الجزء 1/2 من المقال
اشترك أدناه لتصلك نشرتنا الإخبارية كل أسبوع:
المصادقة بدون كلمة مرور هدف أشبه بالكأس المقدسة يبدو دائماً بعيد المنال. لماذا بدون كلمة مرور؟ لأن العنصر البشري هو السبب الأول لمعظم تسريبات البيانات، إذ يعود 82% منها إلى كلمات مرور مسروقة والتصيد وسوء الاستخدام والأخطاء. ولا ننسَ أن المستخدمين يكرهون كلمات المرور بصراحة. فهي تبطئنا، خصوصاً على الأجهزة الصغيرة حيث يسهل الخطأ في كتابتها. تخلّص من كلمات المرور، وها هو عدد الاختراقات ينخفض بشكل كبير والمستخدمون أكثر سعادة!
إذن ما الذي يعيق ذلك؟ حققت عدة مجتمعات درجات متفاوتة من النجاح، لكن لكي تكون المصادقة بدون كلمة مرور فعالة، يجب أن تكون شاملة. من البداية إلى النهاية بالكامل.
تابع القراءة لمعرفة المزيد عن طريقة عمل المصادقة بدون كلمة مرور، وتجربة المستخدم، ومزايا الأمن الرقمي، والاعتبارات المهمة للمؤسسات من أجل بناء مستقبل آمن بلا كلمات مرور
ما هي المصادقة بدون كلمة مرور؟
المصادقة بدون كلمة مرور، التي تُسمّى أحياناً ببساطة «passwordless»، هي التحقق من هوية المستخدم دون كلمة مرور، إذ تُقدَّم هوية المستخدم دون الحاجة إلى إدخال بيانات اعتماد. لمسة واحدة وتدخل.
بدلاً من كلمة المرور، نستخدم عوامل الحيازة مثل كلمات المرور لمرة واحدة والأجهزة المحمولة والرموز المادية، مقترنة بعوامل بيومترية فريدة للتحقق من أصالة الشخص. وبعد التحقق، يمكن للمستخدم فتح عوامل الحيازة وتفعيل استخدامها، ما يحمي خصوصية البيانات البيومترية. وذلك بمعايير وبروتوكولات مثل passkey وFIDO2 (سنعود إليها لاحقاً).
قد يُقدَّم غياب كلمة المرور كواجهة شكلية تُخفي استمرار استخدام كلمات المرور في الخلفية.
فعلى سبيل المثال، لو كنت مطوّر برمجيات ولم يكن تطبيقي مهيأً للعمل بدون كلمة مرور، فلن أرغب في تحمّل تكلفة إعادة برمجته. وبدلاً من ذلك، يمكنني إضافة آلية بدون كلمة مرور تطلب من المستخدم إدخال معرّفه وعاملاً ثانياً مثل البصمة. ثم تُحقن كلمة المرور في الخلفية. ومع بقاء كلمة المرور قائمة، يُخدع المستخدم بالاعتقاد أن العملية بدون كلمة مرور.
قارن ذلك بعملية تسجيل الدخول التقليدية، حيث يجب على المستخدم تقديم معرّف (عادة اسم مستخدم) ومُحقِّق (مثل كلمة مرور أو عبارة سرية أو رمز PIN أو بيانات اعتماد أو مفتاح أو شهادة أو أي نوع آخر من الأسرار). يؤكد المعرّف هوية المستخدم ويحدد المُحقِّق اللازم للمصادقة ومنح مستوى صلاحيات الوصول.
مع المصادقة بدون كلمة مرور، لا تزال الأسرار تُتبادل للتحقق من صلاحيات المستخدم ومستوى وصوله – لكنها تُتبادل ببساطة في الخلفية. ويمكن أن تكون الأسرار دائمة أو مؤقتة، حسب مستوى المخاطر لديك وأهدافك الأمنية.
المصادقة بدون كلمة مرور: ظهور مفاتيح المرور
كما ذُكر أعلاه، توجد بيانات اعتماد تحسّن تجربة المستخدم وتوفر ضماناً أفضل للمستخدمين عاليي المخاطر والخدمات الحرجة.
وبيانات اعتماد FIDO هي أبرز مثال على ذلك. ويمكن استخدامها برمجياً (مثل Trusted Platform Module في حاسوب محمول) أو مع رمز مادي متنقل (مثل YubiKey). وهي تحسّن الأمن من خلال تمثيل عامل آخر – شيء تملكه – ومقاومة التصيد.
في البداية، كانت رموز FIDO تعزز استخدام كلمة المرور بعوامل إضافية. ومؤخراً، تحالف FIDO Alliance مع كبرى شركات التكنولوجيا (Apple وGoogle وMicrosoft) حول معيار جديد لمفاتيح الأمان. وكما يصفه موقع passkeys.io، فإن مفتاح المرور طريقة جديدة لتسجيل الدخول تعمل بالكامل بدون كلمة مرور. فبدلاً من تعزيز كلمة المرور، يحل محلها تماماً. وتستند مفاتيح المرور إلى معايير FIDO القائمة، مضيفةً مزايا في تجربة المستخدم والأمن الرقمي.
