویت شما به سادگی هر 30 ثانیه یک عدد تصادفی را بر اساس زمان فعلی تولید می کند (و یک عدد شروع تصادفی به نام "seed" یا "کلید" که مختص شماست)، و این تمام چیزی است که یک وب سایت برای تأیید اینکه شما نیاز دارد. اصطلاح برنامه احراز هویت گمراه‌کننده است، نه به این دلیل که وب‌سایت‌ها به شدت به شما نیاز دارند که یک برنامه خاص مانند Google Authenticator را دانلود کنید.

در واقع، یک استاندارد باز برای TOTP (به نام RFC 6238) وجود دارد. به عبارت دیگر، فرمول مورد استفاده برای تولید این اعداد تصادفی دانش عمومی است، بنابراین نیازی به استفاده از نرم افزار خاصی ندارید. تقریبا در همه موارد شما نیازی به استفاده از Google Authenticator ندارید فقط به این دلیل که وب سایت آن را پیشنهاد می کند. حتی نیازی به استفاده از گوشی هوشمند ندارید. برای این منظور می توانید از لپ تاپ خود یا حتی یک Game Boy 3 مربوط به دهه 90 استفاده کنید. می‌توانید از هر نرم‌افزار و سخت‌افزاری که دوست دارید استفاده کنید، تا زمانی که بتواند زمان را به خوبی تشخیص دهد و بتواند چند خط کد را مدیریت کند.

حتی اگر می‌خواهید می‌توانید نرم‌افزار را خودتان در پایتون بنویسید، یا اگر می‌خواهید مقداری سوخت جت را بسوزانید، می‌توانید یک LLM بگیرید تا آن را برای شما بنویسد.

TOTP یک راه حل عالی است. اگر به طور تصادفی TOTP خود را در یک عکس از میز خود نشت کنید، فقط چند دقیقه تا زمانی که کد منقضی شود در معرض خطر هستید. مطمئنا TOTP کمتر از رمزهای عبور شهودی است، اما حداقل مانند رمزهای عبور، همچنان می‌توانید نحوه ذخیره آنها را انتخاب کنید. شما می توانید انتخاب کنید که آنها کجا زندگی کنند و از چه نرم افزاری برای تولید کدها استفاده کنید. و شما نمی توانید به راحتی با یک کد TOTP که به راحتی قابل حدس است مانند یک رمز عبور123 به پای خود شلیک کنید. از آنجایی که آنها چیزی بیش از اعداد تصادفی نیستند، حدس زدن همه کدهای TOTP به یک اندازه سخت است.

علاوه بر این، می‌توانید کدی را برای دوست خود ارسال کنید تا زمانی که شما برای کسب و کار دور هستید، به طور موقت وارد حساب Netflix شما شود. حتی اگر واقعا می خواهید، می توانید خود TOTP seed خود را به اشتراک بگذارید تا دوستانتان بتوانند کدهای TOTP شما را خودشان تولید کنند و سپس به دوستان خود اجازه دهند وارد حساب Netflix شما شوند. اگر تمام دانه‌های TOTP خود را مانند رمزهای عبور خود بنویسید، ممکن است ظاهر عجیبی پیدا کنید، اما در نهایت این داده‌ها در اختیار شماست که چگونه می‌خواهید مدیریت کنید. آیا استانداردهای باز فوق العاده نیستند؟

(Netflix نمی خواهد شما کلیدهای TOTP خود را به اشتراک بگذارید.)

پس چه چیزی کلیدهای عبور را اینقدر متفاوت می کند؟ خوب، آنها در ظاهر بسیار شبیه به TOTP هستند. هر دو دارای یک استاندارد باز هستند (RFC 6238 برای TOTP، WebAuthn برای کلیدهای عبور)، بنابراین مطمئنا کلیدهای عبور باید همه این ویژگی های خوب مانند TOTP را داشته باشند، درست است؟ در نگاه اول اینطور به نظر می رسد. در واقع، همین الان یک رمز عبور با استفاده از نرم افزار رایگان و منبع باز ایجاد کردم، و سپس آن را برای یکی از دوستان ایمیل کردم، و اکنون هر دو می توانیم با استفاده از آن رمز عبور به یک وب سایت دسترسی پیدا کنیم.

