ما هي المصادقة الثنائية (2FA)؟ دليل مبسّط
المصادقة الثنائية (2FA) تسجيل دخول يطلب دليلين مختلفين على أنك كما تقول: عادةً شيئاً تعرفه، مثل كلمة المرور، إلى جانب شيء تملكه، مثل هاتفك أو مفتاح أمان. فإذا سرق مجرم كلمة مرورك أو خمّنها، فلن يستطيع الدخول من دون العامل الثاني. وهي من أبسط الطرق لحماية الحسابات المهمة.
لماذا تهم عند البناء بالذكاء الاصطناعي
عندما تطلب من منشئ تطبيقات بالذكاء الاصطناعي "تسجيل دخول"، ستحصل عادةً على البريد الإلكتروني وكلمة المرور. وهذه بداية جيدة، لكن كلمات المرور تُعاد استخدامها وتُسرق عبر التصيّد وتتسرب. فإذا كان تطبيقك يحتفظ بأي شيء ذي قيمة، مثل سجلات العملاء والفواتير وصلاحيات الإدارة وإعدادات الدفع، فإن كلمة مرور واحدة مسروقة قد تكشف كل ذلك.
كما أن 2FA يؤثر في قرارات قد لا تفكر فيها في البداية:
- من يجب أن يستخدمه. هل هو اختياري للجميع، أم إلزامي للمديرين، أم إلزامي للجميع؟
- الطرق التي تدعمها. رموز من تطبيق، أو رسائل نصية، أو مفاتيح رقمية، أو مفاتيح أمان.
- ماذا يحدث عند قفل حساب مستخدم. الهواتف المفقودة هي أكثر طلبات الدعم شيوعاً في أي تطبيق يستخدم 2FA.
- أين يُفرض. يجب أن يتم التحقق على الخادم. شاشة 2FA التي تخفي الصفحة في المتصفح فقط يمكن تجاوزها.
لست مضطراً إلى بناء التشفير بنفسك، فالمكتبات المختبرة جيداً ومزودو المصادقة يتولون ذلك. لكنك تحتاج إلى معرفة ما تطلبه.
تشبيه من الحياة اليومية
فكّر في صندوق الودائع في البنك. لفتحه تحتاج إلى هويتك (شيء يتحقق البنك من أنك هو أو تعرفه) و المفتاح المادي (شيء تملكه). اللص الذي ينسخ توقيعك ما زال لا يملك المفتاح، واللص الذي يسرق المفتاح لن يجتاز فحص الهوية.
تعمل 2FA بالطريقة نفسها. كلمة المرور هي التوقيع، والهاتف أو مفتاح الأمان هو المفتاح المادي. كل واحد منهما وحده لا يكفي.
أنواع العوامل الثلاثة
تجمع معايير الأمان، مثل إرشادات المعهد الوطني للمعايير والتقنية (NIST) الأمريكي بشأن الهوية الرقمية، العوامل في ثلاثة أنواع:
| العامل | أمثلة |
|---|---|
| شيء تعرفه | كلمة المرور، رقم التعريف الشخصي (PIN) |
| شيء تملكه | هاتف فيه تطبيق مصادقة، مفتاح أمان، جهاز يحمل مفتاحاً رقمياً (passkey) |
| شيء أنت عليه | بصمة الإصبع، الوجه، وغالباً ما يُستخدم لفتح جهاز يقوم هو بالتحقق الفعلي |
الكلمة المفتاحية هي مختلف. كلمة المرور مع سؤال أمان هما شيئان تعرفهما، فلا تُعدّان مصادقة ثنائية حقيقية. وإذا كان تسريب واحد يكشف الاثنين، فهما يُحسبان عاملاً واحداً فقط.
