الهوية هي المحيط الجديد

رسم الدرس السابق خطًا بين ما يؤمّنه مزود سحابي وما يجب على العميل تأمينه. في جانب العميل، يقوم عنصر واحد بعمل أكبر من أي عنصر آخر: الهوية — من يُسمح له بتسجيل الدخول، وماذا يستطيع أن يفعل بعد ذلك. كانت شبكة المكتب التقليدية تملك جدارًا وبابًا مقفلًا؛ أما الحساب السحابي فله نموذج تسجيل دخول، يمكن الوصول إليه من أي مكان على الأرض، في أي ساعة. تأمين ذلك التسجيل هو معظم ما يعنيه "الأمان داخل السحابة" عمليًا.

كيف تُستولى الحسابات فعليًا

نادرًا ما يتضمن الاستيلاء على حساب اختراق مهاجم لأنظمة مزود سحابي. بل يتبع عادةً نمط سرقة بيانات الاعتماد من مادة نمذجة التهديد في هذه الجامعة: كلمة مرور مُعاد استخدامها من خدمة غير ذات صلة تعرّضت لاختراق، أو صفحة تصيّد احتيالي مقنعة تطلب ببساطة تسجيل الدخول مباشرة. وبمجرد أن يمتلك مهاجم بيانات اعتماد صالحة، لا تملك معظم الخدمات السحابية طريقة لتمييزه عن مالك الحساب الحقيقي — وهذا بالضبط سبب كون الضابط الوحيد الذي تبرزه CISA فوق كل شيء آخر هو التحقق متعدد العوامل (MFA).

التحقق متعدد العوامل، ولماذا ليست كل الأشكال متساوية

تصرّح CISA بوضوح بأن «المستخدمين الذين يفعّلون التحقق متعدد العوامل أقل عرضة بكثير للاختراق»، لأن كلمة مرور مسروقة وحدها لم تعد كافية. لكن CISA تصنّف أيضًا أشكال التحقق متعدد العوامل المتاحة بحسب مدى مقاومتها للتصيّد الاحتيالي، وهذا التصنيف مهم: «المصادقة الوحيدة المتاحة على نطاق واسع والمقاومة للتصيّد الاحتيالي هي مصادقة FIDO/WebAuthn» — المعيار الذي تُبنى عليه مفاتيح المرور ومفاتيح الأمان العتادية، المتناولة في مادة التشفير. رمز الرسالة النصية لا يزال، بتعبير CISA، أفضل بكثير من عدم وجود عامل ثانٍ على الإطلاق، لكن يمكن اعتراضه أو ترحيله من قِبل مهاجم مصمِّم بما فيه الكفاية؛ وتقع إشعارات الدفع عبر التطبيق مع مطابقة الأرقام في مكان وسط. بالنسبة لحساب سحابي يحمل أي شيء حساس، فإن تفعيل أقوى خيار تحقق متعدد العوامل يقدّمه ذلك الحساب هو الخطوة الأعلى قيمة في هذا الدرس.

OAuth: الأذونات التي تمنحها لتطبيقات أخرى

في كل مرة تنقر فيها على "المتابعة بحساب Google" أو تربط أداة جدولة بتقويمك، فأنت تستخدم OAuth، الذي تصفه وثائق المعيار نفسه بأنه «البروتوكول المعياري في الصناعة للتفويض.» خاصيته المفيدة هي أن تطبيق الطرف الثالث لا يرى كلمة مرورك أبدًا — تسجّل الدخول مباشرة مع مزودك، ثم توافق على مجموعة محددة ومحدودة من الأذونات، تُسمى النطاقات (scopes)، لذلك التطبيق. خطره هو بالضبط تلك المنحة من الأذونات: تطبيق جدولة يحتاج فقط إلى قراءة أوقات الفراغ/الانشغال في تقويمك قد يطلب، ويُمنح روتينيًا، إذنًا بقراءة البريد الإلكتروني وإرساله نيابةً عنك. كل تطبيق متصل هو منحة وصول قائمة تستمر حتى يلغيها أحد، ولهذا يتناول الدرس الأخير في هذه المادة مراجعة تلك القائمة، لا فقط ضبطها بشكل صحيح مرة واحدة.

المفاتيح المسرَّبة: قريبة OAuth الأقل ظهورًا

غالبًا ما تصادق الأدوات والتكاملات الآلية باستخدام مفتاح API بدلًا من تسجيل دخول بشري — سلسلة طويلة تعمل مثل كلمة المرور لكن لا يكتبها شخص وغالبًا لا تُحمى بالتحقق متعدد العوامل على الإطلاق. تنتهي هذه المفاتيح مكشوفة أكثر مما يتوقع معظم الناس: لُصقت في تذكرة دعم فني، أو أُودعت عن طريق الخطأ في مستودع شيفرة، أو تُركت في ملف إعدادات شُورك على نطاق أوسع مما كان مقصودًا. معاملة مفتاح API بالحذر نفسه المُعامَل به كلمة المرور — عدم مشاركته أبدًا بنص صريح، وتدويره إذا احتمل انكشافه، وتحديد ما يُسمح له بفعله — يسدّ فجوة لا يغطيها التحقق متعدد العوامل المصمَّم لتسجيلات الدخول البشرية.