در هیچ نقطه ای مجبور نشدم از کسی اجازه بگیرم، نه از وب سایت، نه از اتحاد FIDO. نه حتی دوستم، که با مهربانی اجازه داد بدون اعتراض وقت او را در انحصار خود درآورم. علاوه بر این، برای استفاده از کلید عبور، مجبور نیستم هیچ عددی را با دست تایپ کنم. لازم نیست هیچ کلمه جادویی را به خاطر بسپارم. کلیدهای عبور فقط کار می کنند. با قضاوت از این تنها، رمز عبور در واقع راحت است. و مطمئنا به نظر می رسد که من می توانم هر کاری که بخواهم با کلیدهای عبورم انجام دهم.

(اما نتفلیکس نمی خواهد رمز عبور خود را به اشتراک بگذارید.)

نکته مهم این است که چیز دیگری وجود دارد که به آن "کلید عبور" نیز می گویند و چیزی شبیه به نوع خوبی که من توضیح دادم نیست.

در واقع چیزهای مختلفی به نام "کلیدهای عبور" وجود دارد و اتحاد FIDO عمدا نام همه آنها را یکسان گذاشته است. من معتقدم این کار به منظور گیج کردن عمدی کاربران و تشویق آنها به نگاه نکردن زیاد به متن ظریف انجام شده است. در واقع، در مستندات فنی، استاندارد WebAuthn که کلیدهای عبور را تعریف می کند، به سختی از عبارت رمز عبور استفاده می کند. در عوض، اعتبارهای قابل کشف و اعتبارهای غیرقابل کشف وجود دارد. اعتبارنامه‌های سخت‌افزاری و اعتبارنامه‌های نرم‌افزاری وجود دارد. مدارک تایید شده و تایید نشده و بیشتر و بیشتر وجود دارد.

اجزای اختیاری زیادی برای رمز عبور وجود دارد که مشخصات آن کمتر شبیه به یک استاندارد و بیشتر شبیه یک کاتالوگ قطعات است. بنابراین، بیایید دقیقا به موارد دیگری در کاتالوگ بپردازیم که در کنار آن نوع رمز عبور زیبا و شاید تقریبا شهودی که قبلا توضیح دادم. من همه آنها را در بهترین حالتی که می توانم ارائه خواهم کرد تا بتوانید درک کنید که چرا برخی افراد واقعا کلیدهای عبور را به عنوان یک راه حل امنیتی خوب توصیه می کنند، اما در پایان لیست امیدوارم بتوانید مشکلی که من می بینم را ببینید.

وقتی یک رمز عبور ایجاد می کنید، می توان آن را غیرقابل کپی کرد. دلیل اینکه شما ممکن است به عنوان یک کاربر این را بخواهید این است که مطمئن شوید تا زمانی که رمز عبور خود را در اختیار دارید – مثلا تا زمانی که آیفون شما در جیب شماست – هیچ کس دیگری نمی تواند به حساب شما دسترسی داشته باشد. از سوی دیگر، کلیدهای عبور می‌توانند به‌جای آن قابل کپی باشند، و ممکن است بخواهید این قابلیت را برای به اشتراک گذاشتن یک کلید بین دستگاه‌های خود داشته باشید.

اگر یک رمز عبور درست می کنید، مطمئن شوید که می دانید کدام یک از این دو نوع را می سازید! اگر فکر می‌کنید رمز عبور شما یکی از این موارد است و در واقع دیگری است، روزی به روزهای بدی خواهید رسید – یا زمانی که متوجه شوید نمی‌توانید تنها کلید عبور خود را از لپ‌تاپ در حال مرگتان نجات دهید، یا زمانی که مشخص شد شخص دیگری یک کپی از رمز عبور شما دارد و شما نمی‌دانستید که این امکان وجود دارد.

