كلمة المرور ليست في طريقها إلى الزوال

المقدمة#

في العام الماضي، كانت هناك مقالات إخبارية تنتشر على الإنترنت تدعي أن شركات التكنولوجيا الكبرى مثل Apple وGoogle وMicrosoft كانت تتحد للقضاء على كلمات المرور. حتى أن بعض الشركات الناشئة أعلنت أن كلمات المرور أصبحت زائدة عن الحاجة وعفا عليها الزمن. بعد التعمق في مجال إدارة الهوية لعدة أشهر، بدأت أشكك في صحة وفعالية هذه الادعاءات.

ماذا تفعل كلمة المرور؟#

للوهلة الأولى، يبدو الجواب بديهيًا: تُستخدم كلمات المرور لتسجيل الدخول والتحقق من الهويات. مع ذلك، لدي وجهة نظر مختلفة إذا أخذت في الاعتبار حقيقة أن كلمات المرور لا يمكنها فعليًا التحقق من هويتك:

• عندما يسجل المستخدم الدخول إلى موقع ويب باستخدام بريد إلكتروني وكلمة مرور، لا توجد طريقة للموقع لتأكيد الشخص الفعلي وراء هذه البيانات. قد يكون إنسانًا أو حتى قطة.
• يمكن لأي شخص فتح جهاز iPhone باستخدام رمز PIN الصحيح.

في الواقع، الغرض من كلمة المرور هو إثبات الملكية بشكل مجهول لشيء ما: حساب مستخدم، جهاز، أو الوصول إلى باب.

"قتلة كلمة المرور" الحاليون#

الشركات المذكورة سابقًا قد اقترحت عدة "قتلة لكلمات المرور". يدعي الكثيرون أنها بدائل أكثر أمانًا تلغي الحاجة للمستخدمين لتذكر كلمات مرور معقدة وثابتة أثناء المصادقة. مع ذلك، فإن معظم هذه البدائل ليست عملية تمامًا لإزالة كلمات المرور بشكل كامل.

مصادقة FIDO#

مصادقة FIDO (هوية سريعة عبر الإنترنت)، كما هو موضح في الوثائق الرسمية، تستخدم تقنيات التشفير بالمفتاح العام للتسجيل وتسجيل الدخول (من الجدير بالذكر أن WebAuthn هو مكون أساسي في مواصفات FIDO2). على السطح، يبدو أن العملية مغرية:

بسيط، صحيح؟ للأسف، هناك عقبة كبيرة في الطريق: التوافق. عند المقارنة بالتركيبة التقليدية "المعرف وكلمة المرور"، تتطلب مصادقة FIDO:

• أن تدعم المواقع الإلكترونية أو التطبيقات FIDO.
• أن تدعم المتصفحات و/أو أنظمة التشغيل FIDO.
• أن تحتوي أجهزة المستخدم على آلية تحقق سهلة الاستخدام.

فشل أي من هذه المتطلبات يجعل مصادقة FIDO غير متاحة، مما يجبر على الرجوع لطرق أخرى.

علاوة على ذلك، حتى إذا تم استيفاء جميع الشروط، ما الذي يؤهل كـ "آلية تحقق سهلة الاستخدام" على الجهاز؟ حاليًا، قد يتضمن طرق بيومترية مثل بصمة الإصبع أو التعرف على الوجه، يرافقها خيار احتياطي مثل رمز PIN، المعروف أيضًا بكلمة المرور. في النهاية، نعود إلى المربع الأول.

من الناحية الفنية، ليست "قاتل كلمة المرور" بل هي عملية مصادقة أو تحقق أكثر أمانًا وسهولة في الاستخدام محمية بكلمات المرور.

كلمة المرور لمرة واحدة#

على الرغم من أن الاسم يتضمن مصطلح "كلمة المرور"، فإن كلمات المرور لمرة واحدة (OTPs) ليست كلمات مرور تقليدية لأنها ديناميكية. هناك نوعان شائعان من OTPs:

• كلمة المرور لمرة واحدة القائمة على الوقت (TOTP): يتم إنشاؤها حسابيًا باستخدام الوقت الحالي كمصدر للتمييز. تُستخدم بشكل شائع في المصادقة متعددة العوامل (MFA) أو 2FA.
• كلمة المرور لمرة واحدة عبر الرسائل النصية أو البريد الإلكتروني: يتم إنشاؤها في الخادم باستخدام خوارزميات عشوائية. في بعض البلدان، تم تبنيها على نطاق واسع كوسيلة تسجيل دخول رئيسية.

