مفاتيح الأمان المادية وPasskeys: أقوى مصادقة ثنائية (2FA) متاحة

لماذا تقصر الرموز وتطبيقات المصادقة

لسنوات، كانت النصيحة بسيطة: فعِّل المصادقة الثنائية، ولن تكون كلمة المرور المسروقة وحدها كافية بعد ذلك. في معظم الحسابات، يكون هذا العامل الثاني رمزًا — ستة أرقام تصل عبر رسائل SMS أو يولّدها تطبيق مصادقة. رموز الرسائل القصيرة هي الأضعف بين الخيارين، إذ يمكن لهجمات SIM swap اعتراضها، بينما الرموز التي يولّدها التطبيق لا تغادر جهازك أبدًا على الأقل. كلاهما تحسّن حقيقي مقارنة بكلمات المرور وحدها، وإذا كانا خيارك الوحيد فاستخدمهما. لكنهما صُمّما لمواجهة تهديد تطوّر منذ ذلك الحين.

الضعف جوهري: الرمز سرٌّ مشترك تُدخله كتابةً. أي شيء يمكنك كتابته، يمكنك أن تُخدَع في كتابته. صفحة تسجيل الدخول المزيفة المقنعة لا تتوقف عند كلمة مرورك. في هجوم تصيّد يعمل في الوقت الفعلي، ينقل موقع المهاجم كل ما تدخله — كلمة المرور ثم الرمز — مباشرةً إلى الموقع الحقيقي، فيسجّل الدخول لحظة وصول الرمز. أنت ترى رسالة خطأ غامضة تقول «حدث خطأ ما»، بينما يحصل المهاجم على جلسة فعّالة. لقد أدّى الرمز دوره — لكن للشخص الخطأ.

هناك تفصيل عملي يضاعف الخطر: الرمز صالح لمدة ثلاثين ثانية عادةً. هذا كافٍ تمامًا للمهاجم الآلي، لكنه يجعل الدفاع البشري مستحيلًا — لا وقت لتنبيهك أو لمراجعة الرابط. كما أن الرموز المرسولة عبر الرسائل القصيرة تصل أحيانًا متأخرة أو لا تصل في المناطق ضعيفة التغطية، فيتحول إجراء أمني إلى عائق تسجيل دخول. وتطبيقات المصادقة، رغم كونها أفضل، تُخزَّن نسخ منها عند الإعداد في مكان واحد قابل للفقدان: قم بفقدان هاتفك دون نسخ احتياطي لأرقام الاستعادة، وستفقد الوصول إلى كل حساب مربوط بها دفعة واحدة.

ما هما FIDO2 وWebAuthn فعليًا

FIDO2 هو المعيار الشامل الذي يقف خلف مفاتيح العتاد ومفاتيح المرور (passkeys). يتكوّن من جزأين يعملان معًا:

• WebAuthn يعمل في المتصفح. وهو البروتوكول الذي يستخدمه الموقع الإلكتروني لطلب تسجيل الدخول والتحقق من الاستجابة.
• CTAP ينظّم كيفية تواصل جهازك — مفتاح USB، أو هاتف، أو قارئ مدمج في الحاسوب المحمول — مع ذلك المتصفح. وصّل المفتاح أو المسحه عبر NFC، ويتولى CTAP إجراء المحادثة.

زوج مفاتيح واحد لكل موقع

عند تسجيل جهاز لدى موقع ما، يولّد المفتاح زوج مفاتيح عام/خاص جديدًا مخصصًا لذلك الموقع وحده. يبقى المفتاح الخاص داخل العتاد ولا يغادره أبدًا. لا يتلقى الموقع الإلكتروني سوى المفتاح العام المطابق، المرتبط بحسابك.

عمليًا، هذا يعني أن مفتاحك المسجّل لدى خدمة بريد إلكتروني لا يعمل لدى موقع بنك، والعكس صحيح. حتى لو تشاركت الخدمتان نفس العتاد المادي، فإن كل زوج مفاتيح مرتبط بنطاق (origin) الموقع نفسه، ولا يمكن إعادة استخدامه في مكان آخر.

هذا الانفصال هو ما يجعل اختراقات البيانات أقل ضررًا بكثير. تُجبر أنظمة تسجيل الدخول التقليدية الخوادم على تخزين كلمات المرور أو بصمّاتها — وهي قاعدة بيانات يرغب المهاجمون فعلًا في سرقتها. أما مع FIDO2، فلا تحتفظ قاعدة بيانات الخادم بشيء سوى المفاتيح العامة. فالمفتاح العام لا يمكن استخدامه لتسجيل الدخول باسمك، وبالتالي لا يوجد خزنة أسرار تستحق الاختراق أصلًا.

