المصادقة متعددة العوامل.. لماذا لا تكفي كلمة المرور وحدها لحماية الحسابات؟
تعرف على المصادقة متعددة العوامل، والفرق بينها وبين التحقق بخطوتين، وأفضل وسائل حماية الحسابات من سرقة كلمات المرور والهجمات الإلكترونية.
ما المصادقة متعددة العوامل؟
أصبحت الحسابات الرقمية بوابة للوصول إلى البريد الإلكتروني والخدمات المصرفية ومنصات العمل والتطبيقات الشخصية، وهو ما يجعل حمايتها أمرًا ضروريًا. لكن الاعتماد على كلمة مرور واحدة قد لا يكون كافيًا، خاصة عندما يستخدم الشخص كلمة المرور نفسها في مواقع متعددة أو يقع ضحية التصيد الإلكتروني.
وتقدم المصادقة متعددة العوامل، المعروفة باسم MFA، طبقة إضافية للتحقق من هوية المستخدم قبل السماح له بالدخول. وتعتمد الفكرة على طلب دليلين أو أكثر من فئات مختلفة، بدلًا من الاكتفاء بمعلومة واحدة يمكن سرقتها أو تخمينها.
وتشمل فئات التحقق الأساسية شيئًا يعرفه المستخدم، مثل كلمة المرور، وشيئًا يمتلكه، مثل مفتاح أمان أو جهاز موثوق، وشيئًا يرتبط بخصائصه البيومترية، مثل بصمة الإصبع.
ولا يعني استخدام وسيلتين متتاليتين بالضرورة أن النظام يحقق مصادقة متعددة العوامل قوية؛ إذ ينبغي أن تنتمي وسائل التحقق إلى فئات مستقلة. فطلب كلمة مرور ورقم سري إضافي يعرفه المستخدم قد لا يوفر مستوى الاستقلال نفسه الذي توفره كلمة مرور مع مفتاح أمان مادي.
كيف تعمل المصادقة متعددة العوامل؟
عندما يحاول المستخدم تسجيل الدخول، يتحقق النظام أولًا من بيانات الاعتماد الأساسية، ثم يطلب وسيلة إضافية بحسب إعدادات الحساب ومستوى المخاطر.
وقد تكون الوسيلة الثانية رمزًا مؤقتًا ينتجه تطبيق للمصادقة، أو مفتاح أمان ماديًا، أو إشعارًا يتطلب موافقة المستخدم، أو وسيلة بيومترية مدعومة بالجهاز.
وتختلف قوة هذه الوسائل. فبعضها أكثر مقاومة للتصيد، بينما يمكن سرقة رموز أخرى أو خداع المستخدم لدفعه إلى الموافقة على طلب لم يبدأه بنفسه.
ولهذا لا يكفي تفعيل أي وسيلة إضافية دون تقييم طبيعتها. فالمؤسسات التي تتعامل مع بيانات حساسة قد تحتاج إلى وسائل أكثر مقاومة للتصيد، إلى جانب سياسات لتقييد الدخول ومراقبة المحاولات غير المعتادة.
هل الرسائل النصية وسيلة آمنة للتحقق؟
تستخدم بعض الخدمات رموزًا ترسل عبر الرسائل النصية إلى رقم الهاتف المسجل. ويمكن أن تكون هذه الوسيلة أفضل من الاعتماد على كلمة المرور وحدها، لكنها لا تخلو من المخاطر.
فقد يتعرض رقم الهاتف للاستيلاء عليه من خلال الاحتيال على شركة الاتصالات أو نقل الرقم إلى شريحة أخرى دون موافقة صاحبه، كما يمكن أن تُسرق الرموز إذا وقع المستخدم ضحية التصيد.
وتختلف المخاطر بحسب ظروف المستخدم والخدمة، ولذلك قد يكون تطبيق المصادقة أو مفتاح الأمان خيارًا أفضل للحسابات الحساسة، إذا كان مدعومًا ومتاحًا.
ومن المهم عدم مشاركة رموز التحقق مع أي شخص يتصل بالمستخدم ويدعي أنه موظف دعم فني أو ممثل للبنك. فطلب الرمز قد يكون جزءًا من محاولة للسيطرة على الحساب، حتى إذا بدا الاتصال مقنعًا.
ما مفاتيح الأمان المادية؟
مفتاح الأمان المادي جهاز صغير يستخدم لإثبات هوية المستخدم عند تسجيل الدخول، وقد يتصل بالحاسوب أو الهاتف عبر منفذ مناسب أو تقنية اتصال لاسلكية مدعومة.
