خلاصه
مدیر گذرواژه برنامه یا قابلیتی در مرورگر است که گذرواژهها را می‌سازد، ذخیره می‌کند و به‌طور خودکار وارد می‌کند تا هر حساب بتواند گذرواژه یکتای خود را داشته باشد [1][2]. مدیران گذرواژه خوب، گاوصندوق شما را روی دستگاه خودتان رمزگذاری میکنند [5]. این ابزارها بی‌خطر نیستند و رخنه‌ها و پژوهش‌ها ضعف‌هایی را آشکار کرده‌اند [6][8]. با این حال، NCSC بریتانیا و CISA آمریکا همچنان استفاده از آنها را توصیه میکنند [1][3].
نکته‌های کلیدی
- مدیر گذرواژه به شما امکان می‌دهد برای هر حساب گذرواژه قوی و متفاوتی داشته باشید و همین مانع از سرایت یک رخنه به دیگر حساب‌هایتان می‌شود [1].
- پرکردن خودکار در برابر فیشینگ کمک می‌کند، زیرا گذرواژه فقط در وب‌سایت درست وارد می‌شود [1].
- مدیران ابری مانند Bitwarden گاوصندوق را روی دستگاه شما رمزگذاری میکنند و گذرواژه اصلی هرگز به سرورهای شرکت فرستاده نمی‌شود [5].
- در سال ۲۰۲۶، پژوهشگران ETH Zurich و USI با فرض سرور مخرب، ۳۱ حمله علیه چهار مدیر گذرواژه ابری گزارش کردند؛ فروشندگان مطلع شده‌اند و رفع اشکال‌ها در جریان است [6].
- نهاد ناظر بریتانیا در دسامبر ۲۰۲۵ به دلیل رخنه ۲۰۲۲، شرکت LastPass را ۱٫۲ میلیون پوند جریمه کرد، هرچند شواهدی از رمزگشایی گذرواژههای مشتریان نیافت [8].
- از خودِ مدیر گذرواژه با یک عبارت عبور بلند و تأیید دومرحله‌ای محافظت کنید [1][3] و هر جا سایتی کلید عبور (passkey) ارائه می‌دهد از آن استفاده کنید [11].
در این صفحه ۱۱ بخش
- مدیر گذرواژه چیست؟
- مدیر گذرواژه چگونه از گذرواژهها محافظت می‌کند؟
- آیا مدیران گذرواژه امن‌اند؟
- مدیران گذرواژه در مقایسه با دیگر روش‌های نگهداری گذرواژه چگونه‌اند؟
- چگونه مدیر گذرواژه را انتخاب و راه‌اندازی کنیم؟
- رهنمودهای رسمی اکنون چه قواعدی را برای گذرواژه توصیه میکنند؟
- آینده مدیران گذرواژه چیست؟
- اشتباه‌های رایج
- پرسش‌های پرتکرار
- واژه‌نامه
- منابع
مدیر گذرواژه چیست؟
مدیر گذرواژه برنامه‌ای است که گذرواژههای شما را تولید، ذخیره و به‌طور خودکار وارد می‌کند [2]. این ابزار ممکن است در مرورگر وب یا گوشی شما تعبیه شده باشد یا برنامه‌ای جداگانه از یک شرکت ثالث باشد [1]. آن را با یک گذرواژه اصلی (که اغلب master password نامیده می‌شود) باز می‌کنید، بنابراین فقط باید یک گذرواژه قوی را به خاطر بسپارید [2].
مزیت اصلی آن این است که می‌توانید برای هر سرویس گذرواژه یکتایی داشته باشید، چون دیگر لازم نیست آنها را به خاطر بسپارید [1]. این موضوع اهمیت دارد، زیرا گذرواژههای تکراری آسیب را گسترش میدهند. NCSC توضیح می‌دهد که اگر یک حساب به خطر بیفتد، هکر می‌تواند همان گذرواژه را روی دیگر حسابهای شما امتحان کند [1].
