أعلنت شركة جوجل رسمياً عن وصول ميزة مفاتيح المرور وهي خطوة هامة في مستقبل بدون كلمات مرور.
وتعتبر مفاتيح المرور طريقة آمنة تتطلب جهازًا مُصادَقًا مسبقًا للدخول إلى حسابات جوجل Google على جميع الأنظمة الأساسية الرئيسية.
الأمر الذي يسمح بتسجيل الدخول إلى الحساب باستخدام نفس القياسات الحيوية (بصمة الإصبع مثلاً) أو رقم التعريف الشخصي المُستخدم لإلغاء قفل الشاشة للجهاز المُصادَق.
وبهذه الطريقة سيتم استبدال كلمات المرور التقليدية وأنظمة تسجيل الدخول الأخرى مثل التحقق ثنائي الخطوة.
مما يُصعب الأمر كثيراً على المتصيّدين للوصول إلى حسابات المستخدمين عن بُعد، نظرًا لضرورة الوصول المادي إلى جهاز المستخدم.
وسيتمكن جميع مستخدمي جوجل Google قريباً التبديل إلى مفاتيح المرور والتخلي عن كلمات المرور ورموز التحقق المكونة من خطوتين تمامًا عند تسجيل الدخول.
وتعد مفاتيح المرور بديلاً أكثر أمانًا وملاءمة لكلمات المرور التي يتم دفعها بواسطة Google و Apple و Microsoft وشركات التكنولوجيا الأخرى المتوافقة مع FIDO Alliance.
وبالطبع فإنه لا تتم مشاركة بيانات المقاييس الحيوية مع Google (أو أي جهة خارجية أخرى)، ولا توجد مفاتيح المرور إلا على جهاز المستخدم، مما يوفر قدرًا أكبر من الأمان والحماية نظرًا لعدم وجود كلمة مرور يمكن سرقتها في هجوم تصيد احتيالي.
عند إضافة مفتاح مرور إلى حساب جوجل Google، سيبدأ النظام الأساسي في المطالبة به عند تسجيل الدخول أو عندما يكتشف نشاطًا مشبوهًا يتطلب تحققًا إضافيًا.
ويتم تخزين مفاتيح المرور لحسابات جوجل Google على أي جهاز متوافق، مثل أجهزة iPhone التي تعمل بنظام iOS 16 وأجهزة Android التي تعمل بنظام Android 9، ويمكن مشاركتها مع الأجهزة الأخرى من نظام التشغيل باستخدام خدمات مثل iCloud أو برامج إدارة كلمات المرور مثل Dashlane و 1Password.
كما وسيبقى ممكناً استخدام جهاز شخص آخر للوصول مؤقتًا إلى حسابك على Google.
حيث يؤدي تحديد خيار “استخدام مفتاح مرور من جهاز آخر” إلى إنشاء تسجيل دخول لمرة واحدة ولن ينقل مفتاح المرور إلى الجهاز الجديد.
كما نوهت جوجل Google إلى أنه لا يجب أبدًا إنشاء مفاتيح مرور على جهاز مشترك لأن أي شخص يمكنه الوصول إلى هذا الجهاز وإلغاء قفله سيكون قادرًا على الوصول إلى حسابك في Google.
يمكن للمستخدمين إبطال مفاتيح المرور فورًا في إعدادات حساب Google إذا اشتبهوا في أن شخصًا آخر يمكنه الوصول إلى الحساب أو إذا فقد الجهاز الوحيد الذي قام بتخزين مفتاح المرور.
تقول Google إن المستخدمين المسجلين في برنامج الحماية المتقدمة، وهي خدمة مجانية توفر حماية أمنية إضافية ضد التصيد الاحتيالي والتطبيقات الضارة، يمكنهم اختيار استخدام مفاتيح المرور بدلاً من مفاتيح الأمان المادية المعتادة.
سيستغرق الأمر بعض الوقت حتى يتم اعتماد دعم مفاتيح المرور على نطاق واسع ، لذلك ستستمر حسابات Google في دعم طرق تسجيل الدخول الحالية مثل كلمات المرور في المستقبل المنظور.