خطوة التحقق نفسها بسيطة: يرسل الموقع تحديًا عشوائيًا، فيوقّع عليه المفتاح الخاص، ويتحقق الخادم من التوقيع بالمفتاح العام. التوقيع صالح لمرة واحدة فقط، فلا فائدة من اعتراضه أو إعادة إرساله لاحقًا.

مفاتيح الأمان المادية: مفتاح يمكنك لمسه

مفتاح الأمان المادي هو جهاز فيزيائي صغير، بحجم ذاكرة فلاش أو مفتاح منزل تقريبًا، مصمم خصيصًا لتسجيل الدخول. YubiKey هي العلامة التجارية الأشهر، لكن هناك عدة شركات مصنّعة تنتجه. تحمله في حلقة مفاتيحك، وتوصله بجهاز الكمبيوتر، وتضغط زرًا لتسجيل الدخول.

تأتي المفاتيح بموصلات مختلفة لتناسب أجهزتك:

• USB-C للحواسيب المحمولة والأجهزة اللوحية الحديثة وهواتف أندرويد
• USB-A للحواسيب القديمة
• NFC للمسها على آيفون وكثير من هواتف أندرويد — دون حاجة إلى كابل

تتضمن العديد من الطُرز اثنين من هذه الموصلات، فيغطي مفتاح واحد حاسوبك المحمول وهاتفك معًا. قبل الشراء، افحص منافذ أجهزتك فعليًا: حاسوب قديم به منفذ USB-A فقط يلزمه مفتاح يدعمه، وإلا ستجد نفسك تبحث عن محوّل في أسوأ لحظة.

يأتي الأمان من طريقة عمل المفتاح في الداخل. عند تسجيله، يُنشأ مفتاح تشفير فريد ويُخزَّن على الجهاز نفسه. لا يغادر المفتاح أبدًا — لا إلى الموقع، ولا إلى حاسوبك، ولا إلى أي مكان. يوقّع المفتاح كل عملية تسجيل دخول داخليًا، ولا يحدث شيء حتى تلمسه فعليًا. لا يمكن للمهاجم البعيد الضغط على زر موجود في جيبك.

انتبه أيضًا إلى تفصيل صغير: بعض المواقع تطلب تسجيل المفتاح مرتين — مرة كـ«مفتاح أمان» ومرة كـ«مفتاح مرور» — ليعمل في الحالتين.

مفاتيح المرور: التقنية نفسها، متزامنة

مفتاح المرور هو بيانات اعتماد WebAuthn، تمامًا مثل الذي ينشئه مفتاح أمان. الفرق يكمن في مكان وجوده. فبدلًا من أن يبقى داخل جهاز مادي، يُخزَّن مفتاح المرور في نظام التشغيل لديك أو في مدير كلمات المرور، ويمكن مزامنته عبر أجهزتك.

كيف تعمل المزامنة

عند إنشاء مفتاح مرور، يوفر جهازك له مكانًا:

• سلسلة مفاتيح iCloud على أجهزة Apple، متزامنة بتشفير طرف إلى طرف عبر جهاز iPhone وiPad وMac لديك
• مدير كلمات المرور من Google على Android وفي Chrome، متزامن مع حسابك في Google
• مديرو كلمات المرور التابعون لجهات خارجية، الذين يخزنون مفاتيح المرور بجانب بيانات تسجيل دخولك

ولأن بيانات الاعتماد تتبعك، فإن تسجيل الدخول على جهاز جديد غالبًا لا يتطلب أكثر من الموافقة على طلب يظهر على جهاز تملكه بالفعل.

هذا يعني عمليًا ما يلي: عند إنشاء مفتاح مرور، تأكد أولًا من تشغيل المزامنة نفسها. فإذا كانت سلسلة مفاتيح iCloud معطلة، قد يبقى المفتاح محصورًا في جهاز واحد، وتفقد الميزة الأساسية. الخطأ الشائع الآخر هو إنشاء مفتاح مرور بحساب مختلف عن الحساب الذي تستخدمه يوميًا، فيصعب الوصول إليه لاحقًا.