بیشتر مدیران گذرواژه این امکانات را نیز ارائه میدهند [1]:
- تولید گذرواژه: ساختن گذرواژه‌ای قوی و یکتا برای هر حساب.
- پرکردن خودکار: وارد کردن گذرواژه به جای شما، که در برابر فیشینگ هم کمک می‌کند، زیرا فقط در وب‌سایت درست انجام می‌شود.
- همگام‌سازی: در دسترس قرار دادن گذرواژهها روی همه دستگاههای شما.
- هشدار نشت اطلاعات: آگاه کردن شما هنگامی که یک گذرواژه ذخیره‌شده نشت کرده است.
آیا نهادهای امنیتی استفاده از آنها را توصیه میکنند؟
بله. CISA، سازمان امنیت سایبری آمریکا، توصیه می‌کند همه گذرواژهها را در یک مدیر گذرواژه ذخیره کنید و از گاوصندوق آن با یک عبارت عبور قوی محافظت کنید [3]. رهنمودهای ۲۰۲۵ NIST درباره وبسایتها فراتر می‌روند: سرویسها باید استفاده از مدیر گذرواژه و پرکردن خودکار را مجاز بدانند و بهتر است چسباندن (paste) گذرواژه را نیز مجاز کنند [4].
مدیر گذرواژه چگونه از گذرواژهها محافظت می‌کند؟
گذرواژههای ذخیره‌شده شما در فایلی رمزگذاری‌شده به نام گاوصندوق (vault) نگهداری می‌شوند. سند فنی امنیتی منتشرشده Bitwarden نمونه‌ای مفصل از شیوه محافظت یک مدیر گذرواژه ابری از گاوصندوق است [5]:
- گذرواژه اصلی شما با یک تابع استخراج کلید، به‌طور پیش‌فرض PBKDF2-SHA256 با ۶۰۰٬۰۰۰ تکرار، کشیده (stretch) می‌شود تا یک کلید رمزگذاری ساخته شود. کاربران می‌توانند به جای آن Argon2id را برگزینند [5].
- گاوصندوق پیش از بارگذاری هر چیزی، روی دستگاه شما با AES-256 رمزگذاری می‌شود [5].
- گذرواژه اصلی و کلیدهای رمزگذاری‌ای که از آن به دست می‌آیند هرگز به سرورهای Bitwarden فرستاده یا در آنها ذخیره نمی‌شوند؛ سرور فقط هشی از گذرواژه اصلی دریافت می‌کند که برای بررسی ورود به کار می‌رود [5].
- سرورها داده‌های گاوصندوق را فقط به شکل رمزگذاری‌شده ذخیره و همگام‌سازی میکنند و Bitwarden میگوید کارکنانش نمی‌توانند گذرواژههای شما را ببینند [5].
این طراحی اغلب با عنوان رمزگذاری دانش صفر (zero-knowledge) تبلیغ می‌شود: شرکت نباید حتی در صورت نفوذ به سرورهایش بتواند گاوصندوق شما را بخواند. پژوهشگران یادآوری میکنند که ادعاهای فروشندگان به‌طور ضمنی حاکی از محافظت حتی در برابر سروری است که کاملاً مخرب باشد [6]. کشیدن کلید هر حدس درباره گذرواژه اصلی را کند می‌کند؛ به همین دلیل اگر روزی گاوصندوق رمزگذاری‌شده‌ای دزدیده شود، بلند بودن گذرواژه اصلی اهمیت دارد. پژوهشگران به گذرواژههای اصلی ضعیف و شمار کم تکرارها در حسابهای قدیمی‌تر LastPass اشاره کرده‌اند [9].
