مقال رأي: خاصية remote attestation في معيار WebAuthn تجعل الموقع يقرر أي جهاز يقبل
المغزى: الـ passkeys أكثر أمانًا من كلمة المرور، لكن المعيار يحمل خاصية تنقل قرار قبول الجهاز من المستخدم إلى الموقع، وأول من يتأثر بها من يستعمل نظامًا أو متصفحًا غير شائع.
نُشر في 10 أكتوبر 2026 مقال رأي لكاتب يستعمل اسمًا مستعارًا، يقول إن الـ passkeys، وهي البديل الأحدث لكلمات المرور، تحمل خاصية لا ينتبه إليها كثيرون اسمها remote attestation. ويكتب أن هذه الخاصية تعني أن المستخدم لم يعد صاحب القرار في ما يخص مفاتيحه.
والآلية موصوفة في معيار WebAuthn نفسه، وليست رأيًا. فالمعيار يسمح للموقع أن يطلب من الجهاز إثباتًا موقّعًا من شريحته الأمنية. ومن هذا الإثبات يعرف الموقع أي passkey manager يستعمله المستخدم، وأي نظام تشغيل، وأي إصدار firmware. ثم يقرر أن يقبل أو يرفض.
وبهذا ينتقل قرار كان للمستخدم إلى قائمة يحتفظ بها الموقع. ولا يسمّي المقال موقعًا يرفض الأجهزة بهذه الطريقة اليوم، لكن الخاصية موجودة في المعيار وجاهزة للاستعمال. ومن يستعمل نظامًا غير رسمي على هاتفه، أو متصفحًا من خارج المتصفحات الكبرى، سيكون أول من يُستبعد إن استُعملت.
ويشير المقال إلى فرق ثانٍ لا يظهر في الواجهة. فبعض الـ passkeys يمكن نسخه بين الأجهزة وبعضها لا. والمفتاح المحفوظ داخل شريحة لا يمكن إخراجه، فإذا تعطل الجهاز ضاع معه الدخول، وهو خطر قريب مما ناقشه مقال سابق عن قفل الحساب.
وفي المقابل، يعترف الكاتب بأن الـ passkeys تقاوم هجوم الوسيط فعلًا لأنها مربوطة بالنطاق، وبأن للـ attestation استعمالات مشروعة. وفي تعليقات المقال من يرى الحجة مبالغًا فيها، ويعدّ passkeys مدير كلمات المرور Bitwarden خيارًا سليمًا.
ويبقى السؤال العملي لمن نقل حساباته كلها إلى الـ passkeys وأغلق ما سواها: أين يوجد المفتاح الاحتياطي، ومن يملك قرار قبوله.