المصادقة الثنائية: لماذا يحتاج كل حساب إليها

كلمة المرور وحدها نقطة فشل وحيدة. فإذا خُمّنت، أو أُعيد استخدامها في موقع تعرّض لاحقًا للاختراق، أو كُتبت في صفحة دخول مزيفة مقنعة، استطاع كل من يملكها تسجيل الدخول باسمك. وتضيف المصادقة الثنائية، وتُختصر عادةً إلى 2FA، فحصًا ثانيًا لا علاقة له بما تعرفه: شيء تملكه، كهاتفك أو مفتاح مادي، أو شيء هو جزء منك، كبصمة الإصبع.

والنتيجة أن كلمة المرور المسروقة لم تعد كافية. فالمهاجم الذي يملك كلمة مرورك ما زال بحاجة إلى الرمز من تطبيق المصادقة أو النقر على مفتاح الأمان أو الموافقة على جهازك الموثوق. ومعظم الهجمات على الحسابات العادية آلية وانتهازية، ولذلك تُخرجك هذه الخطوة الإضافية من فئة الأهداف السهلة وتجعل الاستيلاء على حسابك أصعب كثيرًا.

ولا تحل المصادقة الثنائية محل كلمة المرور الجيدة. فهي تؤدي أفضل ما يكون حين تُضاف إلى كلمة مرور فريدة طويلة محفوظة في مدير كلمات المرور. وهما معًا يسدّان نقاط ضعف بعضهما: كلمة المرور الفريدة تحدّ من ضرر الاختراقات في مواقع أخرى، والعامل الثاني يحميك حين تتسرب كلمة المرور رغم ذلك.

تولّد تطبيقات المصادقة رمزًا قصيرًا جديدًا، عادةً من ستة أرقام ويتجدد كل ثلاثين ثانية في الغالب، انطلاقًا من سر تتشاركه الخدمة مع التطبيق عند مسح رمز QR. وهي تعمل دون اتصال بالإنترنت، وهي مجانية عادةً، وتدعمها معظم المنصات الكبرى، ولهذا فهي خيار افتراضي معقول لأغلب الناس.

مفاتيح الأمان المادية أجهزة صغيرة تعمل عبر USB أو NFC أو Bluetooth تنقر عليها أو تُدخلها عند تسجيل الدخول. ومفاتيح المرور تقوم على مبدأ مشابه لكنها تُحفظ على هاتفك أو حاسوبك وتُفتح ببصمتك أو وجهك أو رمز جهازك. وكلاهما مرتبط بعنوان الموقع الحقيقي، فلا يستجيب لصفحة تصيّد مقلِّدة. وهذا يجعلهما أقوى الخيارات المتاحة للمستخدمين العاديين.

أما الإشعارات المنبثقة فتطلب منك الموافقة على تسجيل دخول من جهاز مسجَّل دخوله أصلًا. وتُرسل رموز الرسائل النصية والمكالمات الصوتية رمزًا لمرة واحدة إلى رقم هاتفك. ورموز النسخ الاحتياطي قائمة من الرموز ذات الاستخدام الواحد مخصصة لحالات الطوارئ حين تتعذر وسيلتك المعتادة. وتتيح معظم الخدمات تفعيل أكثر من وسيلة، وينبغي أن تفعل ذلك: وسيلة رئيسية واحدة ووسيلة احتياطية واحدة على الأقل.

رموز الرسائل النصية أفضل بكثير من غياب عامل ثانٍ، لكنها تعتمد على رقم هاتفك، ورقم هاتفك ليس تحت سيطرتك الكاملة. ففي هجوم تبديل الشريحة (SIM swap) يقنع مجرم موظفًا في شركة الاتصالات أو يرشوه لينقل رقمك إلى شريحة بحوزته. ومن تلك اللحظة تصل كل الرموز المخصصة لك إلى هاتفه.

ويمكن كذلك سرقة رموز الرسائل النصية بالتصيّد كما تُسرق كلمات المرور: تطلب صفحة دخول مزيفة الرمز، ويمرره المهاجم إلى الموقع الحقيقي خلال ثوانٍ. وقد تفقد الوصول بطرق أبسط من ذلك، كأن تسافر دون خدمة تجوال، أو تغيّر شركة الاتصالات، أو تترك رقمًا مسبق الدفع حتى ينتهي ثم يُسند لاحقًا إلى شخص آخر.

إذا أتاحت لك الخدمة تطبيق مصادقة أو مفتاح أمان أو مفتاح مرور، فانتقل إلى أحدها واحتفظ بالرسائل النصية بديلًا فقط، أو أزلها تمامًا إن سمحت الخدمة. وحين تكون الرسائل النصية الخيار الوحيد، فاحمِ الرقم نفسه: تتيح شركات اتصالات كثيرة تعيين رمز PIN للحساب أو قفلًا للنقل يجعل نقل الرقم دون إذن أصعب.

ابدأ بالحسابات التي تفتح كل ما عداها. عنوان بريدك الرئيسي أولًا لأنه يستقبل روابط إعادة تعيين كلمة المرور، ثم حساب Apple أو Google أو Microsoft، ومدير كلمات المرور، وأي حساب يحوي مالًا أو بيانات قيّمة. وبعد حماية هذه، انتقل إلى الشبكات الاجتماعية وتطبيقات المراسلة مثل Telegram وDiscord وسائر الحسابات.