متزامن أم مرتبط بالعتاد؟

تناسب مفاتيح المرور المتزامنة الحسابات اليومية: التسوق، ووسائل التواصل الاجتماعي، والبث. فالراحة مهمة، وفقدان الهاتف لم يعد يعني فقدان الوصول.

أما المفتاح المرتبط بالعتاد فيتفوق عندما تكون المخاطر أكبر. فبيانات الاعتماد التي لا تغادر الجهاز أبدًا لا يمكن مزامنتها أو نسخها أو سحبها من حساب سحابي، ولهذا لا تزال البنوك وجهات العمل وحسابات المسؤولين تبرر استخدام مفتاح مادي.

ومع ذلك، تظل مفاتيح المرور المتزامنة أقوى من تطبيقات المصادقة والرسائل النصية، لأن المفتاح الخاص لا يُعرض أبدًا ويرتبط بالخدمة التي أُنشئ لها، فلا يمكن إعادة استخدامه على موقع مزيّف. ابدأ بها، ثم أضف مفتاحًا ماديًا للحسابات الحساسة، وفعّل خيار تسجيل الدخول عبر مفتاح المرور على جهاز قريب لتسجيل الدخول من جهاز لا يدعمها.

لماذا يتوقف التصيّد الاحتيالي عن العمل؟

يفشل التحقق الثنائي (2FA) التقليدي أمام التصيّد لأن الرموز مجرد أرقام. أي شيء يمكن كتابته يمكن للضحية كتابته في نموذج مزيف.

تعمل بيانات اعتماد FIDO2 بشكل مختلف. عند تسجيل مفتاح أمان أو مفتاح مرور (passkey)، يرتبط بيان الاعتماد تشفيريًا باسم النطاق الدقيق للموقع — bank.example.com مثلًا. المتصفح يفرض هذا الارتباط. المفتاح يرفض ببساطة توقيع أي شيء لنطاق مختلف.

ما يحصل عليه الموقع المزيف

لنفترض أنك نقرت رابطًا إلى bank.example-login.com، نسخة مقنعة من الموقع الحقيقي. عندما يشغّل المتصفح طقس WebAuthn، يقدّم النطاق المزيف لمفتاحك. يرى المفتاح نطاقًا لا يملك له بيان اعتماد. يفشل تسجيل الدخول، أو لا يُنتج شيء قابل للاستخدام. يتلقى المهاجم بيانات عديمة القيمة لتسجيل الدخول في مكان آخر.

المهم أن هذا الفشل يحدث تلقائيًا، دون أن تعرف تفاصيله. لا حاجة لفحص الرابط بعينك أو تدقيق شهادة الموقع؛ المفتاح يتولى التدقيق بدلًا عنك. لهذا تُعد هذه الطريقة أقل اعتمادًا على يقظة المستخدم، وهي نقطة ضعف كل الطرق الأخرى.

لا شيء لسرقته عبر الهاتف

كما لا يوجد رمز من ستة أرقام لقراءته عبر الهاتف أو لصقه في نموذج. السر لا يغادر الجهاز أبدًا، والاستجابة مرتبطة بالنطاق الحقيقي. المحتال الذي يطلب "الرقم على شاشتك" يطلب شيئًا غير موجود.

انتبه لمحاولة أحدث: صفحات مزيفة تطلب منك "تسجيل مفتاح جديد" بدل تسجيل الدخول. المفتاح المادي يمنحك لحظة توقف طبيعية — لمَ يسألني موقع بنكي أعرفه عن إضافة مفتاح لم أسجل فيه أصلًا؟ أي طلب تسجيل مفاجئ علامة خطر تستحق الشك.

البدء: إعداد عملي

اشترِ مفتاحين

اشترِ مفتاحي أمان ماديين، ويفضَّل أن يكونا من مُصنِّعَين مختلفين حتى لا يعطُّل عيب في دفعة واحدة المفتاحين معًا. تحقَّق من أنواع الموصلات قبل الشراء: USB-C أو USB-A أو NFC، حسب أجهزتك. من يملك حاسوبًا بمنفذ USB-C فقط وهاتفًا يدعم NFC يمكنه اختيار مفتاح يدعم الاثنين، فتجنّب شراء مفتاح لا يمكن توصيله بأي جهاز لديك. احتفظ بالمفتاح الأول في حلقة مفاتيحك للاستخدام اليومي. خزّن الثاني في مكان آمن لكن في متناول اليد — خزنة منزلية أو درج ستتذكّره فعلًا. المكان المثالي الذي تنساه لا يساوي شيئًا. مفتاح الاحتياط غير المُسجَّل لا يحمي شيئًا، والخطأ الشائع هو شراء مفتاحين ثم تسجيل واحد فقط ثم اكتشاف ذلك بعد ضياع المفتاح الأول.