با کمال تعجب، حتی اگر یک Passkey غیرقابل کپی باشد، همچنان می تواند قابل انتقال باشد. این ممکن است شهود شما را در مورد نحوه عملکرد داده ها نقض کند. اگرچه اشیاء فیزیکی همیشه به این شکل کار می‌کنند، اما ما اغلب با موقعیت‌هایی در دنیای دیجیتال مواجه نمی‌شویم که ارسال چیزی به دوست‌تان باعث ناپدید شدن آن از دستگاه شما شود.

ممکن است بخواهید کلید عبور شما غیرقابل انتقال باشد تا کاملا مطمئن شوید که داشتن یک دستگاه خاص برای دسترسی به حساب شما کاملا ضروری است. از سوی دیگر، ممکن است بخواهید کلید عبور غیرقابل کپی شما قابل انتقال باشد تا زمانی که گوشی هوشمند خود را برای مدل سال آینده جایگزین می کنید، بتواند با شما حرکت کند. (یا شاید فقط می خواهید بتوانید نوعی مسابقه رله دیجیتال آوانگارد را در بین دوستان خود به عنوان یک بیانیه هنری انجام دهید.)

حتی اگر به دیجیتال دانا نیستید، احتمالا می دانید که فایل ها و پوشه ها چیست، حداقل اگر یک رایانه رومیزی دارید. مسلما، گوشی‌های هوشمند به گونه‌ای طراحی شده‌اند که آب‌ها را در مورد اینکه فایلی که دانلود کرده‌اید دقیقا کجاست و اینکه آیا پوشه‌ها حتی یک مفهوم دور از ذهن هستند، گل‌آلود می‌کنند. (بله، گوشی‌های هوشمند از فایل‌ها و پوشه‌ها استفاده می‌کنند. آنها معمولا مانند دسکتاپ شما با مرورگر فایل همراه نیستند.)

بنابراین همه این کلیدهای عبور که تا به حال در مورد آنها صحبت کردیم فقط فایل هستند درست است؟ خوب... نه واقعا. یعنی می توانند باشند. یا ممکن است نباشند. مانند تمام این ویژگی‌های دیگری که یک کلید عبور می‌تواند اختیاری داشته باشد، کلیدهای عبور به‌طور اختیاری می‌توانند اصلا فایل نباشند. در واقع، از آنجایی که فایل‌ها قابل کپی و انتقال و انواع چیزهای بصری دیگر هستند، اگر کلیدهای عبور باید فایل باشند، مشخص نمی‌شد که چگونه کسی می‌تواند یک رمز عبور غیرقابل کپی بسازد.

کلیدهای عبور سخت افزاری را وارد کنید. اینها از یک تراشه ایمن استفاده می کنند که با تمام دستگاه های مدرن ارائه می شود که می تواند داده هایی را ذخیره کند که قابل استخراج نیستند (به این معنی که داده ها نمی توانند امنیت تراشه ایمن را ترک کنند). انواع مختلفی از تراشه ها با نام های مختلف وجود دارد: لپ تاپ شما دارای یک ماژول پلتفرم قابل اعتماد است و آیفون دارای یک "Secure Enclave" و غیره است. این قسمت از دستگاه خود را در مرورگر فایل خود در هیچ کجا پیدا نخواهید کرد. 4 این یک جزء جداگانه است. به دلیل استفاده از رمزنگاری آنها (و شاید رمز و راز آنها)، مردم این تراشه ها را "پردازنده های رمزنگاری" نامیده اند.

به نظر می‌رسد اتفاق نظر این است که پردازنده‌های رمزپایه واقعا بسیار امن هستند. ممکن است تعجب کنید که آیا فردی با دانش نمی تواند تراشه را با ابزار مناسب باز کرده و داده ها را از این طریق استخراج کند. این از نظر تئوری امکان پذیر است؛ با این حال، چنین تراشه هایی از انواع اقدامات شیمیایی و الکترونیکی تشخیص دستکاری استفاده می کنند و در صورت تلاش برای انجام این کار، خود تخریب می شوند.

