شرح المصادقة الثنائية (2FA): ما هي ولماذا لا تكفي كلمة مرور واحدة

كلمة المرور سرّ يوجد في أماكن أكثر مما يدركه معظم الناس. نكتبها على المواقع الإلكترونية، ونعيد استخدامها عبر حسابات مختلفة، وأحيانًا تُكشف ضمن اختراق بيانات شخص آخر؛ لذلك فإن الاعتماد على كلمة مرور وحدها لحماية أي شيء ذي قيمة أمر غير مأمون.

تضيف المصادقة الثنائية نوعًا ثانيًا ومختلفًا من الإثبات، بحيث لا تكفي كلمة مرور مسروقة بمفردها. إليك ما تعنيه، والأنواع الشائعة للعامل الثاني، وأسباب فائدتها، وما لا تستطيع فعله.

ما هي المصادقة الثنائية

المصادقة الثنائية، التي يُختصر اسمها عادةً إلى 2FA، تعني إثبات هويتك باستخدام نوعين مختلفين من الأدلة. وتوضح إرشادات الهوية الرقمية الصادرة عن NIST ثلاثة أنواع من عوامل المصادقة: شيء تعرفه، مثل كلمة المرور؛ وشيء تملكه، مثل الهاتف أو مفتاح الأمان؛ وشيء يميزك، مثل بصمة الإصبع.

يجب أن يكون العاملان من نوعين مختلفين. وتشير NIST إلى أن كلمة المرور ورقم PIN لا يُعدّان عاملين، لأن كليهما شيء تعرفه. وقد ترى أيضًا تسميات المصادقة متعددة العوامل (MFA) أو التحقق بخطوتين، وتتعامل CISA مع هذه التسميات على أنها تعني الشيء نفسه في الاستخدام اليومي: خطوة إضافية للتأكد من أنك فعلًا الشخص الذي تدّعي أنك هو.

الأنواع الشائعة للعامل الثاني

أكثر العوامل الثانية شيوعًا هو الرمز الذي يُستخدم مرة واحدة، سواء أُرسل برسالة نصية أم أنشأه تطبيق مصادقة على هاتفك. ومن الخيارات الأخرى مفتاح أمان مادي أو مفتاح مرور، يستخدمان تشفيرًا مدمجًا في الجهاز. ويمكن لبصمة الإصبع أو مسح الوجه أن يؤديا دورًا أيضًا، وتقول NIST إن القياسات الحيوية لا تُحتسب إلا كجزء من المصادقة متعددة العوامل، إلى جانب جهاز مادي.

ليست هذه الطرق متساوية في القوة. ووفقًا لـ CISA، فإن المصادقة القائمة على معايير FIDO، مثل مفاتيح الأمان ومفاتيح المرور، هي الأقوى ومقاومة للتصيد الاحتيالي. أما الرموز التي ينشئها تطبيق المصادقة فهي أفضل من الرسائل النصية، لكن يمكن أن تقع هي أيضًا ضحية للتصيد الاحتيالي، وتُعد الرسائل النصية أضعف الخيارات الشائعة. أما المقارنة التفصيلية بين هذه الأنواع فهي موضوع مستقل بحد ذاته.

لماذا لا تكفي كلمة مرور واحدة

توضح CISA أن كلمة المرور، أي الشيء الذي تعرفه، قد يُعاد استخدامها أو يُخترق بسهولة أكبر أو يُسرق. وإذا استُخدمت كلمة المرور نفسها في عدة حسابات، فقد يؤدي تسريب واحد إلى اختراقها جميعًا. وعند استخدام عامل ثانٍ، يظل على المهاجم الذي حصل على كلمة المرور أن يمتلك العنصر الآخر أيضًا؛ وتقول CISA إن ذلك يقلل كثيرًا من احتمال اختراق حسابك.

تنصح CISA بتفعيل المصادقة متعددة العوامل في كل مكان تتوفر فيه، والبدء بالحسابات الأهم: البريد الإلكتروني أولًا، ثم الخدمات المالية، ثم وسائل التواصل الاجتماعي والمتاجر الإلكترونية. كما توصي باستخدام كلمات مرور قوية وفريدة ومدير كلمات مرور إلى جانبها، لأن وسائل الحماية هذه تعمل معًا.

