تاريخ المصادقة الثنائية: من الرموز المادية إلى مفاتيح المرور

لماذا لم تعد كلمات المرور وحدها كافية

عقود من الزمان، كان اسم المستخدم وكلمة المرور هما كل ما يفصل المهاجم عن حسابك. كان ذلك مقبولًا حين كانت الحسابات تعيش على خادم مكتب واحد. توقف الأمر عن أن يكون مقبولًا عندما انتقل كل شيء تقريبًا — الخدمات المصرفية، البريد الإلكتروني، العمل، التسوق — إلى الإنترنت.

تفاقمت مشكلتان. أولاً، يعيد الناس استخدام كلمات المرور: اختراق واحد في موقع ثانوي يضع في أيدي المهاجمين بيانات اعتماد قد تفتح أيضًا صندوق بريد إلكتروني أو حسابًا مصرفيًا. ثانيًا، بلغت الاختراقات نطاقًا صناعيًا، فأنتجت كنوزًا هائلة من أزواج اسم المستخدم وكلمة المرور المسروقة يختبرها المجرمون آليًا ضد خدمات أخرى. تُعرف هذه التقنية باسم "تعبئة بيانات الاعتماد"، وهي تلقائية بالكامل: تجرب المهاجم ملايين الأزواج المسروقة خلال ساعات، ولا يحتاج إلى معرفة مسبقة بحساباتك.

للمصادقة أحادية العامل خلل بنيوي: العامل الوحيد الذي تعتمد عليه — السر — يمكن تخمينه أو سرقته أو إعادة استخدامه أو الحصول عليه عبر التصيد الاحتيالي. صفحة تسجيل دخول مزيفة، مطابقة تمامًا للموقع الحقيقي، تكفي لخداع حتى المستخدم الحذر.

يصف الباحثون في مجال أمن المعلومات المصادقة من حيث ثلاثة أنواع من العوامل:

• شيء تعرفه — كلمة مرور أو رقم PIN
• شيء تملكه — هاتف أو رمز مميز مادي أو مفتاح أمان
• شيء أنت عليه — بصمة إصبع أو وجه

الجمع بين عاملين مختلفين يرفع سقف التحدي بشكل حاد: كلمة المرور المسروقة وحدها لم تعد تفتح الباب. يجب على المهاجمين أيضًا سرقة جهاز أو بيانات حيوية. وهنا يكمن الفرق الجوهري عن مجرد "كلمة مرور قوية": قوة السر لا تحمي من سرقته، بينما العامل الثاني مستقل عنه تمامًا. انتبه أيضًا إلى خطأ شائع: أسئلة الأمان ("اسم مدرستك الأولى؟") ليست عاملاً ثانيًا حقيقيًا، لأنها سرّ ثانٍ تعرفه وتُسرق بنفس الطريقة. تلك الفكرة البسيطة تقود كل ما يلي.

عصر الرموز المادية (الثمانينيات–الألفينات)

كانت عوامل المصادقة الثانية الأولى واسعة الاستخدام عبارة عن رموز مادية صغيرة: ميداليات مفاتيح أو أجهزة بحجم البطاقة مزودة بشاشة صغيرة تعرض رمزًا رقميًا. أصدرتها البنوك لعملائها من الشركات، وسلمتها المؤسسات لموظفيها لتسجيل الدخول إلى VPN والشبكات. وأصبحت SecurID من RSA، التي ظهرت في الثمانينيات، المثال الأشهر.

كيف عملت الرموز دون اتصال

لم تكن الرموز بحاجة إلى أي اتصال. في التصاميم المعتمدة على الوقت، كان الرمز والخادم يتشاركان بذرة سرية وساعة؛ ففي كل دقيقة أو نصف دقيقة، يشتق الطرفان الرمز نفسه من تلك البذرة مضافًا إليها الوقت الحالي. أما التصاميم المعتمدة على الأحداث فاستبدلت الساعة بعدّاد: يؤدي الضغط على الزر إلى زيادة العدّاد، ويحسب الطرفان الرمز من العدد الجديد. ولأن الرمز والخادم اتبعا القواعد نفسها، بقيا متزامنين دون أي تواصل بينهما.

هذا النموذج دون اتصال كان ميزة أمنية بحد ذاته: لا توجد إشارة لاعتراضها، ولا خادم لاستهدافه لحظة إدخال الرمز. لكنه فرض قيودًا عملية. إذا انحرفت ساعة الجهاز، أو ضُغط الزر مرات عديدة دون استخدام (في التصاميم المعتمدة على الأحداث)، توقفت الأرقام المعروضة عن مطابقة ما يتوقعه الخادم، فاضطر المستخدم إلى الاتصال بمكتب المساعدة لإعادة مزامنة الرمز. ولأن الخوادم كانت تقبل عادة الرمز السابق أو اللاحق لمجرد التسامح مع انحراف الوقت، ضاقت نافذة القبول كي لا تصبح ثغرة.