وتستطيع بعض هذه المفاتيح دعم بروتوكولات مصادقة مقاومة للتصيد، بحيث ترتبط عملية التحقق بالموقع الصحيح بدلًا من الاعتماد على رمز يمكن نسخه وإرساله إلى صفحة مزيفة.
وقد تكون هذه الوسيلة مناسبة للحسابات المهمة، مثل حسابات الإدارة والعمل والخدمات التي تتطلب حماية مرتفعة.
لكنها تحتاج إلى إدارة جيدة، إذ ينبغي التفكير في توفير مفتاح احتياطي وتخزينه في مكان آمن، والتحقق من إجراءات استعادة الحساب عند فقدان المفتاح الأساسي.
كما يجب التأكد من توافق المفتاح مع الأجهزة والخدمات المستخدمة، لأن طرق الاتصال والدعم تختلف بين المنتجات.
كيف يمكن للمهاجمين تجاوز المصادقة الإضافية؟
لا تمنع المصادقة متعددة العوامل جميع الهجمات. فقد يحاول المهاجم خداع المستخدم للحصول على موافقة مباشرة، أو سرقة جلسة تسجيل الدخول بعد إتمام التحقق، أو استغلال ثغرة في آلية استعادة الحساب.
وقد يرسل المحتال عددًا كبيرًا من طلبات الموافقة إلى هاتف الضحية، على أمل أن يوافق المستخدم على أحدها بسبب الإزعاج أو الاعتقاد بأنه طلب مشروع. ولهذا ينبغي عدم الموافقة على إشعار لم يبدأه المستخدم بنفسه.
كما يمكن أن يؤدي ضعف حماية البريد الإلكتروني أو رقم الهاتف المرتبط بالحساب إلى تقليل فاعلية وسائل الاستعادة. ولهذا يجب تأمين الحسابات الأساسية أولًا، خصوصًا تلك التي تسمح بإعادة تعيين كلمات المرور لحسابات أخرى.
وتحتاج المؤسسات إلى مراقبة محاولات الدخول وتقييد الطلبات المشبوهة وتوفير آليات للإبلاغ عن محاولات الاحتيال.
كيف تستخدم المؤسسات المصادقة متعددة العوامل؟
يمكن للشركات تطبيق هذه الوسائل على حسابات الموظفين، مع فرض متطلبات أقوى للحسابات ذات الصلاحيات الإدارية أو التي تصل إلى بيانات حساسة.
وقد تتضمن السياسات استخدام مفاتيح أمان لبعض الفئات، وطلب تحقق إضافي عند تسجيل الدخول من جهاز جديد أو من موقع غير معتاد، بحسب طبيعة النظام.
لكن نجاح التطبيق يتطلب مراعاة سهولة الاستخدام، لأن الإجراءات المعقدة قد تدفع بعض الموظفين إلى البحث عن طرق غير آمنة لتجاوزها. ولهذا ينبغي توفير التدريب والدعم الفني وخيارات استعادة واضحة.
كما يجب مراجعة الصلاحيات بصورة دورية، لأن المصادقة القوية لا تمنع الموظف الذي يمتلك صلاحية غير مناسبة من الوصول إلى بيانات لا يحتاج إليها.
ما الخطوات التي تحسن حماية الحسابات؟
يمكن للمستخدم البدء بتفعيل المصادقة متعددة العوامل في البريد الإلكتروني والحسابات المالية والخدمات الأساسية، ثم اختيار وسيلة تحقق قوية تتناسب مع مستوى المخاطر.
ومن المفيد أيضًا استخدام كلمات مرور فريدة لكل خدمة، وتحديث الأجهزة والتطبيقات، وحماية وسائل استعادة الحساب. وينبغي مراجعة إشعارات تسجيل الدخول والتنبه إلى أي نشاط غير مألوف.
كما يُفضل تجنب الموافقة على طلبات تحقق غير متوقعة، وعدم إدخال الرموز في مواقع وصل إليها المستخدم من خلال روابط مشبوهة.
الخلاصة: تضيف المصادقة متعددة العوامل حاجزًا مهمًا أمام سرقة الحسابات، لكنها ليست حلًا منفردًا لجميع المخاطر. وتتحقق أفضل حماية عند الجمع بين وسيلة تحقق قوية وكلمات مرور فريدة وتأمين الأجهزة وآليات استعادة الحساب.
