لماذا نستخدم SMS OTP؟ ومتى نحتاج أجهزة Hardware Token؟ | المقالات

تنجح رسائل SMS OTP لأنها لا تطلب من المستخدم تثبيت تطبيق أو ربط جهاز خاص. يكفي تسجيل رقم الهاتف، ثم يصل رمز قصير عند محاولة الدخول. هذه البساطة مهمة في الخدمات واسعة الانتشار، لكنها لا تعني أن القناة هي الأقوى أمنيًا.

كيف يصل الرمز إلى الهاتف؟

عند بدء تسجيل الدخول، ينشئ خادم الخدمة رمزًا قصير العمر ويرسله إلى بوابة رسائل (SMS Gateway). تتعامل البوابة مع شبكة الاتصالات وتوجه الرسالة إلى المشغل (Carrier)، ثم يسلمها المشغل إلى الشريحة والهاتف.

بعد أن يكتب المستخدم الرمز، يتحقق الخادم من مطابقته ومن عدم انتهاء صلاحيته ومن عدد المحاولات السابقة.

هذه الرحلة توضح أن SMS ليست قناة بين الخادم والهاتف مباشرة؛ فهناك بوابة ومشغل ورقم هاتف وآلية استرداد للشريحة، ولكل جزء مخاطره.

أين تظهر المخاطر؟

استبدال الشريحة (SIM Swapping)

قد يقنع المهاجم شركة الاتصالات بنقل الرقم إلى شريحة يسيطر عليها. عندها تصل الرسائل إليه بدل صاحب الرقم.

نقاط ضعف شبكة الاتصالات

تعتمد الرسائل على بنية اتصالات لم تُصمم أصلًا لتكون قناة مصادقة مقاومة لكل مهاجم. وفي سيناريوهات معينة قد تسمح نقاط ضعف أو وصول خاص داخل الشبكة باعتراض الرسائل.

التصيّد وهجوم الوسيط

الخطر الأكثر مباشرة للمستخدم هو صفحة مزيفة تطلب كلمة المرور والرمز، ثم تمررهما فورًا إلى الخدمة الحقيقية. لأن الرمز قابل للنسخ والكتابة، فهو لا يرتبط تشفيريًا بالنطاق الذي يراه المستخدم.

كيف نحسن تجربة SMS وأمنها؟

اجعل صلاحية الرمز قصيرة، وحدّ محاولات الإدخال وإعادة الإرسال.
اذكر اسم الخدمة والسياق بوضوح في الرسالة.
ادعم One-Time Code وAutoFill بطريقة مرتبطة بالنطاق لتقليل الخطأ.
تجنب الروابط المختصرة داخل رسالة الرمز.
نبّه المستخدم إلى محاولات الدخول غير المتوقعة.
شجّع حماية حساب شركة الاتصالات برقم PIN مستقل.

هذه الإجراءات تقلل الخطر، لكنها لا تجعل SMS عاملًا مقاومًا للتصيّد.

أجهزة OTP المادية

يولّد Hardware OTP Token الرمز داخل جهاز مستقل عن شبكة الهاتف. تُربط هوية الجهاز بحساب المستخدم في مرحلة Provisioning، ثم يستخدم الجهاز سرًا مشتركًا لتوليد الرموز محليًا.

هناك نموذجان شائعان:

TOTP: رمز يعتمد على الوقت ويتغير عادة كل 30 أو 60 ثانية وفق RFC 6238.
HOTP: رمز يعتمد على عدّاد يتقدم مع كل حدث وفق RFC 4226.

وبما أن التوليد لا يعتمد على رقم الهاتف، فلا يتأثر الجهاز باستبدال الشريحة أو اعتراض SMS.

هل Hardware OTP مقاوم للتصيّد؟

ليس بالضرورة. إذا كتب المستخدم الرمز في صفحة مزيفة، يستطيع المهاجم تمريره قبل انتهاء صلاحيته. أجهزة OTP تحمي قناة التوليد، لكنها لا تربط الرمز بالموقع الحقيقي كما تفعل مفاتيح FIDO2/WebAuthn.

وتوجد أيضًا مخاطر مادية وتشغيلية: فقدان الجهاز، وكلفة الشراء والتوزيع والاستبدال، وصعوبة حمل أجهزة متعددة. وقد يعمل بعض الأجهزة كعامل حيازة فقط، بينما يتطلب بعضها PIN أو تحققًا محليًا قبل عرض الرمز.

متى نستخدم كل خيار؟

SMS OTP مناسب عندما تكون سهولة الوصول والتغطية الواسعة أولوية، أو عندما يكون البديل الواقعي كلمة مرور وحدها. أما Hardware OTP فيناسب بيئات تحتاج توليدًا مستقلًا عن الهاتف وتستطيع تحمل كلفة إدارة الأجهزة.

وعندما يكون التصيّد ضمن نموذج التهديد، تكون مفاتيح الأمان أو Passkeys المبنية على FIDO2/WebAuthn خيارًا أقوى لأنها تربط المصادقة بالنطاق الصحيح.

الخلاصة

لا توجد وسيلة مثالية لكل سياق. SMS سهلة لكنها تعتمد على شبكة الهاتف وتبقى قابلة للتصيّد. وأجهزة OTP تعزل التوليد عن الشبكة لكنها لا تمنع تمرير الرمز وتضيف عبئًا تشغيليًا. الاختيار الجيد يبدأ بتحديد المهاجم المتوقع، وقدرة المستخدم، وكلفة التشغيل—ثم اختيار أقوى عامل يمكن نشره واستخدامه بصورة صحيحة.