لماذا لم يرها المستخدمون العاديون أبدًا

كان لا بد من تصنيع كل ميدالية مفتاح وشحنها وتسجيلها ثم استبدالها في نهاية المطاف عندما ينفد بطاريتها أو تضيع. تلك التكلفة عن كل مستخدم، إضافة إلى أعباء المخزون ومكتب المساعدة، حصرت الرموز المادية في البنوك والمؤسسات الكبيرة. وكانت البذرة السرية المثبتة في كل جهاز تُدار مركزيًا، فأي تسريب لقاعدة بيانات البذور يهدد جميع الأجهزة دفعة واحدة — وهو خطر لم يكن يهم المستخدم المنزلي أصلًا لأنه لم يكن يملك رمزًا من البداية.

رموز الرسائل النصية تجعل 2FA سائدًا

بحلول منتصف العقد الأول من الألفية، كانت الهواتف المحمولة في كل مكان. أدركت البنوك أنها تستطيع إرسال رمز يُستخدم مرة واحدة عبر رسالة نصية لتأكيد تسجيل الدخول أو التحويل، وفجأة وصل العامل الثاني إلى ملايين الناس بين عشية وضحاها. لا داعي لشراء جهاز توكن ولا لتثبيت برامج — الهاتف الموجود بالفعل في جيبك أصبح هو العامل الثاني.

اتبعته خدمات الويب. أضاف مزوّدو البريد الإلكتروني وشبكات التواصل الاجتماعي ومواقع التسوق خيار «إرسال رمز إلى هاتفك»، ولم تعد 2FA أداة أمنية للشركات، بل أصبحت شيئًا يمكن للمستخدمين العاديين تفعيله ببضع نقرات.

لكن للرسائل النصية (SMS) سلبيات حقيقية:

• تبديل شريحة SIM (SIM swapping): المهاجم الذي يخدع شركة الاتصالات أو يرشوها لنقل رقمك إلى شريحة SIM جديدة يتلقى رموزك.
• الاعتراض: تنتقل الرموز عبر شبكة الهاتف المحمول ويمكن التقاطها من خلال هجمات اتصالات معينة.
• الاعتماد على شركة الاتصالات: لا إشارة، لا تجوال، لا رمز — وغالبًا لا سبيل إلى حسابك.

كما أن الرسائل القديمة تبقى في سجل المحادثات؛ من يسرق هاتفك أو يستعيره لدقيقة قد يقرأ رمزًا لم تنته صلاحيته بعد. والانتظار طويلًا لوصول رمز متأخر يدفع البعض إلى إعادة الطلب مرارًا، فيتراكم رمز فعّال أكثر من واحد.

إن كنت مضطرًا لاستخدام SMS، فقلّل الضرر: فعّل كلمة مرور لحسابك لدى شركة الاتصالات، واسألها عن خيار قفل التحويل، ولا تشارك الرمز مع أي أحد مهما بدا الطلب شرعيًا — البنوك لا تطلبه أبدًا.

جعلت الرسائل النصية 2FA سائدًا، لكنها كشفت أيضًا عن خلل: العامل الثاني كان ملكًا لشركة الاتصالات، لا لك.

تطبيقات المصادقة (Authenticator) والموافقات عبر الإشعارات الفورية

لقد أصبحت الهواتف الذكية بمثابة رمز مادي (hardware token) يحمله الجميع في جيوبهم. تُنشئ تطبيقات TOTP مثل Google Authenticator وAuthy رموزاً صالحة لمدة 30 ثانية دون اتصال بالإنترنت اعتماداً على سرّ مشترك. ولأن التوليد يتم محلياً، تعمل الرموز في وضع الطيران ولا تنتقل عبر الشبكة أبداً — لا اعتماد على شركة الاتصالات، ولا اعتراض للرمز نفسه.

تسهيل التسجيل

كان الإعداد المبكر يعني كتابة مفاتيح base32 الطويلة يدوياً. استبدلت عملية التسجيل عبر رمز QR ذلك: امسح، وانتهى الأمر. انتقلت الأسرار في ثوانٍ، ما قلّل أخطاء الكتابة وطلبات الدعم.

لكن حفظ نسخة احتياطية يبقى خطوة يهملها كثيرون: إذا ضاع الهاتف أو استُبدل، يفقد المستخدم وصوله إلى الحسابات. لذلك تُبدي معظم الخدمات رمز استرداد عند التسجيل — يجب تخزينه مطبوعاً أو في مكان آمن منفصل عن الهاتف، لا في لقطة شاشة داخل نفس الجهاز. ومن الأخطاء الشائعة أيضاً الاعتماد على تطبيق واحد دون ملاحظة أن بعض التطبيقات، مثل Authy، تُخزّن الأسرار سحابياً بينما لا يفعل Google Authenticator ذلك في جميع إصداراته؛ فالسلوك يختلف من تطبيق لآخر ومن منصة لأخرى.