وتشير لقطات الشاشة هذه إلى أن Instagram سيتحقق من حساب واتساب WhatsApp الخاص بك من خلال رمز يستند إلى الرسائل القصيرة.
وهو أمر يبدو غير منطقي في البداية لأن بيت القصيد هو إزالة الرسائل النصية من المعادلة.
على أية حال، وبمجرد تأكيد حساب WhatsApp الخاص بك، يمكنك الحصول على رموز 2FA عبر واتساب من أجل عمليات الدخول اللاحقة.
والجدير بالذكر أن لقطات الشاشة تشير إلى أن WhatsApp لن يخزن أياً من بياناتك. لذلك من الناحية التقنية فإن هذه العملية لا تعتبر كعملية “ربط” بين الحسابين.
لا يوجد أي تعليق رسمي من قبل الشركة حول هذه الميزة حتى الآن.
يبدو أن جوجل Google قد سئمت من اعتماد المستخدمين على كلمات المرور كطريقة وحيدة للمصادقة، لدرجة أن الشركة تأمل في التخلص من طريقة المصادقة هذه تماماً يوماً ما.
ولكن في غضون ذلك، يقدم عملاق البحث طريقة أبسط لتحسين الأمان عبر الإنترنت، وذلك من خلال تنشيط المصادقة الثنائية (2FA) على حسابات جوجل Google الخاصة بالمستخدم وبشكل افتراضي.
وتقدم جوجل حالياً المصادقة الثنائية (2FA)- والمعروفة أيضاً باسم التحقق بخطوتين (2SV)- كإعداد اختياري، ولكن سيتم تشغيلها بشكل تلقائي وافتراضي قريباً.
وأعلن مارك ريشر، مدير إدارة المنتجات والهوية وأمان المستخدم في Google، عن الخطة في مشاركة عبر المدونة يوم الخميس حيث قال:
“نطلب اليوم من الأشخاص الذين سجلوا في التحقق بخطوتين (2SV) أن يؤكدوا مطالبتهم بنقرة بسيطة عبر مطالبة Google على هواتفهم كلما قاموا بتسجيل الدخول.”
وأضاف: “سنبدأ قريباً في تسجيل المستخدمين تلقائياً في التحقق بخطوتين إذا كان تكوين حسابهم بشكل مناسب.”
سيتضمن الحساب “الذي تم تكوينه بشكل مناسب” بالفعل معلومات الاسترداد، مثل بريد إلكتروني ثانوي أو رقم هاتف.
وأوضحت جوجل Google في مدونتها أن المصادقة الثنائية (2FA) هي واحدة من أفضل الطرق التي يمكن للمرء أن يحمي بها حسابه من انتهاكات البيانات.
في حال كان لديك كلمة مرور يسهل تخمينها يمكنك تأمين حسابك من خلال إجراء عملية تحقق أخرى في المكان. وهنا يأتي دور المصادقة الثنائية في متناول اليد.
قالت تويتر Twitter يوم الاثنين الماضي إن تويتر يخطط لتحديث مستقبلي سيسمح للحسابات الممكّنة بمصادقة ثنائية لاستخدام مفاتيح الأمان كطريقة المصادقة الوحيدة.
في الوقت الحالي، يمكنك استخدام مفتاح أمان لتسجيل الدخول إلى حساب Twitter الخاص بك ولكنك تحتاج إلى تمكين طريقة مصادقة أخرى مثل تطبيق المصادقة أو رموز SMS كنسخة احتياطية.
بينما تعد تطبيقات المصادقة مثل Google Authenticator أو Authy أكثر أمانًا من استخدام رموز SMS لـ 2FA، فإن مفاتيح الأمان أي المفاتيح المادية التي تتصل بجهاز الكمبيوتر الخاص بك باستخدام USB أو Bluetooth هي الطريقة الأكثر أماناً لحماية الحساب عبر الإنترنت.
حيث لا يتعين على المستخدمين كتابة رمز يمكن أن يعترضه طرف ثالث ضار.