مدیران گذرواژه مرورگر و گوشی چه وضعی دارند؟
NCSC میگوید اجازه دادن به مرورگر یا سیستم‌عامل برای ذخیره گذرواژهها روی دستگاههای شخصی‌تان امن است و Chrome، Edge و Safari همگی این امکان را دارند [1]. برنامه Passwords شرکت Apple، که همراه با iOS 18 معرفی شد، گذرواژهها، کلیدهای عبور، گذرواژههای Wi-Fi و کدهای تأیید را ذخیره می‌کند. این برنامه درباره گذرواژه‌هایی که به‌آسانی حدس زده می‌شوند، تکراری‌اند یا در نشت‌های شناخته‌شده داده یافت شده‌اند نیز هشدار می‌دهد [10]. NCSC یادآوری می‌کند که گذرواژههای ذخیره‌شده در مرورگر فقط به اندازه دستگاهها و حسابهای شما امن‌اند، پس به‌روزرسانی‌های امنیتی خودکار را روشن نگه دارید [1].
آیا مدیران گذرواژه امن‌اند؟
مدیران گذرواژه رازهای شما را در یک جا متمرکز میکنند، به همین دلیل امنیت آنها به‌طور علنی، هم از سوی مهاجمان و هم از سوی پژوهشگران، آزموده شده است. دانستن دو مورد در این زمینه مفید است.
در رخنه LastPass چه اتفاقی افتاد؟
در اوت ۲۰۲۲، مهاجمان طی دو رخداد مرتبط به LastPass نفوذ کردند. در رخداد دوم، از نقصی در نرم‌افزار سرور رسانه روی رایانه شخصی یکی از مهندسان ارشد سوءاستفاده کردند و یک کی‌لاگر نصب کردند تا گذرواژه اصلی او را بدزدند [8]. این کار کلیدهای لازم برای دانلود پایگاه داده پشتیبان LastPass را در اختیارشان گذاشت [8]. در دسامبر ۲۰۲۵، دفتر کمیسر اطلاعات بریتانیا (ICO) شرکت LastPass را ۱٫۲ میلیون پوند جریمه کرد. این نهاد دریافت که شرکت تدابیر امنیتی به اندازه کافی محکمی به کار نگرفته بود [8]. تا ۱٫۶ میلیون کاربر بریتانیایی تحت تأثیر قرار گرفتند. نام‌ها، نشانی‌های ایمیل، شماره‌های تلفن و نشانی‌های وب‌سایت‌های ذخیره‌شده ربوده شد [8].
ICO شواهدی از رمزگشایی گذرواژههای مشتریان نیافت [8]. جدا از آن، در سال ۲۰۲۳ پژوهشگران امنیتی بیش از ۱۵۰ قربانی و بیش از ۳۵ میلیون دلار سرقت رمزارز را به عبارت‌های بازیابی (seed phrase) ذخیره‌شده در LastPass مرتبط دانستند. آنها گمان می‌کردند که گذرواژههای اصلی ضعیفِ گاوصندوق‌های دزدیده‌شده به‌صورت آفلاین شکسته می‌شوند [9]. پژوهشگران گفتند احتمالاً نمی‌توانند این سرقت‌ها را به‌طور قطعی به رخنه نسبت دهند؛ بنابراین این موضوع همچنان یک گمان است، نه یافته‌ای تأییدشده [9].
پژوهش ۲۰۲۶ ETH Zurich به چه نتیجه‌ای رسید؟
پژوهشگران ETH Zurich و دانشگاه سوئیس ایتالیایی‌زبان (USI) بررسی کردند که آیا ادعاهای «دانش صفر» چهار مدیر گذرواژه ابری در صورتی که سرور شرکت کاملاً مخرب باشد، برای نمونه پس از یک رخنه، همچنان پابرجا می‌ماند یا نه [6]. آنها ۱۲ حمله متمایز علیه Bitwarden، ۷ حمله علیه LastPass، ۶ حمله علیه Dashlane و ۶ حمله علیه 1Password ارائه کردند [6]. بیشتر این حملات امکان بازیابی گذرواژهها را فراهم میکنند و بدترینشان تا به خطر افتادن کامل همه گاوصندوق‌های یک سازمان پیش می‌روند [6].
