پس‌کی چیست و چرا کل امنیت حساب به آن گره خورده است؟
پس‌کی (Passkey) یک روش ورود مدرن است که می‌خواهد جای رمزهای عبور سنتی را بگیرد. به‌جای اینکه یک رمز را حفظ کنید یا آن را در جایی تایپ کنید، گوشی خودتان با اثر انگشت، Face ID یا قفل صفحه، هویت شما را تأیید می‌کند. در این مقاله می‌بینیم پس‌کی دقیقاً چطور کار می‌کند، چرا از رمز عبور امن‌تر است و چرا در یک کیف پول غیرامانی، امنیت حساب به همین یک مورد بستگی دارد.
پس‌کی چیست؟
پس‌کی در اصل یک جفت کلید رمزنگاری است که دستگاه شما می‌سازد: یک کلید خصوصی که هرگز از گوشی خارج نمی‌شود و یک کلید عمومی که به سرویس داده می‌شود. موقع ورود، سرویس یک چالش می‌فرستد، گوشی شما آن را با کلید خصوصی امضا می‌کند و سرویس با کلید عمومی، صحت امضا را بررسی می‌کند.
نکته کلیدی همین‌جاست: کلید خصوصی هیچ‌وقت جابه‌جا نمی‌شود. نه به سرور ما، نه به هیچ جای دیگر. تنها چیزی که منتقل می‌شود یک امضاست.
پس‌کی چه تفاوتی با رمز عبور دارد؟
رمز عبور یک «راز مشترک» است: شما آن را می‌دانید و سرویس هم نسخه‌ای از آن را نگه می‌دارد. همین اشتراک، منبع بیشتر دردسرهاست.
- رمز عبور را می‌شود حدس زد؛ پس‌کی را نه. چون در پس‌کی هیچ رازی وجود ندارد که بشود حدس زد.
- رمز عبور را می‌شود از شما گرفت؛ پس‌کی را نه. با پیام فریب‌کارانه، صفحه جعلی یا نگاه کردن از روی شانه. پس‌کی به دامنه سایت گره خورده است؛ پس‌کی‌ای که برای یک سایت ساخته شده، در سایت دیگر کار نمی‌کند.
- رمز عبور را می‌شود در جای دیگری لو داد؛ پس‌کی را نه. اگر یک سرویس رمز شما را از دست بدهد و شما همان رمز را جای دیگری استفاده کرده باشید، آن حساب هم در خطر است. پس‌کی برای هر سرویس جداگانه ساخته می‌شود.
- رمز عبور را باید به خاطر بسپارید؛ پس‌کی را نه.
هیچ‌کدام از این‌ها یعنی پس‌کی «جادو» است. یعنی سطح حمله‌ای که به رمز عبور وابسته بود، دیگر وجود ندارد.
پس‌کی در ضرب چطور کار می‌کند؟
در ضرب، پس‌کی همان چیزی است که با آن وارد حساب می‌شوید. گوشی شما کلید خصوصی را نگه می‌دارد و شما با اثر انگشت یا قفل صفحه تأیید می‌کنید. ما کلید خصوصی شما را نداریم و نمی‌توانیم داشته باشیم.
این جمله را باید دقیق خواند. «نمی‌توانیم» یعنی معماری حساب این‌طور ساخته شده است، نه اینکه ما تصمیم گرفته‌ایم آن را نخواهیم. کیف پول ضرب غیرامانی است: دارایی در حساب خود شماست و ما امکان بستن یا جابه‌جا کردن آن را نداریم. اگر ما کلید خصوصی را داشتیم، این جمله درست نبود.
چرا امنیت حساب به پس‌کی بسته است؟
چون در یک کیف پول غیرامانی، تنها چیزی که بین شما و از دست رفتن حساب ایستاده، دسترسی به همان کلید است. سه پیامد دارد:
اول، کسی نمی‌تواند از سمت ما حساب شما را باز کند. نه با پشتیبانی، نه با درخواست تلفنی، نه با فشار. اگر کسی به شما گفت می‌تواند «حساب را برایتان باز کند»، دروغ می‌گوید؛ چنین امکانی وجود ندارد.
دوم، امنیت حساب شما به امنیت گوشی شما بسته است. این مسئولیت واقعی است و بهتر است صریح گفته شود. قفل صفحه گوشی را فعال کنید، گوشی را به‌روز نگه دارید و پس‌کی را روی دستگاهی بسازید که در اختیار خودتان است.
سوم، بازیابی حساب یک مرحله جداگانه است. پس‌کی ورود را امن می‌کند، اما اگر گوشی را گم کنید، باید راهی برای بازگشت به حساب داشته باشید. این کار با پشتیبان بازیابی انجام می‌شود که از تنظیمات حساب ساخته می‌شود. پس‌کی و پشتیبان بازیابی دو چیز متفاوت‌اند و هر دو لازم‌اند: اولی جلوی ورود دیگران را می‌گیرد، دومی راه بازگشت خودتان را باز نگه می‌دارد.
احراز هویت چه نسبتی با این موضوع دارد؟
احراز هویت و پس‌کی دو چیز جدا هستند و اغلب با هم اشتباه گرفته می‌شوند.
- پس‌کی می‌گوید «این حساب مال همان کسی است که گوشی را در دست دارد».
- احراز هویت می‌گوید «این شخص همان کسی است که می‌گوید» و برای واریز و برداشت با کارت بانکی لازم است، چون مسیر پول از سیستم بانکی می‌گذرد و بانک باید بداند پول به چه کسی می‌رود.
یعنی احراز هویت یک الزام بیرونی است، نه یک تصمیم داخلی ما. اما یک نکته مهم دارد: احراز هویت یک‌بار انجام می‌شود و بعد از آن، واریز و برداشت به نام خودتان فعال است. اطلاعات هویتی شما جای دیگری خرج نمی‌شود و دسترسی ما به دارایی شما را بیشتر نمی‌کند؛ آن دسترسی با معماری کیف پول غیرامانی از ابتدا وجود ندارد.
چند نکته عملی
- پس‌کی را روی گوشی خودتان بسازید، نه روی گوشی مشترک یا دستگاهی که در اختیار دیگران است.
- پشتیبان بازیابی را جدا از پس‌کی بسازید. یکی برای ورود، یکی برای بازگشت.
- هیچ‌وقت کد یا تأییدیه را به کسی ندهید. هیچ‌کس در ضرب از شما نمی‌خواهد پس‌کی یا پشتیبان بازیابی را برایش بفرستید.
- اگر گوشی را عوض کردید، قبل از پاک کردن گوشی قبلی مطمئن شوید پشتیبان بازیابی دارید.
جمع‌بندی
پس‌کی یک «رمز بهتر» نیست؛ یک روش متفاوت است. رازی وجود ندارد که لو برود، حدس زده شود یا از شما گرفته شود. در کیف پولی که غیرامانی است، همین تفاوت است که امنیت حساب را می‌سازد، همراه با پشتیبان بازیابی که راه بازگشت خودتان را نگه می‌دارد.
اگر می‌خواهید همین حالا پس‌کی و پشتیبان بازیابی خود را تنظیم کنید، اپلیکیشن ضرب را باز کنید و از تنظیمات حساب شروع کنید.