عندما تقوم بتوصيل المفتاح، سيقوم توتير بالتحقق من حسابك، كما يوجد فائدة أخرى لاستخدام مفتاح الأمان: لا يتعين على المستخدمين إعطاء Twitter أي معلومات شخصية إضافية، مثل رقم الهاتف، حتى يتمكن من تسجيل الدخول إلى حسابه.
قال تويتر Twitter أيضاً يوم الاثنين إنه سيسمح بمفاتيح أمان متعددة على حساب واحد؛ حتى اليوم، كان يسمح فقط بمفتاح واحد لكل حساب، بالإضافة إلى طرق المصادقة الثنائية الأخرى.
في ديسمبر/كانون الأول الماضي، أعلن تويتر Twitter عن إضافة دعم لمفاتيح الأمان للحسابات التي تدعم المصادقة الثنائية (2FA) عندما يقوم المستخدمون بتسجيل الدخول إلى تطبيقات الهواتف الذكية، وذلك كوسيلة مصادقة إضافية.
قال متحدث باسم Twitter يوم الاثنين إنه ليس هناك جدول زمني محدد للبدء في تفعيل هذا الأمر بشكل رسمي.
قد تضطر إلى ترقية هاتف أندرويد Android الخاص بك قبل فترة طويلة إذا كنت ترغب في زيارة أغلب مواقع الإنترنت بشكل آمن.
حيث أفاد موقع Android Police أن هيئة توثيق شهادات أمان Let’s Encrypt حذرت من أن الهواتف التي تعمل بإصدارات أندرويد Android أقدم من الإصدار 7.1.1 Nougat لن تتمكن من توثيق شهادة الجذر الخاصة بها بدءاً من عام 2021.
الأمر الذي سيؤدي إلى عدم تمكن هذه الهواتف من فتح العديد من مواقع الويب الآمنة.
وستتوقف الهيئة عن التوقيع التبادلي الافتراضي للشهادة، في 11 يناير/كانون الثاني 2021، وستُسقط شراكة التوقيع المتبادل تماماً في الأول من سبتمبر/أيلول من نفس العام.
ويتوفر حل بديل جزئي عن طريق تثبيت متصفح موزيلا فايرفوكس Firefox Mozilla (شريك في Let’s Encrypt)، واستخدام مخزن الشهادات الخاص به.
ويعتبر من الشائع للمطورين التخلي عن دعم أنظمة التشغيل القديمة نسبياً.
وتلتزم شركة سامسونج Samsung وشركات تصنيع هواتف أندرويد Android الأخرى بثلاث سنوات من تحديثات نظام التشغيل.
ولاحظت هيئة Let’s Encrypt أن حوالي 33.8 في المائة من مستخدمي أندرويد Android يشغلون إصداراً أقدم من 7.1، حيث قام بعض بائعي الأجهزة بقطع الدعم مبكراً.
لذلك إذا كنت قد اشتريت هاتفاً في عام 2016 أو حتى عام 2017 فإنه يفقد فجأة إمكانية الوصول إلى بعض مواقع الويب بدءا من العام القادم.
على الرغم من أن العديد من المواقع الأخرى ستستمر في العمل، إلا أن الدعم غير المتسق قد يكون مشكلة.
أتاح فيس بوك Facebook الآن إضافة طبقة أمان إضافية عند فتح محادثات مسنجر Messenger على آيفون iPhone أو آيباد iPad، حيث يمكن الآن قفل التطبيق نفسه أو إغلاقه بعد فترة وجيزة، ثم سيطلب منك استخدام طريقة مصادقة مثل التعرف عبر بصمة الوجه Face ID أو عبر بصمة اليد Touch ID لفتح المحادثات.
وهذا يعني أنه يمكنك إلغاء قفل هاتفك والسماح لأحد الأصدقاء باقتراضه، دون أن يتمكن هذا الشخص من الوصول إلى محادثات المراسلة الخاصة بك.