زمینه این یافته‌ها اهمیت دارد. این حملات فرض میکنند مهاجم از پیش سرورهای فروشنده را در کنترل دارد [7]. بسیاری از آنها سپس به اقدامات عادی کاربر مانند ورود یا همگام‌سازی نیاز دارند؛ برخی دیگر به اقداماتی مانند اشتراک‌گذاری یا چرخش کلید نیازمندند [7]. پژوهشگران یافته‌ها را به فروشندگان اطلاع دادند و رفع اشکال در جریان است [6]. Dashlane گفت رمزنگاری قدیمی‌ای را که منشأ جدی‌ترین مشکلش بود حذف کرده است و LastPass با بخش‌هایی از ارزیابی شدت مخالفت کرد [7]. پژوهشگران گفتند نمی‌توانند این احتمال را رد کنند که مهاجمان پیشرفته از پیش از این ضعف‌ها آگاه باشند [7].
پس آیا همچنان باید از آن استفاده کرد؟
توصیه رسمی همچنان مثبت است. NCSC [1] و CISA [3] هر دو مدیران گذرواژه را توصیه میکنند، زیرا جایگزین آن برای بیشتر افراد، استفاده تکراری از گذرواژههای ضعیف است. درس این موارد آن است که گذرواژه اصلی قوی انتخاب کنید، تأیید دومرحله‌ای را روشن کنید و نرم‌افزار را به‌روز نگه دارید [1][3].
مدیران گذرواژه در مقایسه با دیگر روش‌های نگهداری گذرواژه چگونه‌اند؟
هر روش میان راحتی و خطرهای گوناگون بده‌بستانی برقرار می‌کند. NCSC نوشتن گذرواژهها در دفترچه را برای برخی افراد، برای نمونه کسانی که برای مدیریت حساب‌هایشان به کمک خانواده نیاز دارند، می‌پذیرد، زیرا مهاجم به دسترسی فیزیکی نیاز خواهد داشت [1]. با این حال هشدار می‌دهد که برخی بانک‌ها نوشتن گذرواژه را ممنوع میکنند، هر کسی که به دفترچه دسترسی داشته باشد می‌تواند گذرواژهها را رونویسی کند و محافظتی را که پرکردن خودکار در برابر سایت‌های فیشینگ فراهم می‌کند از دست می‌دهید [1]. CISA ذخیره گذرواژهها در یک فایل روی رایانه را توصیه نمی‌کند [2].
چگونه مدیر گذرواژه را انتخاب و راه‌اندازی کنیم؟
NCSC میگوید بهترین مدیر گذرواژه آن است که نیازهای شما را برآورده کند و استفاده از آن برایتان آسان‌تر باشد [1]. مواردی که باید سنجید عبارت‌اند از: آیا روی همه دستگاهها و سیستم‌عامل‌های شما کار می‌کند، آیا می‌توانید گذرواژه‌هایی را که تولید می‌کند تنظیم کنید، آیا هزینه می‌پردازید یا از نسخه رایگان استفاده می‌کنید، و امکانات جانبی مانند اشتراک‌گذاری گذرواژه یا هشدار نشت اطلاعات [1]. مزیت اصلی مدیر گذرواژه شخص ثالث نسبت به مدیر گذرواژه مرورگر، همگام‌سازی میان ترکیبی از مرورگرها و دستگاههای مختلف است [1].
- یک گذرواژه اصلی قوی بسازید. CISA گذرواژه‌هایی با دست‌کم ۱۶ نویسه را توصیه می‌کند که یا تصادفی باشند یا عبارت عبوری متشکل از ۴ تا ۷ واژه نامرتبط [2]، و میگوید گذرواژه گاوصندوق باید بلند، یکتا و تصادفی باشد [3].
- تأیید دومرحله‌ای را برای مدیر گذرواژه روشن کنید. NCSC میگوید این کار حتی اگر مجرمان گذرواژه اصلی شما را بدانند، مانع ورودشان می‌شود [1].
- روش بازیابی را تنظیم کنید. اگر گذرواژه اصلی را فراموش کنید، بسیاری از مدیران گذرواژه یادآور گذرواژه یا دسترسی اضطراری از طریق مخاطبان مورد اعتماد ارائه میدهند [1]. اینها را پیش از آنکه نیازتان شود تنظیم کنید.