ما الذي لا تفعله المصادقة الثنائية

يجعل العامل الثاني الاستيلاء على الحساب أصعب، لكنه لا يجعله مستحيل الاختراق. فقد تتمكن صفحة تسجيل دخول مزيفة ومقنعة من سرقة رمز واستخدامه فورًا، كما يمكن اعتراض رسالة نصية أو إعادة توجيهها، على سبيل المثال من خلال تبديل بطاقة SIM. لذلك تهم الطريقة التي تختارها، كما أن التأكد من أنك تستخدم الموقع الحقيقي قبل إدخال أي رمز جزء من الحماية.

كما أنها لا تحمي كل شيء. تحمي المصادقة الثنائية حسابًا يُسجَّل الدخول إليه عبر خدمة، لكنها لا تستطيع حماية المفتاح الخاص لمحفظة العملات المشفرة أو عبارة الاسترداد، لأنهما ليسا حسابين أصلًا. وهي لا تحل محل كلمة مرور قوية وفريدة، ولا وسيلة آمنة لاستعادة الوصول إذا فقدت هاتفك.

تذكير من WEEX: فعّلها واحمِ الرموز

تذكّر WEEX المستخدمين بتفعيل المصادقة الثنائية حيثما توفرت، والبدء بحسابات البريد الإلكتروني والحسابات المالية. احتفظ بأي رموز احتياطية أو رموز استرداد في مكان آمن وغير متصل بالإنترنت، وتحقق من عنوان الموقع قبل إدخال أي رمز. لا تشارك أبدًا رمزًا يُستخدم مرة واحدة أو عبارة الاسترداد مع أي شخص، بمن فيهم من يدّعي أنه من فريق الدعم، إذ لا تحتاج أي خدمة موثوقة إلى أي منهما.

الخلاصة

تطلب المصادقة الثنائية نوعين مختلفين من الإثبات، ولذلك لا تكفي كلمة مرور مسروقة للدخول. وتختلف قوة أنواع العامل الثاني؛ إذ تأتي مفاتيح الأمان ومفاتيح المرور في المقدمة، والرسائل النصية في المرتبة الأخيرة. ولا يغني أي منها عن كلمات المرور الجيدة والعادات الحذرة وحماية المفاتيح الخاصة للمحفظة. ويُعد تفعيلها من أبسط الطرق لجعل الاستيلاء على الحساب أصعب.

الأسئلة الشائعة

1. ما المصادقة الثنائية؟
هي طريقة لتسجيل الدخول تتطلب نوعين مختلفين من الإثبات، مثل كلمة مرور ورمز من هاتفك، بدلًا من كلمة مرور وحدها.

2. هل 2FA هي نفسها MFA والتحقق بخطوتين؟
في الاستخدام اليومي، تعني هذه التسميات الشيء نفسه تقريبًا. لكن من الناحية الدقيقة، تعني MFA استخدام أكثر من نوع واحد متميز من العوامل، بينما تعني 2FA استخدام عاملين بالضبط.

3. هل تجعل المصادقة الثنائية الحساب مستحيل الاختراق؟
لا. فهي تجعل الاستيلاء على الحساب أصعب، لكن صفحة تسجيل دخول مزيفة قد تسرق الرمز، ويمكن اعتراض الرسائل النصية؛ لذلك تهم كل من الطريقة التي تستخدمها وعاداتك.

4. هل تُعد كلمة المرور مع رقم PIN مصادقة ثنائية؟
لا. فكلاهما شيء تعرفه، ولذلك يُحسبان عاملًا واحدًا وفقًا لإرشادات NIST.

5. ما الحسابات التي ينبغي تفعيل المصادقة الثنائية فيها أولًا؟
تقترح CISA البدء بالبريد الإلكتروني، ثم الخدمات المالية، ثم وسائل التواصل الاجتماعي والمتاجر الإلكترونية. يأتي البريد الإلكتروني أولًا لأنه يُستخدم غالبًا لإعادة تعيين كلمات مرور الحسابات الأخرى.