مقارنة طرق 2FA الشائعة
| الطريقة | طريقة العمل | القوة | ملاحظات |
|---|---|---|---|
| رمز عبر الرسائل النصية | يُرسل رمز إلى رقم هاتفك | الأضعف | عرضة لتبديل الشريحة والتصيّد، لكنه أفضل بكثير من عدم وجود 2FA |
| رمز عبر البريد الإلكتروني | يُرسل رمز إلى بريدك | ضعيفة | لا تزيد أمانها عن أمان حساب البريد نفسه |
| تطبيق مصادقة (TOTP) | تطبيق مثل Google Authenticator يولّد رمزاً جديداً من 6 أرقام، عادةً كل 30 ثانية | جيدة | يعمل من دون إنترنت؛ ما زال عرضة للتصيّد إذا طلب موقع مزيف الرمز |
| موافقة بالإشعار (Push) | يسألك التطبيق "هل هذا أنت؟" فتضغط موافقة | جيدة | انتبه إلى "إرهاق الموافقة"، حيث يضغط المستخدمون "نعم" فقط لإيقاف الطلبات المتكررة |
| مفتاح مرور (Passkey) أو مفتاح أمان | مفتاح تشفيري على الجهاز يثبت أنك في الموقع الحقيقي | الأقوى | مقاوم للتصيّد لأنه لا يستجيب لنطاق يشبه الأصلي |
تعامل إرشادات NIST الطرق التي تكتب فيها رمزاً (الرسائل النصية والبريد الإلكتروني وتطبيقات المصادقة) على أنها ليست مقاومة للتصيّد، وتصنّف إرسال الرموز عبر شبكة الهاتف على أنه "مقيّد". أما مفاتيح المرور ومفاتيح الأمان المادية، القائمة على معايير WebAuthn/FIDO2، فهي التي تعدّها مقاومة للتصيّد.
الخلاصة العملية: تطبيق المصادقة خيار افتراضي قوي وسهل لمعظم التطبيقات، ويستحق عرض مفاتيح المرور إذا كان مستخدموك مرتاحين لاستخدامها.
مثال عملي: المصادقة الثنائية لبوابة عملاء
لنفترض أنك بنيت بوابة يشارك فيها مكتب محاسبة صغير مستندات الضرائب مع عملائه. إليك كيف يعمل إعداد معقول لـ 2FA، خطوة بخطوة.
تفعيلها (التسجيل). تفتح بريا، وهي عميلة، الإعدادات وتنقر "تفعيل المصادقة الثنائية". يولّد التطبيق سراً ويعرضه كرمز QR. تمسحه بتطبيق المصادقة لديها، فيبدأ بعرض رموز من 6 أرقام. تكتب الرمز الحالي في البوابة لتثبت أن الإعداد نجح. يعرض التطبيق عشرة رموز استرداد ويطلب منها حفظها في مكان آمن.
تسجيل الدخول لاحقاً.
- تدخل بريا بريدها الإلكتروني وكلمة مرورها. يتحقق الخادم منهما.
- بدلاً من إدخالها مباشرة، يسجّل الخادم الجلسة بأنها "كلمة المرور صحيحة، والعامل الثاني معلّق"، ويعرض شاشة الرمز.
- تكتب الرمز من تطبيقها. يتحقق الخادم منه مقابل السر المخزن لديه، مع السماح بقدر بسيط من انحراف الساعة.
- فقط عندها ينشئ الخادم جلسة كاملة ويسمح لها برؤية المستندات.
ما يراه المهاجم. إذا تسربت كلمة مرور بريا من موقع آخر، يتوقف المهاجم عند الخطوة 3. يُحسب كل محاولة رمز خاطئة، وبعد عدة محاولات خاطئة يُقفل الحساب مؤقتاً وتتلقى بريا رسالة بريد إلكتروني.
فقدان الهاتف. تستخدم بريا أحد رموز الاسترداد للدخول، وتعطّل 2FA ثم تفعّله من جديد بهاتفها الجديد، وتحصل على رموز استرداد جديدة. ولا يمكن استخدام الرمز المستعمل مرة أخرى أبداً.
للموظفين. يستطيع محاسبو المكتب رؤية ملفات كل العملاء، لذلك تُلزم البوابة الموظفين بـ 2FA؛ فلا يصلون إلى لوحة التحكم قبل أن يفعّلوه.
