Passkeys تبدو للمستخدم كطريقة دخول بالبصمة أو PIN، لكن الآلية الأساسية ليست إرسال بصمتك أو PIN إلى الموقع. WebAuthn يعتمد تشفير المفتاح العام: عند التسجيل ينشئ authenticator زوج مفاتيح مرتبطًا بالموقع، ويحصل الخادم على المفتاح العام فقط. عند تسجيل الدخول يرسل الخادم Challenge، ويوقع الجهاز عليها بالمفتاح الخاص. بهذا لا يوجد سر مشترك مثل كلمة المرور يمكن للموقع أو صفحة تصيد أن تطلبه بنفس الطريقة.
التسجيل ينشئ Credential مرتبطة بال ـRelying Party
الموقع يطلب إنشاء credential مع challenge وبيانات Relying Party والمستخدم. Authenticator ينشئ المفتاح ويعيد public key ومعلومات لازمة للتحقق. المفتاح الخاص يبقى داخل authenticator أو منظومة مزامنة Passkey ولا يُرسل للخادم.
تسجيل الدخول عملية توقيع
الخادم يصدر challenge جديدة، والمتصفح/authenticator يتأكد من سياق الموقع ثم يوقع بيانات المصادقة. الخادم يتحقق بالتوقيع والمفتاح العام المسجل. صفحة على نطاق مختلف لا تستطيع ببساطة استخدام credential نفسها، وهو جزء أساسي من مقاومة التصيد.
خطوات عملية
- الخادم يصدر challenge عشوائية.
- المتصفح يحدد Relying Party.
- المستخدم يثبت حضوره أو هويته محليًا.
- Authenticator يوقع الاستجابة.
- الخادم يتحقق من التوقيع وبيانات السياق.
Passkey ليست بالضرورة محصورة في جهاز واحد
بعض المنصات تزامن Passkeys عبر حساب سحابي محمي، بينما مفاتيح أمنية أو Credentials أخرى قد تبقى على جهاز أو Token محدد. هذا يؤثر في recovery وتجربة نقل الأجهزة. صمم حسابك بحيث يعرف المستخدم خياراته ولا يعتمد على جهاز وحيد بلا بديل.
قائمة مراجعة
- هناك أكثر من طريقة recovery مناسبة.
- إضافة Passkey جديدة تتطلب جلسة موثوقة أو reauth.
- إزالة آخر عامل قوي تُحاط بحماية.
- الأجهزة/credentials المسجلة قابلة للمراجعة.
- الأحداث الحساسة تُسجل.
ما الذي تحله WebAuthn وما الذي لا تحله؟
تقلل مخاطر password reuse والتصيد وسرقة قاعدة كلمات المرور، لكنها لا تحمي جلسة سُرقت بعد تسجيل الدخول ولا جهازًا مخترقًا بالكامل. إدارة sessions و device security تظل مطلوبة.
اختبر سيناريوهات الاسترداد
جرّب فقد الهاتف أو تغيير النظام قبل الإطلاق. تجربة Passkey ممتازة وقت الدخول لكنها تصبح مشكلة إذا لم يعرف المستخدم كيف يستعيد حسابه بأمان.
إدارة Credential بعد التسجيل
بعد إنشاء Passkey يحتاج المستخدم رؤية Credentials المسجلة وإضافة بديل وحذف جهاز قديم. خزّن metadata غير حساسة تساعده على التمييز مثل اسم اختياري ووقت الإضافة وآخر استخدام، لكن لا تدّع تحديد جهاز بدقة أكبر من البيانات المتاحة. وعند حذف Credential أو إضافة واحدة جديدة، سجل الحدث واطلب reauthentication مناسبًا حتى لا تتحول جلسة مسروقة إلى وسيلة لتغيير عوامل الأمان.
شارك في تقييم ونقاش المقال
رأيك يضيف قيمة للمقال ويساعدنا على تحسين المحتوى والنقاش حوله.
النقاش
جارٍ تحميل التعليقات…