5 بنابراین، مگر اینکه منابع یک دولت-ملت را در اختیار داشته باشید، اساسا می‌توانید این موضوع را فرض کنید (با وجود درهای پشتی سازنده فرضی) هیچ‌کس نمی‌تواند داده‌های مخفی را از پردازنده رمزنگاری شما حذف کند. نه نتفلیکس، نه سیستم عامل شما، نه حتی شما.

ممکن است ترجیح دهید از یک کلید نرم‌افزاری استفاده کنید زیرا می‌دانید فایل‌ها چگونه کار می‌کنند و در حال حاضر راه‌حلی دارید که برای ذخیره داده‌های خصوصی‌تان کار می‌کند. ممکن است بخواهید از یک کلید سخت افزاری برای به دست آوردن امنیت اضافی که توسط یک پردازنده رمزنگاری تقریبا غیرقابل نفوذ ارائه می شود استفاده کنید.

برخی از کلیدهای عبور نیاز دارند که کسی یک دکمه را فشار دهد یا روی یک فرمان کلیک کند تا احراز هویت را تأیید کند. سایرین را می توان بدون هیچ فردی در حلقه استفاده کرد.

شما ممکن است نوع قبلی را بخواهید زیرا خود یک انسان هستید. در صورتی که بخواهید به نرم افزاری اجازه دهید تا از طرف شما عمل کند، ممکن است نوع دوم را بخواهید.

خوب پس شاید یک کاربر حضور داشته باشد، اما چگونه بفهمیم کاربر مناسب حضور داشته است؟ کلیدهای عبور می توانند به صورت اختیاری به بیومتریک (مانند حسگرهای اثر انگشت یا اسکنرهای شبکیه چشم) یا استفاده از پین یا رمز عبور خود نیاز داشته باشند تا مطمئن شوند که فقط یک انسان مورد نظر خاص می تواند از آنها استفاده کند.

ممکن است برای ایمن بودن حتی در شرایطی که دزد دستگاه شما را دزد می کند، یک کلید عبور تأیید شده توسط کاربر بخواهید. ممکن است شما یک کلید عبور تایید شده توسط کاربر بخواهید زیرا انتظار دارید تبلت خود را به یکی دیگر از اعضای خانواده قرض دهید تا آنها بتوانند کتاب های الکترونیکی شما را در آمازون بخوانند و در حساب Spotify شما به موسیقی گوش دهند و فیلم های شما را در Disney+ تماشا کنند.

من تمام این ویژگی ها را تا کنون به عنوان تصمیم گیری با شما ارائه کرده ام. ممکن است در واقع در اکثر وب سایت ها اینطور باشد - حداقل در حال حاضر. به هر حال، توییتر چه دلیلی دارد که دقیقا به من بگوید کدام اقدامات امنیتی از smorgasbord موجود را باید برای کلیدهای عبور خود انتخاب کنم؟ اما باید بدانید که FIDO Alliance این استاندارد را به گونه ای تعریف کرده است که نرم افزار رمز عبور شما باید به سرویسی که به آن دسترسی دارید بگوید کدام یک از این ویژگی ها فعال هستند. در استاندارد WebAuthn به آنها پرچم های داده احراز هویت می گویند. 6

اما این یک استاندارد باز است، اینطور نیست؟ و شاید دوستی داشته باشید که در نوشتن کد پایتون تجربه داشته باشد. آیا نمی‌توانید نرم‌افزار رمز عبور خود را بسازید که نوع رمزهای عبور خوب مبتنی بر فایل را بدون هیچ‌یک از آن ویژگی‌های امنیتی اضافی انجام می‌دهد، و سپس به وب‌سایت بخواهید که به هر حال این یک رمز عبور تأییدشده توسط کاربر فعلی و غیرقابل کپی سخت‌افزاری است؟ نمیشه فقط دروغ بگی؟

اوه بله کاملا می توانید. نرم افزار رمز عبور شما می تواند در مورد هر ویژگی رمز عبوری که دوست دارید دروغ بگوید. مگر اینکه ما در مورد یک رمز عبور تایید شده توسط کاربر حاضر و تایید شده غیر قابل کپی سخت افزاری صحبت کنیم. در این صورت، خیر. که نمی توان جعل کرد.

