Google Passkeys Pass‑ta‑key hujumi – xavf va yechimlar (2026)

Passkeys – foydalanuvchi nomi va parol o‘rniga kriptografik kalitlar asosida ishlovchi, xavfsiz autentifikatsiya usuli – tez orada internetda asosiy himoya qatlamiga aylandi. Ammo so‘nggi haftalarda xavfsizlik tadqiqotchilari Google Chrome’da saqlanadigan passkeys’ni "Pass‑ta‑key" deb nomlangan yangi hujum usuli bilan chetlab o‘tishga muvaffaq bo‘lishdi.

Hujum qanday ishlaydi?

Pass‑ta‑key usuli asosan ikki bosqichdan iborat. Birinchidan, hujumchilar foydalanuvchi brauzerida ishlovchi JavaScript kodini injekt qilish orqali WebAuthn API’ga noto‘g‘ri so‘rov yuboradilar. Ikkinchidan, bu so‘rov natijasida qurilma tomonidan yaratilgan autentifikatsiya imzosi maxsus manipulyatsiya qilingan ma'lumot bilan birlashtiriladi, natijada serverga haqiqiy foydalanuvchi tasdiqlanishi kabi ko‘rinadi.

Nega bu muhim?

Passkeys’ning asosiy afzali – ularning parolga nisbatan “phishing” hujumlariga chidamliligi. Pass‑ta‑key esa shu afzallikni susaytirib, foydalanuvchi ma'lumotlarini o‘g‘irlashga yo‘l ochadi. Bu, ayniqsa, korporativ muhitda, bir nechta foydalanuvchi bir xil qurilmalarda ishlatganida yoki umumiy kompyuterlarda Chrome sinxronizatsiyasini yoqgan holatlarda katta xavf tug‘diradi.

Kimlarga ta’sir qiladi?

• Korporativ foydalanuvchilar: korporativ hisoblarga kirish huquqi yo‘qolishi yoki ma'lumotlar bazasiga ruxsatsiz kirish.
• Shaxsiy foydalanuvchilar: banking, email, ijtimoiy tarmoqlardagi hisoblarga kirish xavfi.
• Xavfsizlik mutaxassislari: mavjud xavfsizlik siyosatlarini qayta ko‘rib chiqish va yangi himoya mexanizmlari joriy etish zarurati.

Google qanday javob berdi?

Google o‘zining rasmiy blogida “Pass‑ta‑key” hujumini tasdiqladi va Chrome 119 versiyasida bir necha xavfsizlik yamoqlarini qo‘shganini e'lon qildi. Yangi yamoqlar WebAuthn API’ga qo‘shimcha tekshiruvlar qo‘shadi, shu jumladan foydalanuvchi agentini va origin (manba) ma'lumotlarini qat'iy nazorat qiladi.

Qanday himoya choralarini ko‘rish kerak?

• Chrome brauzerini doimiy yangilab turish – so‘nggi xavfsizlik patch’lari o‘rnatilgan bo‘lishi kerak.
• Passkeys’ni faqat ishonchli qurilmalarda saqlash va umumiy kompyuterlarda sinxronizatsiyani o‘chirib qo‘yish.
• Ikki faktorli autentifikatsiyani (2FA) qo‘shimcha qatlam sifatida ishlatish, ayniqsa muhim hisoblarga kirishda.
• Web saytlarda HTTPS sertifikatining haqiqiyligini tekshirish, phishing saytlaridan saqlanish.

Kelajakdagi tendensiyalar

Pass‑ta‑key kabi hujumlar, passkeys texnologiyasining keng tarqalishi bilan birga, yangi tahdidlar ham yuzaga kelishini ko‘rsatadi. Ekspertlar, kelajakda passkeys’ni biometriya va hardware token’lar bilan birlashtirish orqali xavfsizlikni yanada mustahkamlashni tavsiya qiladilar. Shuningdek, standartlashtirilgan “attestation” (tasdiqlash) mexanizmlari orqali qurilma ishonchliligi tekshirilishi kutilmoqda.

Umuman olganda, passkeys internet xavfsizligini yaxshilashda katta imkoniyatlar yaratadi, lekin har qanday texnologiya kabi, u ham doimiy ravishda takomillashtirilishi va yangi tahdidlarga qarshi himoya choralarini ko‘rishi lozim.