الميزة ، التي أطلق عليها فيس بوك اسم قفل التطبيق App Lock، هي جزء من عدد من التغييرات الصغيرة التي ستأتي إلى مسنجر Messenger والتي تركز على الخصوصية والأمان.
وسيتم إضافة قسم جديد إلى إعدادات التطبيق وهو الخصوصية سيمنح المستخدمين موقعاً واحداً للتحكم في ميزات مثل قفل التطبيق والمستخدمين الذين حظروه. من المفترض أن يأتي App Lock إلى أندرويد Android في “الأشهر القليلة المقبلة”.
وذكر فيس بوك Facebook أيضاً بعض الميزات الإضافية التي يخطط لبدء اختبارها قريباً، حيث سيبدأ في منح المستخدمين المزيد من التحكم في من يمكنهم مراسلته (لم تقدم الشركة الكثير من التفاصيل حول كيفية عمل ذلك).
كما ستبدأ في تعتيم الصور من الأشخاص الذين يرسلون إليك بدون موافقتك حتى لا تفتح صورة مزعجة محتملة فقط لعرض الرسالة جديدة .
تتوفر ميزة مماثلة بالفعل على كل من إنستغرام Instagram وواتس آب WhatsApp. لم يذكر Facebook متى ستبدأ هذه في الوصول إلى مسنجر Messenger.
ينتقد الناس المصادقة الثنائية المستندة إلى الرسائل النصية القصيرة في أعقاب اختراق Reddit ، ولكن استخدام عامل ثانوي يستند إلى SMS لا يزال أفضل بكثير من عدم استخدام المصادقة الثنائية على الإطلاق.
لا يستخدم أكثر من 90٪ من مستخدمي Gmail المصادقة الثنائية:
لا يستخدم أكثر من 90٪ من مستخدمي Gmail أي مصادقة ثنائية على الإطلاق ، وفقاً لأحد العروض التقديمية التي قدمها مهندس Google Grzegorz Milka في USENIX Enigma 2018.
إن أهم شيء يمكن للأشخاص القيام به لحماية أنفسهم عبر الإنترنت هو تمكين أي نوع من أنواع المصادقة الثنائية لحسابهم المهم.
لنفترض أنك تريد وضع قفل على باب منزلك لحماية منزلك. يجادل خبراء الأمن حول أن أفضل نوع من الأقفال هو نوع الأقفال الأكبر ثمناً.
بالتأكيد، من المنطقي ذلك. ولكن إذا كان هذا التأمين الأكثر تكلفة ليس متاحاً لك، فهل يكون الأفضل وجود قفل أقل تكلفة أو عدم وجود قفل على الإطلاق؟
نعم، المصادقة ثنائية العوامل المستندة إلى التطبيق أفضل من المصادقة المستندة إلى SMS.
لكن، إذا كانت خدمة الرسائل القصيرة SMS هي كل المتوافر، فلا تزال أفضل من عدم استخدامها على الإطلاق.
العامل الثاني المستند إلى الرسائل النصية القصيرة يملك بعض نقاط الضعف. سيضطر المهاجم إلى قضاء بعض الوقت في تجاوز التحقق من الرسائل النصية القصيرة. وربما لا تستحق معظم الأهداف هذا الجهد الكبير.
لماذا تحتاج المصادقة الثنائية؟
تتم تسميته المصادقة الثنائية لأنها تتطلب أن يكون لديك شيئين للدخول إلى حسابك: شيء تعرفه (كلمة المرور) وشيء تملكه (رمز أمان إضافي من جهازك المحمول أو رمزاً فعلياً).
عندما تقوم بتمكين المصادقة الثنائية بعامل SMS ، سوف ترسل الخدمة إلى رقم الهاتف المحمول رسالة نصية تحتوي على رمز لمرة واحدة كلما قمت بتسجيل الدخول من جهاز جديد.
لذلك، حتى إذا كان لدى شخص ما اسم المستخدم وكلمة المرور لهذا الحساب، فلن يتمكن من تسجيل الدخول إلى حسابك دون الدخول إلى رسائلك النصية.