سجِّل كليهما، مع نسخة احتياطية

ابدأ بأثمن حساباتك: بريدك الإلكتروني أولًا، ثم مدير كلمات المرور، ثم الخدمات المصرفية ووسائل التواصل الاجتماعي. في إعدادات الأمان لكل حساب، سجِّل المفتاحين معًا واحفظ رموز الاسترداد الخاصة بالخدمة دون اتصال. اطبعها أو اكتبها على ورقة، فحفظها في ملف على البريد الإلكتروني نفسه يُبطل غرضها. رموز الاسترداد هي ما يعيدك إلى حسابك إذا فُقد المفتاحان معًا، فتعامل معها كأنها كلمة مرور ثانية. تحقَّق بعد التسجيل أن كل مفتاح يظهر في قائمة مفاتيح الحساب، وجرّب تسجيل الخروج ثم الدخول بالمفتاح الاحتياطي مرة واحدة للتأكد.

فعِّل المصادقة الثنائية (2FA) في كل مكان آخر

ليست كل الحسابات تحتاج مفتاحًا ماديًا. حساب متجر إلكتروني نادر الاستخدام لا يستحق مفتاحًا، لكنه يستحق 2FA. حيث لا تُدعَم المفاتيح، فعِّل أي مصادقة ثنائية (2FA) متاحة — تطبيق مصادقة بدلًا من الرسائل النصية (SMS) حيثما أمكن، لأن شريحة SIM يمكن استبدالها عن بُعد. أعطِ الأولوية للبريد الإلكتروني ومدير كلمات المرور؛ فمن يسيطر عليهما يسيطر عمليًا على كل شيء آخر عبر إعادة تعيين كلمات المرور. تابع الباقي تدريجيًا، بضع حسابات أسبوعيًا، حتى لا تنقطع في منتصف العملية.

فقدان المفاتيح والاستعادة والأسئلة الشائعة

فقدان مفتاح مادي ليس أزمة إذا خططت مسبقًا. اشترِ المفاتيح في أزواج، وسجّل كليهما في كل حساب، واحفظ المفتاح الاحتياطي في مكان آمن لكن منفصل—درج في المنزل، لا على نفس حلقة المفاتيح. إذا فُقد أحدهما، سجّل الدخول بالمفتاح الاحتياطي واحذف المفتاح المفقود من حسابك. احتفظ بسجل بسيط على ورقة: أي حساب مسجّل فيه أي مفتاح، حتى لا تكتشف بعد سنوات أن مفتاحًا لم يُربط بأي شيء.

الحلقة الأضعف: الاستعادة

استعادة الحساب هي المكان الذي يلجأ إليه المهاجمون عندما يحول 2FA دونهم. رموز الاستعادة هي كلمات مرور للاستخدام مرة واحدة؛ احفظها دون اتصال، وليس في بريدك الإلكتروني أبدًا. اطبعها أو اكتبها في دفتر مادي، فإذا اخترق أحدهم بريدك فلن يجد شيئًا. احمِ خيارات الاستعادة لديك—رقم الهاتف، البريد الإلكتروني الاحتياطي—لأن مسار إعادة التعيين الذي يتجاوز مفتاح الأمان يُبطل كل شيء. فعّل المصادقة الثنائية على البريد الاحتياطي نفسه، وفضّل الخدمات التي تتيح الاستعادة فقط بمفتاح مرور (passkey) أو مفتاح آخر. خطأ شائع: بيع المفتاح القديم دون إلغاء تسجيله أولًا؛ احذفه من كل الحسابات قبل التخلص منه.

الدعم اليوم

تدعم Google وApple وMicrosoft والعديد من البنوك ومديري كلمات المرور والمنصات الاجتماعية مفاتيح المرور (passkeys) أو مفاتيح FIDO2. تحقق من إعدادات الأمان لكل حساب، وابحث عن خيار "مفتاح أمان" أو "رمز passkey" داخلها.

خلاصة عملية

ابدأ بحساب مهم واحد. أضف مفتاح مرور، وسجّل نسخة احتياطية، واطبع رموز الاستعادة. ثم كرر. تسجيل الدخول المقاوم للتصيد يستغرق بعد ظهيرة واحدة؛ أما الحماية فتبقى لسنوات.