التحقق بخطوتين: من SMS إلى مفاتيح المرور
الدرس 5 من 16 في دورة «الأمن السيبراني من الصفر». مجاني، مع رسوم متحركة واختبار.
قفل ثانٍ على الباب
التحقق بخطوتين (2FA) يعني أنك تحتاج إلى شيء إضافي بجانب كلمة المرور: رمز أو تأكيد على الهاتف أو مفتاح. إذا تسرّبت كلمة المرور يبقى الباب مغلقًا. في دراسة Google لعام 2019، صدّ حتى رمز SMS كل هجمات الروبوتات و96% من التصيّد الجماعي. لكن أمام الهجمات الموجّهة الفرق كبير: SMS 76%، والتأكيد على الهاتف 90%، ومفتاح الأمان 100%.
نقطة ضعف SMS
في يناير 2024 سُرق حساب هيئة SEC، المنظّم المالي الأمريكي، على منصة X. أقنع المحتالون شركة الاتصالات بنقل رقم الهيئة إلى شريحتهم، وهذا يسمى تبديل الشريحة. كان التحقق بخطوتين معطّلًا، فأعادوا تعيين كلمة المرور عبر الرقم ونشروا خبرًا مزيّفًا عن الموافقة على صناديق البيتكوين المتداولة. حتى رموز SMS ما كانت لتنفع لأنها ستصل إلى المحتالين. ما يحمي هو تطبيق المصادقة أو المفتاح.
السلّم من الأسوأ إلى الأفضل
بلا تحقق بخطوتين تكفي كلمة المرور. SMS أفضل من لا شيء، لكن الرمز يُعترض بتبديل الشريحة أو يُنتزع منك بالتصيّد. تطبيق المصادقة (Google Authenticator وMicrosoft Authenticator وأمثالهما) يولّد رمزًا على هاتفك كل 30 ثانية، ولا تستطيع شركة الاتصالات اعتراضه. لكن ما زال ممكنًا أن تكتبه في موقع مزيّف. واحذر من إشعارات الموافقة: في 2022 أغرق مخترق Uber موظفًا بالطلبات حتى ضغط «نعم».
مفتاح المرور: كلمة مرور لا يمكن اصطيادها
مفتاح المرور (passkey) مفتاح دخول بدل كلمة المرور. يحتفظ الهاتف أو الحاسوب بالجزء السري من المفتاح ويؤكد الدخول ببصمتك أو وجهك. المفتاح مربوط بعنوان الموقع بدقة، لذلك لن يعمل في binance-verify.com حتى لو صدّقتَ تصميمه. ومفتاح الأمان المادي، جهاز USB صغير مثل YubiKey، يعمل بالطريقة نفسها. تدعم Google وApple وMicrosoft ومنصات كثيرة منها Binance مفاتيح المرور. اخترها حيثما أمكن.
ما يفعّله دان اليوم
البريد: مفتاح مرور، وطريقة احتياطية بتطبيق مصادقة. المنصة: مفتاح مرور بدل SMS. مدير كلمات المرور: تطبيق مصادقة. ويزيل دان رقم هاتفه كطريقة دخول حيثما توجد خيارات أفضل. ويحفظ فورًا الرموز الاحتياطية على ورق في البيت: إن غرق الهاتف فقد يفقد الوصول للأبد بدونها. في التدريب رتّب طرق التحقق بخطوتين حسب قوتها.
اختبر نفسك
- لماذا رمز SMS هو أضعف أنواع التحقق بخطوتين؟
الإجابة الصحيحة: يمكن سرقة الرقم بتبديل الشريحة فتصل الرموز إلى المحتال. الرمز مرتبط برقم، والرقم مرتبط بشركة اتصالات يمكن خداعها. هكذا سُرق حساب SEC عام 2024. - في الليل يصل دان الطلب العاشر «هل أنت من يسجّل الدخول؟» وهو في السرير. ماذا يفعل؟
الإجابة الصحيحة: يضغط «لا» ويغيّر كلمة المرور فورًا: هناك من يعرفها. الطلبات تعني أن كلمة المرور صارت لدى أحدهم. العامل الثاني يمسك الباب، لكن لا تجعله يمسكه للأبد: غيّر كلمة المرور. - لماذا يحميك مفتاح المرور حتى من نسخة مثالية للموقع؟
الإجابة الصحيحة: المفتاح مرتبط بعنوان الموقع بدقة ولا يعمل على غيره. قد تصدّق أنت المزيّف، أما المفتاح فلا: يفحص العنوان بنفسه لا التصميم.
← مدير كلمات المرور: تذكّر واحدة فقط البريد والرقم: المفاتيح الرئيسية →