المصادقة الثنائية (2FA): طبقة إضافية لا تعمل بالطريقة نفسها دائمًا

إذا كانت كلمة المرور قابلة للسرقة أو إعادة الاستخدام، فلماذا نعتمد عليها وحدها؟ هنا تأتي المصادقة الثنائية (Two-Factor Authentication أو 2FA): يطلب النظام دليلين من فئتين مختلفتين قبل منح الوصول.

ما العامل؟

تقسم عوامل المصادقة عادة إلى:

• شيء تعرفه: كلمة مرور أو PIN.
• شيء تملكه: هاتف، تطبيق مصادقة، بطاقة ذكية، أو مفتاح أمان.
• شيء أنت عليه: بصمة أو سمة حيوية أخرى.

إدخال كلمتي مرور ليس 2FA، لأنهما من الفئة نفسها. أما كلمة مرور مع مفتاح أمان فتمثل عامل معرفة وعامل حيازة.

2FA تعني عاملين تحديدًا، بينما قد تستخدم MFA عاملين أو أكثر. ويستعمل المصطلحان أحيانًا بالتبادل عندما تكون المنظومة من عاملين.

أشهر الأساليب

SMS OTP

ترسل الخدمة رمزًا مؤقتًا إلى رقم الهاتف. هذه الطريقة سهلة ومتاحة على نطاق واسع، لكنها تعتمد على شبكة الاتصالات وقد تتأثر باستبدال الشريحة واعتراض الرسائل والتصيّد اللحظي.

تطبيقات TOTP

يولد تطبيق المصادقة رمزًا يتغير عادة كل فترة قصيرة، اعتمادًا على سر مشترك والوقت. لا تحتاج عملية التوليد إلى شبكة، لكن المستخدم قد يكتب الرمز في صفحة تصيّد، فيمرره المهاجم إلى الموقع الحقيقي.

الإشعارات الفورية (Push Authentication)

يصل طلب إلى الهاتف ويوافق المستخدم أو يرفض. التجربة سريعة، لكن الطلب الذي لا يوضح السياق قد يتحول إلى نقطة ضعف، ولا سيما عند إغراق المستخدم بطلبات متكررة.

مفاتيح الأمان وPasskeys

تربط تقنيات مثل FIDO2/WebAuthn عملية المصادقة بالنطاق الصحيح باستخدام تشفير المفتاح العام. ولهذا يمكنها تقديم مقاومة أقوى للتصيّد من الرموز القابلة للنسخ.

السمات الحيوية

البصمة أو الوجه لا يكونان دائمًا «عاملًا يرسله الموقع». في كثير من الأجهزة تُستخدم السمة الحيوية محليًا لفتح مفتاح تشفيري محفوظ على الجهاز. المهم هو فهم النظام كاملًا، لا اسم الوسيلة فقط.

ماذا تحمي 2FA؟

تقلل 2FA كثيرًا من خطر كلمة المرور المسروقة؛ فامتلاكها وحدها لا يكفي. لكنها لا تمنح جميعها المستوى نفسه:

• الرمز القابل للكتابة يمكن سرقته عبر التصيّد.
• جلسة المستخدم قد تُختطف بعد اكتمال المصادقة.
• الموافقة غير الواعية على Push قد تمنح المهاجم ما يريد.
• مسار الاسترداد الضعيف قد يتجاوز العامل الأقوى.

لذلك فإن عبارة «2FA تحمي من التصيّد» تحتاج دقة: بعض العوامل مقاومة للتصيّد، وبعضها يضيف حماية مهمة من دون أن يمنع التصيّد اللحظي.

توصية عملية

فعّل أي MFA متاحة بدل ترك الحساب بكلمة مرور فقط، ثم انتقل إلى عامل مقاوم للتصيّد عندما تدعمه الخدمة. واحفظ رموز الاسترداد، وسجّل أكثر من مفتاح عند الإمكان، وراجع كل طلب Push قبل الموافقة.

الخلاصة

قيمة العامل الثاني لا تُقاس بعدده فقط، بل بنوعه، وما تعرضه الواجهة للمستخدم، وكيفية الاسترداد. 2FA الجيدة تجعل سرقة كلمة المرور غير كافية، أما التصميم الأفضل فيجعل خداع المستخدم أصعب أيضًا.