دليل: كيفية تفعيل التوثيق الثنائي Two-factor Authentication

التوثيق الثنائي (أو "المصادقة ذات العاملين " Two-factor authentication اختصاراً "2FA") هي طريقة تتيح للمستخدم التعريف عن نفسه لمزود خدمة عبر الإلزام باستخدام أسلوبين مختلفين للتوثيق. يمكن أن تكون هذه الأساليب شيئاً يعرفه المستخدم (مثل كلمة سر أو رقم تعريف شخصي PIN) أو يملكه (مثل هاتف محمول أو جهاز دخول آمن) أو معلقاً به أو لا يمكن فصله عنه (مثل بصمات الأصابع).

يرجح أنك تستخدم التوثيق الثنائي بالفعل في مناح أخرى من حياتك. عند استخدامك للصراف الآلي ATM لسحب النقود، يتوجب أن تكون بطاقة البنك بحوزتك (شيء تملكه) ورمز التعريف الشخصي PIN الخاص بك (شيء تعرفه). ولكن العديد من الخدمات على الإنترنت الآن تستخدم عاملاً واحداً للتحقق من المستخدمين بشكل افتراضي؛ ألا وهو كلمة السر .

كيف يعمل التوثيق الثنائي على الإنترنت؟ anchor link

في السنوات القليلة الماضية، بدأت عدة خدمات على الإنترنت - من ضمنها فيسبوك و Google وتويتر - بتقديم التوثيق الثنائي كبديل للمصادقة باستخدام كلمة السر وحدها. بمجرد تفعيل هذه الميزة، سيتم إلزام المستخدمين بتقديم كلمة السر الخاصة بهم وأسلوب توثيق آخر لتسجيل الدخول، وعادة ما يكون ذلك رمزاً يستخدم لمرة واحدة يتم إرساله عبر الرسائل النصية القصيرة أو توليده باستخدام تطبيق محمول مخصص لذلك (مثل Google Authenticator أو Duo Mobile أو تطبيق فيسبوك أو Clef). وبأي حال فإن العامل الثاني هو الهاتف المحمول الخاص بالمستخدم، شيء ما يكون بحوزته عادةً. كما تدعم بعض المواقع (ومن ضمنها Google) الرموز الاحتياطية والتي يمكن تنزيلها وطباعتها على الورق كوسيلة احتياطية إضافية للتوثيق. متى ما قرر المستخدم اعتماد التوثيق الثنائي، سيحتاج لإدخال كلمة السر ورمز صالح للاستخدام لمرة واحدة من هاتفه للوصول إلى الحساب.

لماذا يتوجب علي تمكين التوثيق الثنائي؟ anchor link

يوفر التوثيق الثنائي أماناً أكبر للحسابات عبر إلزامك بتوثيق هويتك بأكثر من أسلوب واحد. وذلك يعني أنه حتى لو تمكن شخص ما من الحصول على كلمة السر الخاصة بك، فلن يمكنه الوصول إلى حسابك إلا إذا كان هاتفك المحمول بحوزته أيضاً، أو طريقة ثانوية أخرى للتوثيق.

هل هناك سلبيات لاستخدام التوثيق الثنائي؟ anchor link

التوثيق الثنائي يوفر وسيلة أكثر أماناً للمصادقة، ولكن احتمال تعذر وصول المستخدمين إلى حساباتهم أكبر. مثلاً، إذا فقد المستخدم هاتفه أو قام بتغيير الرقم أو سافر إلى بلد آخر دون تشغيل خدمة التجوال الدولي.

توفر الكثير من خدمات التوثيق قائمة قصيرة من الرموز الاحتياطية (أو رموز الاسترداد)؛ حيث يستخدم الرمز الواحد مرة واحدة فقط للدخول إلى حسابك . إذا كنت قلقاً حول فقدان القدرة على الوصول إلى هاتفك أو أجهزة التوثيق الأخرى، يتوجب عليك طباعة هذه الرموز وحملها معك. ستعمل على أنها "شيء تملكه"، فلا تطبع أكثر من نسخة وأبقها قريبة منك. تذكر أن تكون حذراً للغاية للاحتفاظ بهذه الرموز آمنة وضمان عدم رؤيتها أو الوصول إليها من قبل أي شخص آخر في أي وقت. ن استخدمت أو أضعت رموزك الاحتياطية يمكنك توليد قائمة جديدة في المرة التالية التي تتمكن فيها من الدخول إلى حسابك.

