پایان دوران پسوردها؛ چرا در عصر هوش مصنوعی دیگر هیچ رمزی امن نیست؟

این روز‌ها تب‌و‌تاب جایگزینی رمزهای عبور سنتی با «کلیدهای عبور» (Passkeys) حسابی بالا گرفته و همه جا صحبت از تغییر شیوه ورود به حساب‌های کاربری است. مرکز ملی امنیت سایبری بریتانیا (NCSC) هم مثل یک شتاب‌دهنده برای این موج عمل کرده و این تحول را «خانه‌تکانی اساسی در دهه‌ها تجربه امنیتی» نامیده است. در نهایت کل صنعت فناوری به یک نقطه اشتراک غیرقابل‌انکار رسیده: پسوردهای سنتی و ثابت، در برابر حملات مدرن و خودکار هوش مصنوعی عملاً هیچ دفاعی ندارند و کارایی‌شان را از دست داده‌اند.

الکس لوری، از مدیران ارشد فناوری در شرکت مطرح Ping Identity، با بررسی این وضعیت تصویری شفاف از پشت‌پرده این دگرگونی ارائه می‌دهد.

هوش مصنوعی جرایم سایبری را به یک صنعت تمام‌عیار، فوق‌العاده کارآمد و در مقیاس صنعتی تبدیل کرده است. با کشف باج‌افزارهای مبتنی بر ایجنت (Agentic Ransomware) توسط پژوهشگران، با سرعتی باورنکردنی در حال نزدیک شدن به واقعیتی هستیم که خطوط دفاعی سنتی و انسان‌محور در برابر آن کاملاً ناتوان هستند. مجرمان سایبری اکنون با خیال راحت ابزار‌های صنعتی هوش مصنوعی را برای اجرای حملات گسترده تزریق اطلاعات کاربری (Credential Stuffing) و راه‌اندازی کمپین‌های فیشینگ فوق‌العاده واقعی به کار می‌گیرند؛ حملاتی که با سرعت و مقیاس سرسام‌آور ماشین‌ها انجام می‌شوند.

برای سازمان‌ها و شرکت‌ها، مهاجرت به سمت کلیدهای عبور و سایر روش‌های احراز هویت بدون رمز (Passwordless)، کاملاً به میزان پیشرفته بودن سیستم‌های مدیریت هویت و دسترسی (IAM) آن‌ها بستگی دارد. جالب است بدانید در میان کسب‌وکارهایی که استراتژی مشخصی برای مدیریت هویت ندارند، تنها ۳۰ درصد سراغ جایگزین‌های پسورد رفته‌اند. واقعیت تلخ این است که بدون به‌کارگیری سیستم‌های بدون رمز، هکرها همچنان اعتماد دیجیتال کاربران را هدف قرار داده و آن را متزلزل می‌کنند.

دردسر کاربران و دیوارهای شکننده امنیتی

سال‌های سال امنیت هویت فقط به عنوان یک دغدغه محدود و جداگانه در بخش عملیات فنی سازمان‌ها دیده می‌شد. اما امروز، از آنجایی که تجربه کاربری مستقیماً درآمد شرکت‌ها را رقم می‌زند، فراهم کردن یک سیستم مدیریت هویت یکپارچه و بی‌دردسر به یک الزام حیاتی تجاری تبدیل شده است.

رمزهای عبور همیشه یک معادله باخت-باخت به همراه دارند: اگر کاربران را مجبور کنید رشته‌های طولانی و پیچیده‌ای از حروف و نشانه‌ها بسازند، دچار «خستگی پسورد» می‌شوند و کلافه خواهند شد؛ اگر هم کاربران بخواهند کار را راحت کنند و پسوردهای تکراری یا قابل حدس بگذارند، دروازه‌ها را برای نفوذ هکرها باز می‌گذارند. هر زمان که امنیت سدی در برابر تجربه کاربری راحت شود، کل مدل کسب‌وکار به زمین می‌خورد.

مانع دیگر پسوردها این است که با وجود نگرانی شدید اکثر مردم از سرقت هویت و کلاهبرداری‌های اینترنتی، تنها ۱۷ درصد از آن‌ها به سازمان‌ها برای حفظ اطلاعات هویتی‌شان اعتماد کامل دارند. کلیدهای عبور با اتکا به احراز هویت رمزنگاری‌شده، دقیقاً دست روی همین بحران بی‌اعتمادی می‌گذارند و آن را حل می‌کنند.

از آنجایی که کلید خصوصی (Private Key) به شکلی امن روی خود دستگاه کاربر ذخیره می‌شود و هرگز به سرور‌های مرکزی یا اپلیکیشن‌ها فرستاده نمی‌شود، اساساً هیچ پایگاه داده مرکزی برای هک شدن توسط مهاجمان وجود ندارد. علاوه بر این، کلیدهای عبور در برابر فیشینگ نفوذناپذیرند و خطر به دام افتادن کاربران در تله مهندسی اجتماعی را کاملاً از بین می‌برند. برخلاف پسوردها، این کلیدها از نظر رمزنگاری فقط به دامنه اینترنتی مشخص و تأییدشده اختصاص دارند و همین ویژگی، لایه دفاعی قدرتمند دیگری در برابر هکرها ایجاد می‌کند.

تأمین امنیت هویت‌های خودمختار و ایجنت‌ها

حرکت به سوی هوش مصنوعی مبتنی بر ایجنت (Agentic AI) – یعنی سیستم‌های کاملاً خودمختاری که با کم‌ترین دخالت انسانی کار می‌کنند – مدل‌های سنتی احراز هویت را در هم می‌شکند. رمزهای عبور از همان ابتدا برای مغز انسان‌ها طراحی شده بودند تا آن‌ها را به خاطر بسپارد.