رمز عبور تایید شده 7 آخرین اما مهم ترین نوع رمز عبوری است که باید درباره آن بدانید. این نوع کلیدها از چیزی که به عنوان تأیید از راه دور شناخته می شود برای تأیید رمزنگاری استفاده می کنند - با استفاده از پردازنده رمزنگاری ضد دستکاری فوق الذکر که در همه دستگاه های مدرن شما وجود دارد - که از یکی از چندین مدیر رمز عبور تأیید شده استفاده می کنید، و از یک رمز سفارشی استفاده نمی کنید که خودتان ویبککد کرده اید و می تواند دروغ بگوید.

این ویژگی به این معنی است که دیگر نمی توانید با کلیدهای عبور خود تماس برقرار کنید. خوشبختانه، رمز عبور تأیید شده هنوز در اکثر وب سایت ها مورد نیاز نیست. اما استاندارد FIDO Alliance گواهی را به بخشی از اکوسیستم رمز عبور تبدیل می کند، چه بخواهید چه نخواهید. و حتی اگر وب‌سایت به تأیید نیاز نداشته باشد، همچنان می‌توانند بررسی کنند که تنظیمات شما از آن پشتیبانی می‌کند. این به این معنی است که وقتی توییتر (به طور رسمی X) راضی شود که اکثریت قریب به اتفاق کاربرانش تحت تأثیر قرار نخواهند گرفت، می‌توانند سوئیچ را برگردانند و شروع به رد کردن کلیدهای عبور تأیید نشده کنند.

به طور بحرانی، تأیید از راه دور به همکاری پردازنده رمزنگاری، نرم افزار مدیر رمز عبور، سیستم عامل دستگاه و سیستم عامل دستگاه شما نیاز دارد تا همگی از طریق بررسی تأیید از راه دور موفق شوند. از این گذشته، سیستم عامل تلفن شما به تمام 0 ها و 1 ها در هر برنامه ای که تا به حال اجرا شده است دسترسی کامل دارد، بنابراین اگر توییتر (به طور رسمی X) به مدیر رمز عبور شما حتی نتواند به سیستم عامل اصلی تلفن شما اعتماد کند، کافی نیست.

اگر یکی از این موارد شکست بخورد - مثلا به این دلیل که تلفن شما به‌روزرسانی‌های امنیتی را دریافت نمی‌کند، بنابراین یک سیستم عامل سفارشی مانند LineageOS را نصب کرده‌اید تا بدون نیاز به خرید دستگاه جدید ایمن باشید - توییتر (به طور رسمی X) می‌تواند متوجه شود و از ورود شما به سیستم جلوگیری کند.

من می خواهم واضح بگویم که استفاده های قانونی از گواهی از راه دور وجود دارد. با استفاده از وب‌سایتی که به کلیدهای عبور تأیید شده نیاز دارد، می‌توانید مطمئن باشید که از نصب تصادفی برنامه رمز عبور جعلی کلاهبردار که داده‌های شما را می‌دزدد در امان می‌مانید – وب‌سایت چنین کلید عبوری را رد می‌کند. حتی اگر وب‌سایت به آن نیازی نداشته باشد، ممکن است یک رمز عبور تأیید شده بخواهید، زیرا می‌توانید از گواهی برای تأیید اینکه نرم‌افزار شما توسط یک هکر دستکاری نشده است استفاده کنید، در حالی که شما به دنبال آن نبودید.