شرح المصطلحات الشائعة
| المصطلح | معناه |
|---|---|
| 2FA / MFA | المصادقة الثنائية / متعددة العوامل: تسجيل الدخول بأكثر من نوع من الأدلة. |
| العامل (Factor) | نوع واحد من الأدلة: شيء تعرفه أو تملكه أو أنت عليه. |
| TOTP | كلمة مرور لمرة واحدة تعتمد على الوقت، وهي الرموز المتغيرة في تطبيقات المصادقة. |
| السر المشترك (Shared secret) | القيمة الخفية التي تُعد عبر رمز QR، ويستخدمها التطبيق وهاتفك لتوليد رموز متطابقة. |
| رموز الاسترداد (Recovery / backup codes) | رموز تُستخدم مرة واحدة للدخول عند فقدان العامل الثاني. |
| مفتاح المرور (Passkey) | بيانات اعتماد لتسجيل الدخول تُخزَّن على جهازك وتستخدم التشفير بالمفتاح العام بدلاً من كلمة المرور. |
| مفتاح الأمان (Security key) | جهاز مادي صغير (USB أو NFC) يؤدي الوظيفة نفسها التي يؤديها مفتاح المرور. |
| تبديل الشريحة (SIM swapping) | خداع شركة الاتصالات لنقل رقم شخص إلى شريحة جديدة، فتذهب الرسائل النصية إلى المهاجم. |
| التصيّد (Phishing) | موقع أو رسالة مزيفة تخدع الناس ليسلّموا كلمات المرور أو الرموز. |
| المصادقة المعززة (Step-up authentication) | طلب العامل الثاني من جديد قبل إجراء حساس، مثل تغيير بيانات استلام الأموال. |
أخطاء شائعة ومفاهيم خاطئة
- "المصادقة الثنائية تجعل الحساب غير قابل للاختراق." إنها تجعل الاختراق أصعب بكثير. فمواقع التصيّد ما زالت قادرة على التقاط الرموز المكتوبة لحظياً، ولهذا وُجدت مفاتيح المرور.
- فحص الرمز في المتصفح فقط. إذا أصدر الخادم جلسة كاملة بعد كلمة المرور، فشاشة الرمز مجرد ديكور. يجب أن يرفض الخادم الوصول حتى يجتاز العامل الثاني.
- عدم وجود حد لمحاولات تخمين الرمز. الرمز المكوّن من 6 أرقام له مليون احتمال. ومن دون تحديد المعدل (rate limiting) وقفل الحسابات، يستطيع المهاجم أن يستمر في التخمين.
- نسيان الاسترداد. من دون رموز استرداد يتحول كل هاتف مفقود إلى تذكرة دعم، أو إلى عميل مقفول خارج حسابه.
- تخزين سر TOTP بإهمال. يجب تشفير السر المشترك في قاعدة البيانات، ولا يُعرض مرة أخرى بعد الإعداد.
- السماح للمستخدمين بإيقاف 2FA دون إعادة التحقق. يجب أن يتطلب تعطيل 2FA أو تغيير البريد الإلكتروني كلمة المرور ورمزاً حالياً.
- كلمة المرور مع سؤال أمان تُحسب كـ 2FA. لا تُحسب، لأن الاثنين شيئان تعرفهما.
ماذا تطلب من منشئ التطبيق بالذكاء الاصطناعي
- "أضف مصادقة ثنائية اختيارية باستخدام تطبيق مصادقة (TOTP)، مع رمز QR للإعداد ورمز تأكيد قبل تفعيلها."
- "اعرض عشرة رموز استرداد تُستخدم مرة واحدة عند تفعيل 2FA. واحفظها مشفّرة (hashed) كما تُحفظ كلمات المرور."
- "طبّق 2FA على الخادم: لا جلسة كاملة قبل اجتياز العامل الثاني."
