برای دهه‌ها، رمزهای عبور (Passwords) یکی از پایدارترین نقاط ضعف در امنیت سایبری بوده‌اند. کاربران آن‌ها را فراموش می‌کنند، دوباره استفاده می‌کنند یا در برابر سایت‌های فیشینگ (Phishing) فریبنده، آن‌ها را تسلیم می‌کنند. مهاجمان با سرقت اعتبارنامه‌ها (Credentials) و استفاده از هوش مصنوعی، حملات مهندسی اجتماعی را بسیار مؤثرتر کرده‌اند.
پس‌کی‌ها (Passkeys) وعده می‌دهند که بخش بزرگی از این مشکل را حل کنند. این فناوری که بر پایه رمزنگاری کلید عمومی (Public-key cryptography) بنا شده است، جایگزین اسرار مشترک با اعتبارنامه‌های رمزنگاری‌شده می‌کند. در این مدل، رمز عبوری وجود ندارد که مهاجم بتواند آن را سرقت، رهگیری یا در سرویس‌های دیگر بازاستفاده کند. پس‌کی‌ها اگر به درستی پیاده‌سازی شوند، در برابر فیشینگ مقاوم (Phishing-resistant) هستند، زیرا فرآیند احراز هویت به سرویس اصلی گره خورده است.
شکاف میان احراز هویت و اعتماد به هویت
اگرچه پس‌کی‌ها نسبت به روش‌های سنتی احراز هویت چندعاملی (MFA) پیشرفت بزرگی محسوب می‌شوند، اما یک سوال بنیادی را بی‌پاسخ می‌گذارند: صرف اینکه یک کاربر با موفقیت احراز هویت شده است، آیا لزوماً باید به آن هویت اعتماد کرد؟ پس‌کی‌ها احراز هویت را تقویت می‌کنند، اما ریسک‌های مربوط به هویت (Identity Risk) را از بین نمی‌برند.
بسیاری از حملات مدرن پس از مرحله ورود (Login) رخ می‌دهند. مهاجمان می‌توانند نشست‌های احراز هویت شده (Authenticated Sessions) را ربوده، دستگاه‌های مورد اعتماد را مختل کرده یا از امتیازات دسترسی سوءاستفاده کنند. در این حالت، مکانیزم احراز هویت دقیقاً طبق طراحی عمل کرده، اما هویت همچنان در معرض خطر است.
نقش حیاتی تشخیص تهدیدات هویت (Identity Threat Detection)
سازمان‌ها نباید تصور کنند که احراز هویت قوی‌تر، مشکل گسترده‌تر امنیت هویت را حل می‌کند. چالش‌های مهمی مانند امنیت در مرحله ثبت‌نام (Enrollment)، فرآیندهای بازیابی حساب (Account Recovery) و تغییر دستگاه‌ها همچنان باقی هستند. اگر مسیر بازیابی حساب به روش‌های ضعیفی مانند پیامک (SMS) یا ایمیل وابسته باشد، مهاجمان به جای حمله به پس‌کی، از این مسیرهای جایگزین استفاده خواهند کرد.
راهکار نهایی، حرکت از مدل «یک‌بار احراز هویت و اعتماد همیشگی» به سمت مدل «برقراری اعتماد و ارزیابی مستمر ریسک» است. سازمان‌ها باید با استفاده از تشخیص تهدیدات هویت (Identity Threat Detection)، ویژگی‌های دستگاه، رفتارهای غیرعادی (Anomalous behavior) و بافتار تراکنش‌ها را به طور مداوم رصد کنند. این رویکرد مبتنی بر ریسک (Risk-based model) اجازه می‌دهد کاربران واقعی بدون مشکل فعالیت کنند، در حالی که هرگونه تغییر در سطح ریسک، کنترل‌های امنیتی بیشتری را فعال می‌کند.