- گذرواژههای ضعیف را جایگزین کنید. گذرواژههای موجود را بازبینی کنید و هر کدام را که بلند، یکتا و تصادفی نیست با گذرواژه‌ای که مدیر گذرواژه تولید می‌کند جایگزین کنید [3].
- از رایانه‌های مشترک پرهیز کنید. هرگز گذرواژهها را در مرورگر یک رایانه مشترک یا عمومی ذخیره نکنید [1].
- هر جا ممکن است کلید عبور اضافه کنید. NCSC اکنون کلید عبور را انتخاب نخست برای ورود توصیه می‌کند و هر جا کلید عبور در دسترس نیست، گذرواژههای قوی و تأیید دومرحله‌ای را [11]. بسیاری از مدیران گذرواژه کلیدهای عبور را نیز ذخیره میکنند؛ NCSC این ابزارها را مدیر اعتبارنامه (credential manager) می‌نامد [12].
رهنمودهای رسمی اکنون چه قواعدی را برای گذرواژه توصیه میکنند؟
سند SP 800-63B-4 مؤسسه NIST، که در سال ۲۰۲۵ نهایی شد، قواعد دیرینه گذرواژه برای وبسایتها و سرویسها را به گونه‌ای تغییر داد که با مدیران گذرواژه سازگارتر است [4]:
- گذرواژه‌هایی که تنها عامل احراز هویت‌اند باید دست‌کم ۱۵ نویسه باشند؛ گذرواژه‌هایی که همراه با عامل دیگری به کار می‌روند باید دست‌کم ۸ نویسه باشند [4].
- سرویسها باید گذرواژه‌هایی با دست‌کم ۶۴ نویسه را بپذیرند [4].
- سرویسها نباید قواعد ترکیب، مانند الزام به آمیختن انواع نویسه‌ها، را تحمیل کنند [4].
- سرویسها نباید تغییر دوره‌ای گذرواژه را اجباری کنند، اما در صورت وجود شواهد به خطر افتادن، باید تغییر آن را الزامی کنند [4].
- گذرواژههای تازه باید با یک فهرست سیاه از گذرواژههای رایج، قابل‌پیش‌بینی یا افشاشده مقایسه شوند [4].
- سرویسها باید استفاده از مدیر گذرواژه و پرکردن خودکار را مجاز بدانند و بهتر است چسباندن را نیز مجاز کنند [4].
این قواعد درباره سرویسها اعمال می‌شوند، نه مستقیماً درباره شما. آنها تولید و واردکردن گذرواژههای بلند و تصادفی را برای مدیران گذرواژه آسان‌تر میکنند.
آینده مدیران گذرواژه چیست؟
مدیران گذرواژه در حال تبدیل شدن به مدیران اعتبارنامه همه‌منظوره‌اند. برنامه Passwords شرکت Apple هم‌اکنون کلیدهای عبور و کدهای تأیید را در کنار گذرواژهها نگه می‌دارد [10]. NCSC انتظار دارد در دوره گسترش کلیدهای عبور، مردم هر جا کلید عبور هنوز ارائه نمی‌شود، همچنان از گذرواژه‌هایی استفاده کنند که با مدیر گذرواژه مدیریت می‌شوند [11][12].
پژوهش ۲۰۲۶ ادعاهای امنیتی فروشندگان را نیز زیر فشار قرار داد. پژوهشگران توصیه میکنند کاربران تازه به‌طور پیش‌فرض با جدیدترین رمزنگاری ثبت‌نام شوند و مشتریان کنونی بتوانند درباره مهاجرت به آن تصمیم بگیرند [7]. نسخه کامل مقاله، که آخرین بار در اوت ۲۰۲۶ بازنگری شد، نتایج بیشتری درباره 1Password در بر دارد [6].