یک ایجنت هوش مصنوعی خودکار، مانند دستیارهای دیجیتال مستقل، خریداران شخصی یا جریان‌های کاری ترکیبی، نمی‌تواند بدون ایجاد آسیب‌پذیری‌های هولناک یک رمز عبور را «به خاطر بسپارد»؛ ذخیره رمزها به شکل کدنویسی ثابت (Hardcoded) یا به اشتراک گذاشتن توکن‌های نشست (Session Tokens) ریسک‌های امنیتی دائمی و بسیار خطرناکی خلق می‌کند.

اگر به یک ایجنت دسترسی‌های فراتر از نیاز یا دسترسی‌های کامل انسانی داده شود، یک هوش مصنوعی آسیب‌دیده یا نفوذیافته می‌تواند داده‌های حساس را با سرعت ماشین به سرقت ببرد؛ سرعتی که هیچ سیستم دفاعی سنتی توان واکنش در برابر آن را نخواهد داشت.

برای حفظ امنیت این نیروی کار خودمختار رو به رشد، ایجنت‌های هوش مصنوعی باید هویت مستقل و درجه‌یک مخصوص به خود را با مجوزهای زمان‌دار و متناسب با وظایف مشخص داشته باشند. کلیدهای عبور و اعتبارسنجی غیرمتمرکزِ رمزنگاری‌شده، امنیت این هویت‌های ماشینی را تضمین می‌کنند و به سازمان‌ها اجازه می‌دهند تعاملات و جریان‌های کاری ایجنت‌ها را بدون لو رفتن اطلاعات هویتی کاربران انسانی، با دقت ارزیابی و رصد کنند.

گذار بزرگ: از رمزهای عبور سنتی تا کلیدهای عبور

غول‌های دنیای فناوری موتور محرک پذیرش کلیدهای عبور هستند. شرکت‌های بزرگی مانند گوگل (Google) و آمازون (Amazon) به درستی لزوم راحتی کاربران و ارتقای امنیت حساب‌ها را حس کرده‌اند و در حال تبدیل کلیدهای عبور به استاندارد پیش‌فرض احراز هویت خود هستند. کسب‌وکارهایی که برای ورود به ساختارهای بدون پسورد دست‌دست کنند، در عمل باید از خطوط دفاعی سنگرهایی محافظت کنند که برای عصری کاملاً متفاوت ساخته شده بودند.

هرچند اکثر سازمان‌ها اکنون اهمیت مهاجرت به راهکارهای بدون رمز را درک کرده‌اند، اما دور شدن از رمزهای سنتی با پیچیدگی‌های دنیای واقعی گره خورده است. بسیاری از زیرساخت‌های قدیمی و سیستم‌های اصلی فناوری اطلاعات، وابستگی عمیقی به پسوردها دارند و این رمزها در تاروپود فرایندهای تجاری ریشه دوانده‌اند.

به همین دلیل مدیران فناوری اطلاعات نگران‌اند که به‌روزرسانی این سیستم‌ها نیازمند بازنویسی حجم عظیمی از کدها و صرف منابع گسترده برنامه‌نویسی تخصصی باشد؛ واقعیتی که نشان می‌دهد جایگزینی آن‌ها نیازمند یک هماهنگی و مدیریت بسیار دقیق است.

برای حل این چالش، پلتفرم‌های مدرن مدیریت هویت با ابزار‌های کم‌کد (Low-Code) یا بدون کد (No-Code) به شرکت‌ها این امکان را می‌دهند تا مسیرهای پیچیده احراز هویت را به شکلی بصری طراحی، آزمایش و به‌صورت روان پیاده‌سازی کنند. این قابلیت به کسب‌وکارها اجازه می‌دهد تا گزینه‌های مدرن بدون رمز عبور، مانند کلیدهای عبور یا تأیید بیومتریک را به شکلی تدریجی پیاده کنند؛ بدون آنکه جریان کاری کاربران مختل شود یا نیاز به کوبیدن و از نو ساختن کل سیستم‌های قدیمی باشد.

با فراهم شدن امکان نوسازی فرایندهای امنیتی بدون آسیب به تجربه کاربری یا از دسترس خارج شدن سرویس‌ها، هماهنگی پیشرفته سیستم‌های هویت به اهرمی کلیدی برای رشد کسب‌وکارها تبدیل می‌شود.

آینده اعتماد دیجیتال از امنیت هویت آغاز می‌شود

چشم‌انداز تهدیدات سایبری با ورود حملات خودکار، دیپ‌فیک‌ها و نرم‌افزارهای خودمختار به کلی در حال دگرگونی است. در برابر چنین حملات پیچیده‌ای، مفهوم ورودهای مقطعی و ایستا به حساب کاربری کاملاً منسوخ شده است. هشدار صریح مرکز ملی امنیت سایبری بریتانیا (NCSC) شاید همان تلنگر نهایی باشد که سازمان‌ها برای کنار گذاشتن همیشگی پسوردها و بازتعریف امنیت در دنیای دیجیتال به آن نیاز داشتند.

در پیش گرفتن رویکرد «هویت‌محور» با تمرکز بر کلیدهای عبور و هماهنگی هوشمند مدیریت هویت، به سازمان‌ها اجازه می‌دهد اصطکاک و کلافگی کاربران را به حداقل برسانند، امنیت هویت‌های انسانی و ماشینی را هم‌زمان تقویت کنند و اعتمادی پایدار برای پیشرفت مطمئن در عصر هوش مصنوعی بسازند.