- "حدّد عدد محاولات الرمز، وأقفل تسجيل الدخول لمدة 15 دقيقة بعد محاولات فاشلة متكررة. وأرسل بريداً إلكترونياً للمستخدم عند حدوث ذلك."
- "ألزم حسابات المديرين بـ 2FA."
- "اطلب كلمة المرور ورمزاً حالياً قبل تعطيل 2FA أو تغيير بريد الحساب."
- "استخدم مكتبة معروفة أو ميزة 2FA المدمجة في مزود المصادقة لدينا، ولا تكتب التشفير بنفسك."
- "اشرح الطريقة التي استخدمتها، وأين تُخزَّن الأسرار."
إذا كنت تستخدم مزود مصادقة مستضافاً، فتحقق مما إذا كان يقدم 2FA أو مفاتيح مرور بالفعل؛ فتفعيل ميزة مدمجة أكثر أماناً عادةً من شيفرة مخصصة. والنسخة خطوة بخطوة موجودة في كيف تضيف المصادقة الثنائية، وما هي المصادقة يشرح أساسيات تسجيل الدخول التي تقوم عليها.
المصادقة الثنائية في Mythex
لا يتضمن Mythex نظام تسجيل دخول مدمجاً لمستخدمي تطبيقك، لذلك تكون 2FA جزءاً من أي أسلوب مصادقة تختاره: تسجيل دخول خاص بك بالبريد الإلكتروني وكلمة المرور مدعوماً بـ قاعدة بيانات المشروع، أو مزود مستضاف يقدم 2FA. تطلب من الوكيل إضافتها في الدردشة، وتُوضع مفاتيح المزودين في أسرار المشروع لا في الدردشة نفسها. ويتضمن دليل المستندات الخاص بـ إضافة تسجيل الدخول إلى تطبيقك طلباً افتتاحياً تعدّله، ويغطي الأمان للتطبيقات التي تبنيها العادات المتعلقة بالمفاتيح. وقبل الإطلاق، راجع قائمة الأمان للتطبيقات المبنية بالذكاء الاصطناعي.
الأسئلة
ما هي المصادقة الثنائية بكلمات بسيطة؟
المصادقة الثنائية (2FA) تعني أن تسجيل الدخول يتطلب دليلين مختلفين، عادةً كلمة المرور إلى جانب رمز من هاتفك أو مفتاح أمان. من يسرق كلمة مرورك وحدها لن يستطيع الدخول.
هل 2FA هو نفسه MFA؟
تقريباً. المصادقة متعددة العوامل (MFA) تعني عاملين أو أكثر، والمصادقة الثنائية هي الحالة الأشيع بالضبط عاملين اثنين. وفي الاستخدام اليومي يُستخدم المصطلحان بالتبادل.
هل الرمز عبر الرسائل النصية (SMS) آمن؟
هو أفضل بكثير من كلمة المرور وحدها، لكنه أضعف الخيارات الشائعة. فالرسائل النصية قد تُعترض أو تُحوَّل عبر تبديل شريحة الهاتف (SIM swapping)، وقد تخدع صفحة دخول مزيفة الناس ليكتبوا الرمز. تطبيقات المصادقة أقوى، والمفاتيح الرقمية ومفاتيح الأمان أقوى منها.
هل يحتاج تطبيقي إلى المصادقة الثنائية؟
إذا كانت الحسابات تحتوي على أموال أو بيانات خاصة أو صلاحيات إدارية على مستخدمين آخرين، فإن عرض 2FA فكرة جيدة، وإلزام المديرين به أمر شائع. أما لتطبيق بسيط للهواية فيمكن أن يكون اختيارياً أو يُترك لوقت لاحق.
ماذا يحدث إذا فقد المستخدم هاتفه؟
لهذا تُستخدم رموز الاسترداد: قائمة قصيرة من رموز احتياطية تُستخدم مرة واحدة، وتظهر عند تفعيل 2FA. ومن دونها، يتطلب الاسترداد عادةً تحقق هوية يدوياً من صاحب التطبيق، لذا خطّط له قبل الإطلاق.