هناك مشكلة أخرى في أنظمة التوثيق الثنائي التي تستخدم الرسائل النصية القصيرة SMS وهي أن التراسل عبرها ليس آمناً للغاية. من الممكن لمهاجم خبير (مثل جهاز استخبارات أو عصابة جريمة منظمة) لديه القدرة على الوصول إلى شبكة الهاتف اعتراض تلك الرموز المرسلة عبر SMS واستخدامها. كما توجد حالات تمكن بها مهاجم أقل تطوراً (فرد واحد مثلاً) من تحويل الاتصالات والرسائل النصية القصيرة المرسلة لرقم معين إلى رقمه الخاص، أو تمكن من الوصول إلى خدمة من شركة الهاتف تتيح استعراض الرسائل النصية المرسلة لرقم هاتف معين دون الحاجة لأن يكون الهاتف بحوزتك.

إذا كنت قلقاً حول هجمات على ذلك المستوى، أوقف التوثيق عبر الرسائل النصية القصيرة واستخدم فقط تطبيقات التوثيق مثل Google Authenticator أو Authy. للأسف هذه الميزة غير متوفرة لكل خدمة تقدم التوثيق الثنائي.

بالإضافة إلى ذلك، قد يعني التوثيق الثنائي أنك تعطي خدمة ما معلومات أكثر مما ترتاح إليه. لنفترض أنك مستخدم تويتر، وقمت بالتسجيل باستخدام اسم مستعار . حتى لو كنت دقيقاً في تجنب إعطاء تويتر أي معلومات تعريفية، وحتى لو كنت تصل للخدمة عن طريق تور Tor أو شبكة خاصة افتراضية VPN ، إن قمت بتفعيل التوثيق الثنائي، فإن تويتر سيحتاج لرقم هاتفك. وذلك يعني أن تويتر - في حال أجبرته المحكمة - سيتمكن من ربط حسابك بشخصك باستخدام رقم هاتفك. قد لا يشكل هذا مشكلة بالنسبة لك خصوصاً إذا كنت تستخدم اسمك الحقيقي في خدمة معينة، ولكن إذا كان الحفاظ على سرية هويتك هاماً بالنسبة لك يتوجب عليك التفكير ملياً حول استخدام الرسائل النصية القصيرة للتوثيق الثنائي.

ختاماً، لقد أظهرت الأبحاث أن بعض المستخدمين يقومون باختيار كلمات سر أضعف بعد تمكين التوثيق الثنائي ظناً منهم أنه سيبقيهم آمنين. يتوجب استخدام كلمة سر قوية حتى في حال تفعيل التوثيق الثنائي. راجع دليلنا لوضع كلمات سر قوية لمعرفة المزيد.

كيف أقوم بتمكين التوثيق الثنائي؟ anchor link

هذا يختلف من خدمة لأخرى، كما تختلف المصطلحات المستخدمة أيضاً. تتوفر قائمة شاملة من المواقع التي تدعم التوثيق الثنائي عبر https://twofactorauth.org/ . بالنسبة للخدمات الأكثر شيوعاً يمكنك مراجعة مدونتنا "اثنا عشر يوماً من التوثيق الثنائي 12 Days of 2FA"  التي تشرح كيفية تمكين التوثيق الثنائي على Amazon و Bank of America و Dropbox و Facebook و Gmail و Google و LinkedIn و Outlook.com و Microsoft و PayPal و Slack و Twitter و Yahoo Mail.

إن كنت ترغب بالحصول على حماية أفضل ضد سرقة كلمات السر فقم بقراءة هذه القائمة وبتفعيل التوثيق الثنائي لكافة حساباتك الالكترونية الهامة.