الموافقات عبر الإشعارات الفورية

استبدلت الموافقة عبر الإشعار الفوري الكتابة تماماً: يصل إشعار، ونقرة واحدة تسجّل دخولك. كانت أسرع، وأقل عرضة للخطأ، وتعمل حتى عندما لا يستطيع المستخدمون رؤية شاشة تسجيل الدخول. وأضاف "مطابقة الأرقام" (Number matching) — أي كتابة رمز يظهر على الشاشة في المطالبة — لاحقاً حاجزاً ضد الموافقات العرضية.

لكن هذه السهولة سلاح ذو حدين. تعلّم المهاجمون إرسال طلبات الموافقة مراراً وتكراراً حتى يضغط مستخدم مُتعب على "قبول" — وهو ما يُعرف بإجهاد الإشعارات (push fatigue). تقلّل مطابقة الأرقام والمطالبات الأوضح من هذا الخطر لكنها لا تلغيه. وكما هو الحال مع كلمات المرور ورموز SMS، يمكن التصيّد الاحتيالي لرموز TOTP ببساطة عندما يُخدع المستخدمون لقراءتها بصوت عالٍ.

مفاتيح الأمان والتحول إلى المصادقة بالمفتاح العام

بحلول أوائل عقد 2010، شرعت مجموعة تُدعى تحالف FIDO في إزالة نقطة الضعف الجوهرية في كل الطرق السابقة لها: السر المشترك. فكلمات المرور ورموز الرسائل القصيرة (SMS) بل وبذور TOTP توجد على جانب الخادم وجانب المستخدم معًا، بحيث يستطيع أي شخص يسرق نسخة الخادم تسجيل الدخول. استبدل FIDO هذا النموذج بالتشفير بالمفتاح العام. فالمفتاح الخاص لا يغادر جهازك أبدًا؛ ويخزّن الخادم مفتاحًا عامًا فقط ويصدر تحديات لا يستطيع الإجابة عنها إلا مفتاحك الخاص. لا يعبر أي سر الشبكة أبدًا.

مفاتيح الأمان المادية

مفاتيح الأمان هي أجهزة مادية صغيرة تتصل عبر USB أو NFC أو Bluetooth. خاصيتها المميزة هي مقاومة التصيد: يتحقق المفتاح من أصل الموقع قبل توقيع أي شيء، فلا تتلقى صفحة تسجيل دخول مزيفة على نطاق مشابه توقيعًا صالحًا.

عند التسجيل في موقع ما، اضغط على المفتاح المادي مرة واحدة فقط ليُنشئ زوج المفاتيح لهذا الموقع تحديدًا. وعند كل تسجيل دخول لاحق، اضغط عليه مجددًا بعد لمسه باليد أو بقرصه — فالضغط الفعلي شرط لازم، ما يعني أن سرقة جهازك من بعيد لا تكفي المهاجم لشيء.

لماذا يهمّ ربط الأصل

لأن كل توقيع مرتبط بالأصل الدقيق، فلا يمكن إعادة استخدام بيانات اعتماد مُلتقطة من موقع واحد في موقع آخر — ولا في الموقع نفسه عبر نطاق منتحَل. لا يوجد ببساطة شيء قابل لإعادة الاستخدام لسرقته.

الخطأ الشائع: تسجيل مفتاح أمان واحد فقط. افقده أو تعطّل، فتُغلق خارج حسابك نهائيًا. سجّل مفتاحين على الأقل، واحفظ الأول في مكان منفصل عن الثاني، وأبقِ رموز الاسترداد مطبوعة في مكان آمن. كما أن بعض المواقع تسمح بإضافة المفتاح كطريقة ثانية فقط؛ إن كان خيارًا متاحًا، اجعله الطريقة الأساسية لأنه وحده الذي يصمد أمام التصيد الكامل.

مفاتيح المرور: الفصل الحالي

تُعد مفاتيح المرور أحدث فصل في هذه القصة، إذ بُنيت على إطار العمل FIDO2 وبروتوكوله WebAuthn الذي يتيح للمواقع التحقق من تسجيل الدخول مباشرة في المتصفح. وتستبدل مفتاح المرور السر المشترك لكلمة المرور بزوج مفاتيح تشفيرية: يبقى المفتاح الخاص على جهازك أو في حسابك المتزامن، بينما يخزّن الموقع النصف العام فقط.