قد لا تكون TOTPs معروفة على نطاق واسع بالاسم. على سبيل المثال، عندما يطلب منك موقع ويب إعداد MFA واستخدام تطبيق مثل Google Authenticator أو Duo لمسح رمز QR، فمن المرجح أنك تستخدم TOTP. قد تكون لاحظت أيضًا أن الموقع غالبًا ما يعرض "رمز استعادة" طويل وينصحك بحفظه لأنه سيتم عرضه مرة واحدة فقط. تشجع بعض المواقع حتى المستخدمين على طباعته على الورق. في جوهرها، يعمل رمز الاستعادة هذا ككلمة مرور طويلة.

بالنسبة لكلمات المرور لمرة واحدة عبر الرسائل النصية أو البريد الإلكتروني، قد تكون مكلفة وغير موثوقة:

• بناء مرسل رسائل نصية أو بريد إلكتروني من الصفر يتطلب إعدادًا.
• يتعين على مرسلي البريد الإلكتروني إنشاء "سمعة" إيجابية لتحسين التسليم، وإلا قد يتم تصنيف المرسل كرسائل غير مرغوب فيها.
• لكل دولة مشغلي شبكات الهاتف المحمول مما يؤدي إلى زمن تسليم غير متوقع وتكاليف ملحوظة لإرسال الرسائل النصية، خاصةً بالنسبة للشركات الناشئة.

البيومتريا#

يشير مصطلح "البيومتريا" إلى استخدام الطرق البيومترية فقط للمصادقة عبر الإنترنت. في الواقع، هناك اختلاف جوهري عند المقارنة مع الطرق الأخرى: تحول المصادقة البيومترية المهمة الأصلية "إثبات ملكية شيء ما" إلى "إثبات من أنت". بسبب المخاوف بشأن الخصوصية، تُستخدم الطرق البيومترية في المقام الأول للمصادقة المحلية.

كلمة المرور ليست مثالية، مع ذلك#

كما نرى، "قتلة كلمة المرور" يخفيون بشكل أساسي كلمات المرور أو يستخدمون كلمات المرور كخيارات احتياطية. إليك ملخصًا لمزايا كلمات المرور استنادًا إلى مناقشتنا:

• سهولة الوصول والتوافق: يمكن استخدام كلمات المرور في أنظمة متنوعة ومتاحة لمجموعة واسعة من المستخدمين.
• التكلفة الفعالة والتنوع: تعد مصادقات كلمة المرور بشكل عام أكثر فعالية من حيث التكلفة من الطرق الأخرى وتتكيف مع سيناريوهات مختلفة.
• عدم الكشف عن الهوية والخصوصية: تتيح كلمات المرور الاستخدام المجهول وتحمي خصوصية المستخدم.

لكن لكل عملة وجهان. في حين أن كلمات المرور لها مزاياها، فإن الاعتماد عليها فقط لأغراض المصادقة يعرض نقاط ضعف كبيرة. يمكن أن تكون صعبة للتمكن منها من قبل المستخدمين النهائيين، وإذا فشل مالكو المواقع في اتباع ممارسات الأمان الصحيحة، فإن كلمات المرور تصبح سهلة للتعرض للخطر. تشمل ممارسات الأمان الخطرة، على سبيل المثال لا الحصر:

• السماح بكلمات المرور الضعيفة أو المسربة.
• عدم فرض استخدام HTTPS للاتصالات.
• استخدام خوارزميات التجزئة غير الآمنة.
• الفشل في الالتزام بمعايير مجربة مثل OAuth أو OpenID Connect (OIDC).
• كشف قاعدة البيانات للجمهور.

الخاتمة#

لا أنوي التقليل من شأن أي من طرق المصادقة المذكورة أعلاه. على العكس من ذلك، أثناء عملي على بناء Logto، طورت احترامًا عميقًا لهذه الطرق المميزة للمصادقة والأفراد خلفها.

ومع ذلك، تحقيق الأمان بنسبة 100% هو هدف لا يمكن تحقيقه. ما يمكن أن نطمح إليه هو تقليل احتمالية الهجمات. إحدى الطرق الفعالة هي الجمع بين مصادقة كلمات المرور وكلمات المرور لمرة واحدة بناءً على الجهاز أو البيئة الحالية، مما يضيف طبقة إضافية من التحقق وقد تم تبنيها على نطاق واسع. من خلال الاستفادة من نقاط القوة في مختلف تقنيات المصادقة، يمكننا إنشاء نهج متوازي يوفر حماية أقوى.

في الختام، بدلاً من التركيز على مصطلحات مثل "قاتل كلمة المرور" عندما لا يتم القضاء على كلمات المرور فعليًا، سيكون من الأكثر قيمة التركيز على تحقيق التوازن بين الأمان وتجربة المستخدم. يتطلب ذلك فهم نقاط القوة والقيود لطرق المصادقة المختلفة وتطبيقها بطريقة تضمن أمان بيانات المستخدم وتجربة مستخدم سلسة.