هناك أيضاً أنواع أخرى من طريقتين، بما في ذلك التطبيقات على هاتفك التي تنشئ رموز أمان مؤقتة ومفاتيح أمان فعلية يجب عليك توصيلها بالكمبيوتر.
يوفر أي نوع من المصادقة الثنائية قدراً كبيراً من الحماية للحسابات المهمة مثل بريدك الإلكتروني، ووسائل التواصل الاجتماعي، والحسابات المصرفية.
هذا صحيح بشكل خاص إذا كنت تعيد استخدام كلمات المرور. يعيد العديد من الأشخاص استخدام كلمات المرور في مواقع ويب متعددة.
عندما تسرّب قاعدة بيانات كلمة مرور موقع واحد، يمكن استخدام كلمة المرور هذه لتسجيل الدخول إلى حسابات البريد الإلكتروني الخاصة بهم. ستؤدي المصادقة الثنائية إلى إيقاف هذا الحق في الفعل.
يمكنك التعرف في مقالنا من خلال الضغط على هذا الرابطكيفية استخدام كلمة مرور قوية صعبة الاختراق وسهلة التذكر بالنسبة لك بنفس الوقت.
هذا لا يعني أنه يجب عليك إعادة استخدام كلمات المرور. يجب عدم إعادة استخدام كلمات المرور. يجب عليك استخدام مدير كلمات مرور جيد لتتبع كلمات المرور القوية والفريدة.
اقرأ معنا عن طريق الدخول إلى هذا الرابطأهمية مدير كلمات المرور ولمَ يجب عليك استخدامه.
لماذا يقول الناس أن المصادقة SMS سيئة؟
لا تعتبر المصادقة الثنائية المستندة إلى SMS مثالية نظراً لأن شخصاً ما يمكنه سرقة رقم هاتفك أو اعتراض رسائلك النصية. فمثلاً:
يمكن للمهاجم انتحال شخصيتك ونقل رقم هاتفك إلى هاتف جديد عن طريق عملية احتيال. هذا هو الهجوم الأكثر احتمالاً، لدينا دليل كامل لما يمكن لك القيام بهحيال ذلك.
يمكن للمهاجم اعتراض رسائل SMS مخصصة لك. على سبيل المثال، يمكن أن يقوموا بانتحال برج خلية بالقرب منك، أو يمكن للحكومة أن تستخدم وصولها إلى الشبكة الخلوية لإعادة توجيه الرسائل.
وهذا هو السبب في أن الخبراء يوصون باستخدام طريقة أخرى للتحقق الثنائي، وهي طريقة لا يمكن إساءة استخدامها من قِبل بعض الدول، ولا تكون عرضة للخطر إذا كان مشغل شبكة الجوّال التابع لك يعطي رقم هاتفك لشخص آخر.
إذا حصلت على شيفرتك من تطبيق على هاتفك أو مفتاح أمان فعلي، فلن يكون استخدام العاملين لديك عرضة للمشكلات المتعلقة بشبكة الهاتف.
يحتاج المهاجم إلى هاتفك غير المؤمّن أو مفتاح الأمان الفعلي الذي يجب عليك تسجيل الدخول من خلاله.
بالتأكيد، في عالم مثالي، لا تعد الرسائل القصيرة الحل المثالي. لقد أوضحنا سبب عدم إعجاب خبراء الأمن بالمصادقة بخطوتين تستند إلى الرسائل النصية القصيرة.
لكن، حتى عندما وضعنا هذه القضية، حاولنا أن نوضح شيئاً واحداً: المصادقة الثنائية القائمة على الرسائل القصيرة هي أفضل بكثير من لا شيء.
بعض الناس بحاجة إلى مزيد من الأمان باستخدام مصادقة SMS:
الشخص العادي ليس لديه مشكلة في استخدام المصادقة المستندة إلى SMS في الوقت الحالي.
إن المصادقة المستندة إلى الرسائل النصية القصيرة تجعل المهاجمين يمرون بالكثير من المتاعب الإضافية للوصول إلى حسابك، وربما لا تستحق عناء مشاكلهم عندما تكون هناك أهداف أخرى أسهل وأكثر حساسية.
