قرّرت أخيرًا تفعيل المصادقة الثنائية، فاصطدمت بسؤال أول: تطبيق على هاتفك يعرض رقمًا من ستة أرقام يتغيّر كل نصف دقيقة، أم قطعة معدنية صغيرة تدخلها في منفذ USB وتلمسها بإصبعك؟ الخياران يحميان حسابك، لكنهما لا يحميانه من الشيء نفسه، والفرق بينهما ليس في «الأقوى» على الإطلاق بل في نوع الهجوم الذي يوقفه كل منهما.
العوامل الثلاثة السائدة
ما يزال أغلب الناس يستخدمون واحدًا من ثلاثة عوامل ثانية:
- رمز عبر رسالة نصية: الأضعف. الرسالة تصل إلى رقم هاتف، ورقم الهاتف يمكن نقله إلى شريحة أخرى عبر هجمات انتحال الهوية لدى شركة الاتصالات، كما يمكن اعتراضه أو قراءته من شاشة مقفلة. يبقى مع ذلك أفضل بكثير من كلمة مرور وحيدة.
- تطبيق مصادقة يولّد رموز TOTP: عند التفعيل يتبادل الموقع وتطبيقك سرًا مشتركًا، ثم يحسب كلاهما الرمز نفسه اعتمادًا على ذلك السر وعلى الوقت الحالي. لا يحتاج التطبيق إلى إنترنت ولا إلى شبكة الاتصالات، وهذا يلغي كامل مخاطر الرسائل النصية.
- مفتاح أمان مادي بمعيار FIDO2: جهاز صغير يحتفظ بمفتاح خاص لا يغادره أبدًا، ويوقّع به تحديًا تشفيريًا يرسله الموقع عند كل تسجيل دخول.
وإن لم تكن قد جرّبت TOTP من قبل، يمكنك رؤية كيف يعمل عمليًا عبر مولّد رموز TOTP للمصادقة الثنائية ومراقبة الرمز وهو يتجدّد ضمن نافذته الزمنية القصيرة.
الفارق الحقيقي: الارتباط بالمصدر
هنا يكمن الاختلاف الجوهري الذي يتجاوز كل المقارنات السطحية. رمز TOTP مجرد رقم يمكن كتابته في أي خانة، بما فيها خانة على صفحة مزوّرة تشبه صفحة الدخول الحقيقية تمامًا. الضحية تقرأ الرمز من تطبيقها بحسن نية وتكتبه في الموقع المزيّف، فيلتقطه المهاجم ويعيد استخدامه على الموقع الأصلي خلال ثلاثين ثانية. هذا سيناريو يومي لا نظري.
مفتاح الأمان لا يمكن خداعه بهذه الطريقة، لأنه يربط المفتاح المخزَّن داخله بعنوان الموقع الذي سُجّل عليه. حين تطلب صفحة مزوّرة توقيعًا، يرى المفتاح أن المصدر مختلف عن المصدر المسجَّل فيرفض ببساطة. لا يوجد رمز يُقرأ ولا سر يُملى، وليس على المستخدم أن يتعرّف على الاحتيال بنفسه، فالتحقق يجري في مستوى البروتوكول لا في مستوى انتباه الإنسان.
ما هو مفتاح الأمان عمليًا
هو جهاز بحجم قطعة نقدية أو ذاكرة صغيرة، يأتي بمنافذ USB-A أو USB-C أو Lightning، وكثير منه يدعم NFC للاتصال اللاسلكي بالهاتف بمجرد تقريبه. عند تسجيل المفتاح على حساب ما، يولّد الجهاز زوج مفاتيح جديدًا خاصًا بذلك الموقع وحده: يُسلَّم المفتاح العام إلى الخدمة، ويبقى المفتاح الخاص محبوسًا داخل الشريحة ولا يمكن استخراجه منها حتى لو وصل الجهاز إلى يد غريب. عند الدخول تلمس المفتاح بإصبعك ليؤكد وجود إنسان حاضر، فيوقّع التحدي ويكتمل الدخول.
وهذا يعني أن تسرّب قاعدة بيانات الخدمة لا يمنح المهاجم شيئًا قابلًا للاستخدام، فالمفتاح العام وحده لا يكفي لتوقيع أي شيء، على عكس السر المشترك لـ TOTP الذي يمثّل نقطة ضعف نظرية إن سُرّب من طرف الخدمة.
عيوب مفاتيح الأمان بصراحة
- تكلفة وشراء مزدوج: عليك اقتناء مفتاحين وتسجيل كليهما على كل حساب، والاحتفاظ بالثاني في مكان آمن ومنفصل. المفتاح الوحيد المفقود يعني بابًا مغلقًا في وجهك.
- دعم غير شامل: الخدمات الكبيرة تدعم FIDO2، لكن كثيرًا من المواقع المتوسطة والصغيرة ما زالت تقتصر على الرموز.