(البته، تأیید ممکن است برای این امر بیش از حد باشد؛ حتی اگر دستگاه شما هک شده باشد، ویژگی پشتیبان سخت‌افزاری که در بالا توضیح داده شد حذف رمز عبور از دستگاه شما را غیرممکن می‌کند. اگرچه مسلما این ضمانت زمانی که متوجه می‌شوید که حتی اگر کلید روی دستگاه شما محکم بماند، یک هکر همچنان می‌تواند از آن استفاده کند، اگر دستگاه شما را همیشه خاموش کرده باشد. دسترسی هکرها به رمزهای عبور غیرقابل کپی و غیرقابل انتقال با پشتوانه سخت افزاری تایید نشده شما.) 8

در مورد دلایل عدم نیاز به گواهی: ممکن است بخواهید بتوانید از نرم افزارهایی استفاده کنید که توییتر (به طور رسمی X) به طور خاص آن را تأیید نمی کند، مانند لینوکس. یا گوشی با سیستم عامل بازسازی شده. (یا اگر بدجنس هستید، ممکن است بخواهید بتوانید به نتفلیکس دروغ بگویید و به آنها بگویید که مطمئنا شما و سه دوستتان کاملا یک نفر هستید که از یک دستگاه استفاده می کنند.)

(اما با تأیید، نتفلیکس در نهایت می تواند از اشتراک گذاری رمز عبور شما جلوگیری کند.)

دلایل زیادی وجود دارد که قبل از تنظیم رمز عبور تردید داشته باشید. اگر فقط از وب سایت هایی استفاده کرده اید که به یک نوع رمز عبور خاص نیاز دارند، ممکن است متوجه نشوید که یک وب سایت نوع دیگری از رمز عبور را تنظیم کرده است. فراموش نکنید که برخلاف رمزهای عبور و کدهای پیامکی و TOTP، کلیدهای عبور طوری طراحی شده‌اند که در پس‌زمینه بدون دیدن جزئیات کار کنند. آنها حداکثر به شما یک اعلان «تأیید» می دهند.

(این جنبه راحتی است.) انتظار من این است که صنعت با محدودیت‌های بسیار کمی روی کلیدهای عبور شما شروع به کار کند، و به تدریج موارد بیشتری را اضافه کند، نه همه در یک زمان، بلکه در سایت‌های مختلف به صورت مبهوت‌آمیز، و بعد از چند سال مردم فراموش خواهند کرد که همیشه انتخابی به آنها پیشنهاد شده است که در آن اقدامات امنیتی می‌خواهند روی کلیدهای عبور خود فعال کنند (اگر حتی می‌دانند کلیدهای عبور متفاوتی وجود دارد).

تاکنون تقریبا هیچ کس حتی در مورد گواهی از راه دور چیزی نشنیده است. اکثریت قریب به اتفاق مردم از یکی از چهار سیستم عامل اصلی (ویندوز، اندروید، macOS و iOS) و نه سیستم عامل های جایگزین مانند Linux، LineageOS، postmarketOS یا GrapheneOS استفاده می کنند. اکثریت قریب به اتفاق مردم وقتی سیستم عامل تلفن خود را دریافت نمی کند، آن را جایگزین نمی کنند. در عوض آنها فقط یک گوشی جدید می خرند. بنابراین تقریبا هیچ کس هرگز با وضعیتی مواجه نخواهد شد که دستگاهش در یک بررسی تأیید از راه دور شکست بخورد.

آیا رمزهای عبور تأیید شده خیلی بد هستند؟ از این گذشته، واقعا قرار نیست ابتدا حساب‌های Netflix را به اشتراک بگذاریم.

نگاهی دیگر به لیست اعضای اتحاد FIDO بیندازید و کلاه فویل خود را به سر بگذارید. چرا آژانس های اطلاعاتی اهمیت می دهند که من حساب نتفلیکس خود را به اشتراک بگذارم؟ خوب، چرا مایکروسافت اهمیت می دهد که من حساب Netflix خود را به اشتراک بگذارم؟