ما الذي يتغير في عمليات تسجيل الدخول اليومية

• لا شيء تكتبه. تسجيل الدخول يعني التأكيد ببصمة الإصبع أو الوجه أو رمز PIN الخاص بالجهاز. لا رموز تُستلم أو يُعاد كتابتها أو يُعترض عليها.
• متزامنة عبر الأجهزة. تُزامن Apple وGoogle وMicrosoft مفاتيح المرور عبر خدمات حساباتها، فلا يؤدي فقدان جهاز واحد إلى حجبك عن الدخول.
• لا أسرار على الخادم. لأن المواقع تحتفظ بالمفاتيح العامة فقط، فإن اختراق قاعدة البيانات لا يكشف شيئًا يمكن للمهاجم استخدامه لتسجيل الدخول.

كما أن مفاتيح المرور مقاومة للتصيّد الاحتيالي بطبيعتها: يربط المتصفح كل بيانات اعتماد تشفيريًا بعنوان الموقع الشرعي، فلا يستطيع موقع مزيف مقنع جمع بيانات اعتماد تعمل في أي مكان آخر.

عمليًا، يبدو الانتقال هكذا: عند إنشاء حساب جديد، يعرض المتصفح خيار "حفظ مفتاح مرور"، فتؤكد ببصمتك فيُنشأ الزوج ويُخزَّن مفتاحه الخاص في سلسلة مفاتيح النظام. وفي المرة التالية، يعرض الموقع زر "تسجيل الدخول بمفتاح المرور" بدل حقل كلمة المرور.

من الأخطاء الشائعة: الاعتماد على مفتاح مرور واحد مخزَّن على جهاز قديم دون مزامنة، ففقدان الجهاز يعني فقدان الحساب. لذلك فعِّل المزامنة أولًا، واحتفظ بوسيلة استرداد ثانية — مفتاح مرور على جهاز آخر أو طريقة بديلة يوفرها الموقع — قبل حذف كلمة المرور القديمة.

ما الذي يعلّمنا إياه التاريخ

كل جيل من أنظمة المصادقة الثنائية (2FA) وازن الأشياء الثلاثة نفسها بطريقة مختلفة. كانت الرموز المادية آمنة لكنها مكلفة وسهلة الضياع. كانت رموز الرسائل القصيرة (SMS) مجانية ومألوفة لكنها عرضة للاعتراض وتبديل شرائح SIM. حسّنت تطبيقات المصادقة الأمان بتكلفة زهيدة، فيما ميّلت الموافقات الفورية (Push) نحو الملاءمة أحيانًا على حساب الحكم المتأنّي. وأخيرًا جمعت مفاتيح المرور (Passkeys) بين الأمان وسهولة الاستخدام، رغم أن تبنّيها يستغرق وقتًا.

الاستعادة هي نقطة الضعف الحقيقية

في كل عصر، نادرًا ما يتغلب المهاجمون على عامل المصادقة نفسه؛ بل يعيدون ضبطه. لقد أطاحت مسارات الاستعادة المبنية على رسائل البريد الاحتياطية أو الأسئلة الأمنية أو مكالمة مقنعة إلى الدعم بأقوى أنظمة المصادقة. لا يحمي مفتاح المرور من شيء إذا كان بالإمكان تجاوزه عبر الاستعادة.

لذلك عالج البريد الاحتياطي كعامل مصادقة بحد ذاته: فعّل 2FA عليه أولًا، فإذا سقط سقط كل ما يرتبط به. واستبدل الأسئلة الأمنية بإجابات لا يمكن تخمينها من حساباتك العامة — أو احفظ الإجابة العشوائية مع رموز الاسترداد. وامتنع عن إضافة "جهة استرداد" لا تعرفها جيدًا؛ فهاجمت حسابات كثيرة عبر صديق قديم بقائمة أصدقاء مفتوحة.

تعايش، لا استبدال

ستتعايش الرموز المادية وتطبيقات المصادقة ورموز SMS ومفاتيح المرور لسنوات. فالخدمات والميزانيات والمستخدمون يتحركون جميعًا بسرعات مختلفة. لذا تحقق قبل الحذف: أوقف رمز SMS القديم فقط بعد تأكيد عمل البديل من جهاز آخر أو بعد تسجيل خروج ودخول ناجحين. وابقِ طريقة احتياطية ثانية — فجهاز مفقود أو مكسور لا ينبغي أن يعني حسابًا ضائعًا.

خلاصة عملية

فعّل المصادقة الثنائية (2FA) في كل مكان يُتاح فيه. فضّل مفتاح المرور أو مفتاح الأمان أو تطبيق المصادقة على رسائل SMS. احفظ رموز الاسترداد دون اتصال — مطبوعة، لا في لقطة شاشة سحابية. ثم راجع إعدادات الاستعادة — فهناك تسقط معظم الحسابات فعلًا.