يمكن للمستخدمين الوصول إلى مفتاح المرور الخاص بهم من جميع أجهزتهم باستخدام طريقة يستعملونها يومياً: التحقق من البصمة أو الوجه أو رمز PIN للجهاز. ولا حاجة لتسجيل بيانات اعتماد FIDO جديدة على كل جهاز جديد. ويمكن لمزوّدي الخدمات دعم المصادقة بمفتاح المرور دون الحاجة إلى كلمات مرور، كطريقة بديلة لتسجيل الدخول أو استعادة الحساب. وقد تكون إدارة المفتاح الخاص خاصة بكل منظومة؛ فمثلاً تستخدم Apple خدمتي iCloud وKeychain للنسخ.
إضافة إلى ذلك، جرى دمج مفاتيح المرور مع تقنيات الملء التلقائي لتبسيط عملية تسجيل الدخول، بحيث تُملأ هوية المستخدم تلقائياً عند الوصول إلى تطبيق ويب سبق تسجيله لتسجيل الدخول بمفتاح المرور. وينتج عن ذلك تجربة «بلا كتابة» للمستخدم بمجرد إتمامه التحقق البيومتري.
تعهدت شركات مثل eBay وPayPal وBestBuy وKayak بتوفير بديل بمفتاح المرور لتسجيل الدخول، وقد حدّث الأعضاء المؤسسون من كبرى شركات التكنولوجيا أنظمتهم وتطبيقاتهم لدعمه. وهذا المستوى من الدعم سيقربنا من عالم حقيقي بلا كلمات مرور من البداية إلى النهاية.
بدون كلمة مرور في المؤسسة
هل ستصبح مفاتيح الأمان أو ما يشبهها المعيار الفعلي؟
إن جعل مفاتيح المرور هي المعيار سيتطلب من كل مزوّد خدمة تحديث نظام المصادقة القائم على كلمة المرور لديه. ويمكننا توقع انتقال اعتماد المصادقة بدون كلمة مرور من السحابة إلى التطبيقات والأنظمة القديمة. وتدعم كثير من تطبيقات SaaS بالفعل معايير وبروتوكولات حديثة مثل OpenID Connect وSAML وOAuth2 للمصادقة الموحّدة انطلاقاً من مزوّد هوية موثوق، إضافة إلى المصادقة متعددة العوامل (MFA)، ما ينبغي أن يسهّل المهمة.
يُفترض أن يتمكن أي تطبيق ويب يدعم FIDO2 حالياً من الاستفادة من تقنية مفاتيح المرور بفضل قابلية التشغيل البيني. فمثلاً، تدعم خدمات الهوية في منصة Delinea مصادقة المستخدم بدون كلمة مرور عبر FIDO2 والمصادقة القائمة على كلمة المرور. غير أن المواقع التي لم تُضف بعد دعم FIDO2 سيتعين تعديلها لدعم مفاتيح الأمان.
وفقاً لـ Forrester Research، يتزايد عدد المؤسسات التي تعتمد المصادقة بدون كلمة مرور. وكشف استطلاع حديث أن نحو نصفها يجرب تسجيل الدخول بدون كلمة مرور. ومعظمها مشاريع تجريبية وبرامج إثبات مفهوم وعمليات نشر صغيرة مع مجموعات مستخدمين محددة. وتشير استطلاعات أجراها موردون مثل Ping Identity وYubico إلى رغبة هائلة لدى أقسام تكنولوجيا المعلومات في اعتماد المصادقة بدون كلمة مرور. إذن، أحجار الدومينو تتساقط.
مفاتيح المرور مثالية لتسجيل الدخول بدون كلمة مرور إلى الحواسيب المحمولة وتطبيقات الويب، لكن على المؤسسات التفكير في كيفية توسيع ذلك ليشمل الخوادم وتطبيقات الأعمال. فللمؤسسات احتياجات أمنية متقدمة وتتطلب مستوى أكثر صرامة في إدارة المصادقة.
كما ستشترط المؤسسات مستوى أعلى من الضمان بأن المستخدم الذي يصادق بمفتاح المرور هو الشخص الذي أُنشئ المفتاح من أجله. ويدعم حل حديث لإدارة الوصول ذي الامتيازات (PAM) لحماية الخوادم، مثل Delinea Cloud Suite، تسجيل الدخول بدون كلمة مرور وMFA.
يمكن للمصادقة بدون كلمة مرور، مقترنة ببيانات اعتماد قوية، أن تلبي كل السيناريوهات تقريباً، فتسهّل حياة المستخدم (لمسة بيومترية أو تعرّف على الوجه للدخول) وتحسّن الأمن الرقمي للمؤسسات.
استخدامات متعددة للفتح البيومتري:
- الفتح البيومتري لمصادقة متبادلة قوية قائمة على التشفير للوصول إلى الموارد، من أجل شمولية وسهولة استخدام أكبر (مثل FIDO2 أو مفاتيح المرور إضافة إلى بروتوكولات تسجيل الدخول الموحّد مثل SAML وOAuth وOpenID Connect.)
- الفتح البيومتري للمصادقة القائمة على التشفير للوصول إلى الموارد حيث تستحيل المصادقة المتبادلة القوية (مثل شهادات SSH.)
- الفتح البيومتري للوصول إلى سر مشترك كحل احتياطي. أي كلمة مرور أو مفتاح SSH في الخلفية، حيث تقوم خزنة أسرار أو محفظة كلمات مرور بحقن كلمة المرور تلقائياً، وفرض جودة خدمة عالية، وتدوير كلمة المرور تلقائياً.