يوجد الخيار عادةً في إعدادات أمان الحساب تحت اسم مثل التحقق بخطوتين أو المصادقة الثنائية أو التحقق عند تسجيل الدخول. اختر خيار تطبيق المصادقة أو مفتاح الأمان، وامسح رمز QR بتطبيقك واكتب الرمز الذي يعرضه لتتأكد من أن كل شيء يعمل. وإذا كانت الخدمة تدعم مفاتيح المرور، فإضافة مفتاح على هاتفك وحاسوبك تمنحك وسيلة دخول مريحة ومقاومة للتصيّد في آن واحد.

قبل أن تغلق صفحة الإعدادات، احفظ رموز النسخ الاحتياطي، وأضف وسيلة ثانية إن أمكن، وتحقق من أن بريد الاسترداد ورقم الهاتف محدَّثان ويعودان لك. ثم سجّل الخروج والدخول مرة واحدة، لتعرف شكل الطلب قبل أن تعتمد عليه فعلًا.

رموز النسخ الاحتياطي هي طريق عودتك حين يضيع هاتفك أو يتعطل أو تُعاد تهيئته. كل رمز يعمل مرة واحدة فقط، وفي كثير من الخدمات يؤدي توليد مجموعة جديدة إلى إلغاء القديمة. تعامل معها كمفتاح بيت احتياطي: ضروري حين تحتاج إليه، عديم الفائدة إن لم تجده، وخطير إن وجده غريب.

من الأماكن الجيدة لحفظها نسخة مطبوعة تُحفظ مع أوراقك المهمة، أو ملاحظة مشفّرة في مدير كلمات المرور تستطيع فتحها دون الهاتف الذي يحمل تطبيق المصادقة. ومن الأماكن السيئة صندوق بريدك الوارد، أو تطبيق ملاحظات غير مقفل، أو لقطة شاشة في معرض الصور، أو ملف على الجهاز نفسه الذي يولّد رموزك، لأن فقدان هذا الجهاز وحده سيغلق عليك الباب تمامًا.

اشطب كل رمز عند استخدامه وولّد مجموعة جديدة حين تشارف على النفاد. وإذا شككت في أن أحدًا رأى رموزك، فأعد توليدها دون تأخير ليتوقف عمل القائمة القديمة.

إذا حصلت على حساب من شخص آخر، سواء زميلًا يسلّمك حساب مشروع أو عملية شراء من سوق للسلع الرقمية، فافترض أن الحائز السابق ما زال قادرًا على الوصول إليه. والهدف أن تصبح الشخص الوحيد القادر على تسجيل الدخول. استخدم الحساب دائمًا وفق شروط استخدام العلامة التجارية.

اعمل بهذا الترتيب: غيّر كلمة المرور إلى كلمة فريدة جديدة، وحدّث بريد الاسترداد ورقم الهاتف إلى ما تتحكم فيه، وأزل أي تطبيق مصادقة أو مفتاح أمان أو جهاز موثوق لم تضفه أنت، ثم فعّل المصادقة الثنائية بتطبيقك الخاص وولّد رموز نسخ احتياطي جديدة. وأخيرًا، راجع الجلسات النشطة وسجّل الخروج من كل جهاز عدا جهازك.

في rStock يظهر المحتوى المسلَّم في صفحة طلبك بوصفه سجل تسليم مرتبطًا بالطلب، فتستطيع نسخ التفاصيل منه مباشرة إلى مدير كلمات المرور. وتبقى أموالك محتجزة ولا تُحوَّل إلى المتجر في الحال، وإذا لم يعمل الحساب المسلَّم كما هو موصوف، فيمكنك فتح نزاع خلال مهلة محدودة بعد التسليم. يجيب المتجر أولًا، ويمكن استدعاء مشرف إذا تعذّر الاتفاق. وتأمين الحساب وفحصه بسرعة يساعدانك على ملاحظة أي مشكلة ما دامت المهلة مفتوحة. كما أن rStock غير تابعة لأي علامة تجارية مذكورة في هذه المقالة.

الموافقة على إشعار منبثق لم تبدأه أنت طريقة معروفة تفشل بها المصادقة الثنائية. فإذا ظهر طلب وأنت لا تسجّل الدخول، فارفضه وغيّر كلمة مرورك، لأن أحدًا ما يملكها فعلًا. وينطبق الأمر نفسه على من يتصل بك أو يراسلك طالبًا أن تقرأ له رمزًا: فالخدمات المشروعة لا تحتاج إلى أن تشارك أحدًا رمزًا لمرة واحدة.

وخطأ آخر أن تحمي الحساب بالمصادقة الثنائية وتترك طريق استرداد قديمًا وضعيفًا مفتوحًا، كعنوان بريد مهجور أو رقم هاتف لم تعد تستخدمه. فالمهاجمون يتجاوزون أقوى باب إذا وجدوا بابًا أضعف غير مغلق، لذا راجع خيارات الاسترداد كلما غيّرت هاتفك أو مزوّد بريدك.

وأخيرًا، لا تنتظر وصول هاتف جديد لتخطط لعملية النقل. قبل أن تستبدل جهازًا أو تعيد تهيئته، انقل رموز المصادقة وتأكد من عملها على الجهاز الجديد، ثم امسح القديم بعد ذلك فقط. دقائق من التحضير قد توفر ساعات من استرداد الحسابات.