این نوشته اطلاعات عمومی امنیتی است و توصیه به محصول خاصی نیست. پیش از سپردن حساب‌هایتان به یک مدیر گذرواژه، اسناد امنیتی منتشرشده و سابقه به‌روزرسانی آن را بررسی کنید.
| روش | مزیت اصلی | خطر اصلی |
|---|---|---|
| مدیر گذرواژه شخص ثالث | همگام‌سازی میان مرورگرها و دستگاههای گوناگون [1] | گذرواژه اصلی و امنیت فروشنده اهمیت حیاتی پیدا میکنند [8] |
| مدیر گذرواژه داخلی مرورگر یا گوشی | ساده‌ترین روش؛ روی دستگاههای شخصی امن است [1] | فقط به اندازه دستگاهها و حسابهای شما امن است [1] |
| نوشتن گذرواژهها در دفترچه | مهاجم به دسترسی فیزیکی نیاز دارد [1] | هر کسی که دسترسی داشته باشد می‌تواند رونویسی کند؛ بدون محافظت در برابر فیشینگ [1] |
| ذخیره گذرواژهها در یک فایل روی رایانه | توصیه نمی‌شود | CISA آن را توصیه نمی‌کند [2] |
| استفاده تکراری از یک گذرواژه به‌خاطرسپرده | نیازی به ذخیره‌سازی نیست | یک رخنه می‌تواند راه ورود به حسابهای دیگر را باز کند [1] |
اشتباه‌های رایج
استفاده از گذرواژه اصلی کوتاه یا تکراری
راه درست: از یک عبارت عبور بلند و یکتا استفاده کنید؛ CISA دست‌کم ۱۶ نویسه یا ۴ تا ۷ واژه نامرتبط را پیشنهاد می‌کند [2][3].
روشن نکردن تأیید دومرحله‌ای برای مدیر گذرواژه
راه درست: تأیید دومرحله‌ای (2SV) را برای حساب مدیر گذرواژه فعال کنید تا گذرواژه اصلی دزدیده‌شده برای ورود کافی نباشد [1].
ذخیره گذرواژهها در مرورگر یک رایانه مشترک
راه درست: NCSC میگوید هرگز گذرواژهها را در مرورگر یک دستگاه مشترک یا عمومی ذخیره نکنید [1].
نگه داشتن گذرواژههای ضعیف قدیمی پس از نصب مدیر گذرواژه
راه درست: گذرواژههای ذخیره‌شده را بازبینی کنید و هر گذرواژه ضعیف یا تکراری را با گذرواژههای تولیدشده جایگزین کنید [3].
نگهداری عبارت‌های بازیابی رمزارز در گاوصندوق ابری با گذرواژه اصلی ضعیف
راه درست: پژوهشگران عبارت‌های بازیابی ذخیره‌شده در LastPass را، هرچند نه به‌طور قطعی، با سرقت‌های بزرگ مرتبط دانستند [9]. از گذرواژه اصلی بسیار قوی استفاده کنید و نگهداری عبارت‌های بازیابی را به‌صورت آفلاین در نظر بگیرید.
پرسش‌های پرتکرار
آیا استفاده از مدیر گذرواژه امن است؟
همانطور که رخنه LastPass [8] و پژوهش ۲۰۲۶ ETH Zurich [6] نشان میدهند، این ابزارها خطرهایی دارند، اما NCSC [1] و CISA [3] همچنان آنها را توصیه میکنند، زیرا استفاده از گذرواژههای یکتا را عملی میکنند.
آیا مدیر گذرواژه داخلی مرورگرم کافی است؟
برای بسیاری از افراد، بله. NCSC میگوید ذخیره گذرواژهها در Chrome، Edge یا Safari روی دستگاههای شخصی امن است، هرچند امنیت آنها فقط به اندازه امنیت دستگاهها و حسابهای شماست [1].
اگر به شرکت سازنده مدیر گذرواژه نفوذ شود چه می‌شود؟
وقتی رمزگذاری گاوصندوق روی دستگاه شما انجام شود، مهاجمان فقط داده رمزگذاری‌شده به دست می‌آورند [5]. در پرونده LastPass، ICO شواهدی از رمزگشایی گذرواژهها نیافت [8]. گذرواژه اصلی قوی، دفاع اصلی شماست.