لا يستخدم معظم الناس حتى مصادقة الرسائل القصيرة، وستكون شبكة الويب مكاناً أكثر أماناً بكثير إذا كان الجميع يفعل ذلك.
يجب على الأشخاص الذين يُرجح أن يستهدفهم مهاجمون متطوّرون تجنب المصادقة المستندة إلى الرسائل النصية القصيرة.
على سبيل المثال، إذا كنت سياسياً أو صحافياً أو مشهوراً أو تاجراً كبيراً، فيمكن استهدافك.
إذا كنت شخصاً يتمتع بإمكانية الوصول إلى بيانات الشركة الحساسة، أو مسؤول نظام له وصول عميق إلى أنظمة حساسة، أو مجرد شخص لديه الكثير من الأموال في البنك، فقد تكون الرسائل القصيرة خطرة للغاية.
لكن، إذا كنت شخصاً عادياً يمتلك حساب Gmail أو Facebook ولم يكن لدى أحد سبباً في إنفاق بعض الوقت في الوصول إلى حساباتك، فإن مصادقة SMS ستكون جيدة ويجب عليك تمكينها تماماً بدلاً من عدم استخدام أي شيء على الإطلاق.
أنت مؤمّن بالمصادقة الثنائية حتى لو لم تفعّلها:
إليكم حقيقة مؤسفة أخرى يبدو أن الجميع يتستر عليها: حتى إذا كنت تتجنب المصادقة الثنائية القائمة على الرسائل النصية لحساب ما، فمن المحتمل أن تكون الرسائل القصيرة متاحة كطريقة احتياطية.
على سبيل المثال، حتى في حالة إنشاء رموز باستخدام تطبيق ما لتسجيل الدخول إلى حسابك في غوغل Google ، يمكنك استرداد حسابك باستخدام رقم هاتفك. هذا لحمايتك إذا فقدت إمكانية الوصول إلى هاتفك العامل أو الرمز المميز.
بعبارة أخرى، تتيح لك العديد من الخدمات – وربما أكثرها – الدخول إلى حسابك باستخدام رقم هاتفك، حتى إذا كنت تستخدم رمزاً أنشأه التطبيق أو مفتاح أمان فعلي معظم الوقت.
جرّب التحقق من الطرق الأخرى التي يمكنك تسجيل الدخول بها إذا لم يكن لديك طريقة عادية.
لهذا السبب، لحجب حساب غوغل Google حقاً، لن تحتاج إلى تجنب مصادقة ثنائية تستند إلى الرسائل النصية القصيرة.
تحتاج أيضاً إلى التسجيل في برنامج الحماية المتقدمة من غوغل Google ، الذي تعلن عنه غوغل Google لـ الصحفيين والنشطاء ورجال الأعمال وفرق الحملات السياسية.
يتطلب هذا البرنامج المجاني استخدام مفتاح أمان فعلي لتسجيل الدخول، ولكنه يتطلب أيضاً المزيد المعلومات لاستعادة حسابك.
الرجاء استخدام الرسائل القصيرة إذا كنت لا تستخدم المصادقة الثنائية الآن:
لا نريد أن نرشدك إلى شعور زائف بالأمان: إذا كنت شخصاً مستهدفاً على الأرجح من قبل الحكومات الأجنبية، أو جواسيس الشركات، أو المجرمين المنظمين، فيجب أن تتفادى على الإطلاق المصادقة الثنائية المستندة إلى الرسائل النصية القصيرة وأن تحمي حساباتك مع شيء أكثر أمناً.
ولكن، إذا كنت شخصاً عادياً ولم تمكّن المصادقة الثنائية، فلا تقلق: فالحماية المرتكزة على الرسائل القصيرة SMS سيجعلك أكثر أماناً من عدم وجود عاملين على الإطلاق.
باختصار، يجب على الجميع استخدام المصادقة عن طريق الرسائل القصيرة SMS ما لم يستخدموا شيئاً أفضل.
