كلمة المرور وحدها لم تعد كافية. تسريبات قواعد البيانات تحدث باستمرار، وكثير من الناس يكررون كلمة المرور نفسها في أكثر من موقع، ورسائل التصيد أصبحت مقنعة أكثر من أي وقت مضى. لهذا توصي الجهات المختصة بالأمن السيبراني، مثل وكالة الأمن السيبراني الأمريكية (CISA)، بتفعيل التحقق بخطوتين (أو المصادقة متعددة العوامل MFA) على كل حساب مهم. في هذا الدليل نشرح فكرته، ونرتب أنواعه من الأضعف إلى الأقوى، ونوضح كيف تفعّله دون أن تفقد الوصول إلى حساباتك.
ما هو التحقق بخطوتين؟
الفكرة بسيطة: لكي تدخل إلى حسابك، يجب أن تثبت هويتك بطريقتين مختلفتين بدلاً من طريقة واحدة. وتُقسم هذه الطرق عادة إلى ثلاث فئات:
- شيء تعرفه: مثل كلمة المرور أو الرمز السري.
- شيء تملكه: مثل هاتفك أو مفتاح أمان مادي.
- شيء يميزك: مثل البصمة أو بصمة الوجه.
عندما تجمع بين فئتين، فإن سرقة كلمة المرور وحدها لا تكفي المهاجم للدخول؛ لأنه يحتاج أيضاً إلى هاتفك أو مفتاحك.
أنواع التحقق بخطوتين من الأضعف إلى الأقوى
1. الرمز عبر رسالة SMS
هو الأكثر انتشاراً والأسهل استخداماً: يصلك رمز مكون من عدة أرقام برسالة نصية. لكنه الأضعف بين الخيارات، لأن الرسائل يمكن اعتراضها، ولأن المهاجم قد ينفّذ ما يسمى هجوم استبدال الشريحة (SIM Swapping)، أي إقناع شركة الاتصالات بنقل رقمك إلى شريحة يملكها. ومع ذلك، تفعيل SMS أفضل بكثير من عدم تفعيل أي شيء.
2. تطبيقات المصادقة (TOTP)
تطبيقات مثل Google Authenticator وMicrosoft Authenticator وغيرها تولّد رمزاً جديداً كل 30 ثانية تقريباً، اعتماداً على مفتاح سري يُحفظ في هاتفك عند مسح رمز QR. هذه الطريقة لا تعتمد على شبكة الاتصالات، لذلك فهي محمية من استبدال الشريحة، وتعمل حتى دون إنترنت. عيبها أن المستخدم قد يُخدع بإدخال الرمز في موقع تصيد مزيف خلال صلاحيته.
3. إشعارات الموافقة (Push)
يصلك إشعار على هاتفك تضغط فيه «نعم، هذا أنا». الطريقة مريحة، لكن ظهرت ضدها هجمات تُعرف بـ إرهاق المصادقة (MFA Fatigue): يرسل المهاجم طلبات متكررة حتى يضغط المستخدم «موافقة» بالخطأ أو بدافع الملل. لذلك أضافت كثير من الخدمات «مطابقة الأرقام»، حيث تكتب رقماً يظهر على شاشة الدخول بدلاً من مجرد الموافقة.
4. مفاتيح الأمان ومفاتيح المرور (FIDO2 / Passkeys)
هي الأقوى حالياً، وتصفها CISA بأنها مصادقة «مقاومة للتصيد». سواء كانت مفتاحاً مادياً يوصل بمنفذ USB أو NFC، أو مفتاح مرور مخزناً في هاتفك، فإنها تعتمد على التشفير بالمفتاح العام وترتبط بعنوان الموقع الحقيقي. لذلك لا تعمل أبداً مع موقع مزيف حتى لو خُدع المستخدم بفتحه. وقد شرحنا مفاتيح المرور بالتفصيل في مقالنا: موت كلمات المرور: التشريح الهندسي لمفاتيح المرور.
كيف تفعّل التحقق بخطوتين بشكل صحيح؟
- ابدأ بالحسابات الأهم: البريد الإلكتروني أولاً، لأنه مفتاح استعادة كل حساباتك الأخرى، ثم الحسابات البنكية، ثم حسابات التواصل الاجتماعي ومتاجر التطبيقات.
- اذهب إلى إعدادات الأمان في كل خدمة، وابحث عن خيار «التحقق بخطوتين» أو «المصادقة الثنائية» أو «2FA».
- اختر أقوى طريقة متاحة: مفتاح مرور أو مفتاح أمان إن وُجد، وإلا تطبيق مصادقة، واجعل SMS خياراً احتياطياً فقط.
- احفظ رموز الاسترداد: معظم الخدمات تعطيك مجموعة من الرموز الاحتياطية عند التفعيل. احفظها في مكان آمن خارج الهاتف، كمدير كلمات مرور أو ورقة مطبوعة في مكان آمن.
- أضف طريقة ثانية احتياطية: حتى لا تفقد الوصول إلى حسابك إذا ضاع هاتفك أو تعطل.
أخطاء شائعة يجب تجنبها
- مشاركة الرمز مع أي شخص: لا توجد جهة شرعية تطلب منك رمز التحقق عبر الهاتف أو الرسائل. من يطلبه فهو محتال.
- الموافقة على إشعار لم تطلبه: إذا وصلك طلب دخول لم تقم به، ارفضه فوراً وغيّر كلمة المرور، لأن هذا يعني أن كلمة مرورك مكشوفة.
- تغيير الهاتف دون نقل تطبيق المصادقة: انقل الحسابات إلى الجهاز الجديد قبل مسح القديم، أو استخدم تطبيقاً يدعم النسخ الاحتياطي المشفّر.
- إهمال رموز الاسترداد: وهي في الغالب الطريق الوحيد للعودة إلى حسابك إذا فقدت كل أجهزتك.
الخلاصة
التحقق بخطوتين من أبسط الخطوات وأكثرها أثراً في حماية حساباتك. أي نوع منه أفضل من لا شيء، لكن الترتيب المنصوح به هو: مفاتيح المرور ومفاتيح الأمان أولاً، ثم تطبيقات المصادقة، ثم الإشعارات مع مطابقة الأرقام، وأخيراً الرسائل النصية. خصص عشر دقائق اليوم لتفعيله على بريدك الإلكتروني وحساباتك البنكية، واحفظ رموز الاسترداد في مكان آمن.
المصادر
- CISA — More than a Password (Multifactor Authentication)
- CISA — Implementing Phishing-Resistant MFA
- NIST SP 800-63B — Digital Identity Guidelines: Authentication
- Google — Turn on 2-Step Verification
للتعمق أكثر وفهم آليات التنفيذ، ننصح بالاطلاع على حماية الأصول الرقمية: 4 دروس استراتيجية من واقع الاختراقات الكبرى.