اگر گذرواژه اصلیام را فراموش کنم چه کنم؟
بسیاری از مدیران گذرواژه گزینههای بازیابی مانند یادآور گذرواژه یا دسترسی اضطراری از طریق مخاطبان مورد اعتماد ارائه میدهند [1]. اینها را از پیش تنظیم کنید.
آیا به جای مدیر گذرواژه از کلید عبور استفاده کنم؟
از هر دو استفاده کنید. NCSC کلید عبور را هر جا ارائه شود انتخاب نخست می‌داند و در جاهای دیگر مدیر گذرواژه همراه با 2SV را توصیه می‌کند [11]. بسیاری از مدیران گذرواژه کلیدهای عبور را نیز ذخیره میکنند [12].
آیا میتوانم گذرواژهها را در وبسایتها بچسبانم (paste)؟
بله. رهنمودهای ۲۰۲۵ NIST میگویند سرویسها بهتر است چسباندن را مجاز کنند و باید استفاده از مدیر گذرواژه و پرکردن خودکار را مجاز بدانند [4].
واژه‌نامه
- مدیر گذرواژه (Password manager)
- برنامه‌ای که گذرواژهها را تولید، ذخیره و به‌طور خودکار وارد می‌کند و با یک گذرواژه اصلی باز می‌شود [2].
- گاوصندوق (Vault)
- محل ذخیره رمزگذاری‌شده‌ای که مدیر گذرواژه گذرواژههای ذخیره‌شده شما را در آن نگه می‌دارد [5].
- گذرواژه اصلی (Master password)
- تنها گذرواژه‌ای که مدیر گذرواژه را باز می‌کند؛ NCSC آن را primary password می‌نامد [1].
- رمزگذاری دانش صفر (Zero-knowledge)
- ادعای فروشنده مبنی بر اینکه شرکت حتی اگر سرورش مخرب باشد نمی‌تواند گاوصندوق شما را بخواند؛ ادعایی که پژوهش ۲۰۲۶ آن را آزمود [6].
- تابع استخراج کلید (Key derivation function)
- تابعی کُند، مانند PBKDF2 یا Argon2id، که گذرواژه اصلی را به کلید رمزگذاری تبدیل می‌کند [5].
- مدیر اعتبارنامه (Credential manager)
- اصطلاح گسترده‌تر NCSC برای ابزارهایی که هم گذرواژه و هم کلید عبور را ذخیره میکنند [12].
منابع
- Managing your passwords (Top tips for staying secure online) UK National Cyber Security Centre (NCSC); page reviewed and updated 21 May 2026 · 2026-05-21
- Use Strong Passwords (Secure Our World) US Cybersecurity and Infrastructure Security Agency (CISA)
- Mobile Communications Best Practice Guidance, version 2.0 US Cybersecurity and Infrastructure Security Agency (CISA) · 2025-11-24
- NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management US National Institute of Standards and Technology (NIST)
- Bitwarden Security Whitepaper Bitwarden
- Zero Knowledge (About) Encryption: A Comparative Security Analysis of Four Cloud-based Password Managers IACR Cryptology ePrint Archive (Scarlata, Torrisi, Backendal, Paterson; ETH Zurich and USI); last revised 2026-08-12
- Password managers don't protect secrets if pwned The Register · 2026-02-16
- LastPass hammered with £1.2M fine for 2022 breach fiasco The Register (Connor Jones) · 2025-12-11
- Experts Fear Crooks are Cracking Keys Stolen in LastPass Breach KrebsOnSecurity · 2023-09-05
- iOS 18 makes iPhone more personal, capable, and intelligent than ever Apple Newsroom · 2024-06-10
- NCSC: Leave passwords in the past - passkeys are the future UK National Cyber Security Centre (NCSC) · 2026-04-23
- Passkeys: what you need to know UK National Cyber Security Centre (NCSC)
نظرات
نظرهای برتر