- إزعاج على الهاتف: بلا NFC ستحتاج إلى محوّل أو منفذ مناسب، وهو ما يجعل التجربة أقل سلاسة أثناء التنقل.
- شيء مادي يُنسى: المفتاح المتروك في البيت لا ينفعك في العمل.
أين يتفوّق تطبيق المصادقة
تطبيق TOTP مجاني، ويستوعب عددًا غير محدود من الحسابات، ويعمل على أي منصة تقريبًا، ولا يحتاج إلى شراء أي عتاد. هو أيضًا الخيار المتاح في المواقع التي لا تدعم مفاتيح الأمان، أي أغلب ما تستخدمه يوميًا. وإذا احتفظت بأسرار الإعداد الأولية، سواء صور رموز QR أو النصوص السرية، في مخزن مشفَّر تتحكم به وحدك، أصبح الانتقال إلى هاتف جديد مسألة دقائق بدل كارثة.
هذه الجاهزية الشاملة هي سبب اعتباره الخيار الافتراضي المعقول: عامل ثانٍ مفعَّل اليوم على كل حساباتك أفضل بكثير من عامل مثالي تؤجّله إلى أن تشتري العتاد المناسب.
وأين تقع مفاتيح المرور
مفاتيح المرور تستخدم التشفير نفسه الذي تستخدمه مفاتيح الأمان المادية، وترث منه الحصانة ذاتها ضد صفحات التصيّد لأنها مرتبطة بالمصدر أيضًا. الفارق أن المفتاح الخاص يسكن في هاتفك أو حاسوبك أو مدير كلمات المرور بدل قطعة منفصلة، ويحرسه قفل الجهاز من بصمة أو وجه أو رمز. الراحة أعلى، والتكلفة صفر، لكن الحماية مرتبطة بأمان الجهاز نفسه ونظام المزامنة السحابية الذي ينسخها. للتفصيل، راجع مقال ما هو مفتاح المرور passkey وكيف يعمل.
سلّم توصيات عملي
- فعّل أي عامل ثانٍ الآن: حتى رمز الرسالة النصية أفضل من لا شيء، ويمكنك ترقيته لاحقًا.
- اجعل تطبيق المصادقة خيارك الافتراضي: انقل إليه كل ما يدعمه، ويمكنك اختبار طريقة عمل الرموز عبر مولّد رموز المصادقة الثنائية المجاني قبل أن تعتمده.
- أضف مفتاحًا ماديًا أو مفتاح مرور إلى حساباتك عالية القيمة: بريدك الأساسي، ومدير كلمات المرور، ومسجّل النطاقات، والحسابات المالية، وحسابات التطوير والاستضافة السحابية. هذه هي الأبواب التي تفتح كل الأبواب الأخرى.
- احفظ رموز الاسترداد خارج الإنترنت: اطبعها أو اكتبها وضعها في مكان آمن، ولا تتركها في ملف على سطح المكتب. اقرأ عن دورها في مقال رموز استرداد المصادقة الثنائية.
لا تنسَ الطبقة التي تحتها
العامل الثاني إضافة إلى كلمة المرور لا بديل عنها. كلمة مرور طويلة وفريدة لكل خدمة تظل الأساس، لأن العامل الثاني قد يُلتف عليه أحيانًا عبر مسارات الاسترداد. ولّد عبارة مرور طويلة لكل حساب باستخدام مولّد كلمات المرور وعبارات المرور القوية، واحفظها في مدير كلمات مرور موثوق.
وهناك ثغرة يغفل عنها كثيرون: بريدك الإلكتروني هو مفتاح استرداد كل حساب آخر. إن بقي صندوقك الأساسي محميًا بكلمة مرور فقط، فلا قيمة كبيرة لمفتاح أمان مثبَّت على حساب مصرفي دام إعادة التعيين تمرّ عبر ذلك الصندوق. ابدأ التحصين من البريد ثم انزل إلى ما دونه.
ومن الحكمة كذلك ألا تربط كل تسجيل عابر ببريدك الأساسي المحصَّن. للمنتديات والتجارب القصيرة والتنزيلات لمرة واحدة، استخدم صندوق بريد مؤقت واترك عنوانك الحقيقي للحسابات التي تستحق الحماية فعلًا. تقليل عدد الأماكن التي يظهر فيها بريدك الأساسي يقلّل مباشرة عدد محاولات التصيّد التي تصلك.
الخلاصة
مفتاح الأمان يتفوّق في نقطة واحدة حاسمة: استحالة تسليمه إلى صفحة مزوّرة. تطبيق المصادقة يتفوّق في الانتشار والمجانية وسهولة التبنّي. القرار العملي ليس اختيار أحدهما وإهمال الآخر، بل تطبيق مصادقة على كل شيء، ومفتاح مادي أو مفتاح مرور على الحسابات التي لا يمكنك تحمّل خسارتها، ورموز استرداد محفوظة خارج الشبكة تحسبًا لليوم الذي يُفقد فيه الهاتف أو المفتاح.
