المفاتيح وكلمات المرور: لماذا يُفسد فقدان أحدها كل شيء

اعتمد كل درس في هذه المادة بصمت على الافتراض نفسه: أن المفتاح الصحيح بقي مع الشخص الصحيح. يفشل التشفير المتماثل لحظة تسرّب مفتاحه المشترك. ويفشل التشفير غير المتماثل إذا انكشف مفتاح خاص. ولا يعني التوقيع شيئًا بمجرد سرقة مفتاحه الخاص — يستطيع المهاجم الآن توقيع أي شيء وسيُتحقَّق منه بوصفه أصليًا. تُدرج وحدة المعرفة الأساسية للتشفير التابعة لـ NCAE-C إدارة المفاتيح، إلى جانب الخوارزميات نفسها، بوصفها مسألة «يجب معالجتها قبل التنفيذ» — لا فكرة لاحقة.

لماذا لا تنقذ خوارزمية قوية مفتاحًا ضعيفًا

AES بمفتاح 256 بتًا غير قابل للكسر عمليًا عبر التخمين. لا شيء من ذلك يهم إذا كان المفتاح نفسه مكتوبًا على ورقة لاصقة، أو مُعاد استخدامه عبر حسابات، أو محميًا برمز من أربعة أرقام يستطيع مهاجم تجربته في ثوانٍ. معظم الإخفاقات التشفيرية الواقعية ليست خوارزميات مكسورة؛ إنها مفاتيح منكشفة، أو كلمات مرور معاد استخدامها، أو أسرار تُركت بنص صريح حيث كان ينبغي حمايتها. ولهذا كانت ضمانات الدروس السابقة تأتي دائمًا بشرط مرفق — "إذا بقي المفتاح المشترك سريًا"، "فقط حامل المفتاح الخاص" — وذلك الشرط هو حيث تعيش إدارة المفاتيح.

ما يقوله إرشاد كلمات المرور الحالي فعليًا

تعكس إرشادات NIST الحالية للهوية الرقمية (SP 800-63B) كثيرًا من النصائح التي تعلّمها كثير من الناس. تقول إنه «لا ينبغي لجهات التحقق اشتراط تغيير المشتركين لكلمات مرورهم دوريًا» وينبغي ألا تفرض قواعد تركيب تُلزم بمزيج من أنواع الأحرف — كلتا الممارستين دفعتا الناس نحو تغييرات صغيرة ويمكن توقعها بدلًا من كلمات مرور أقوى فعليًا. بدلًا من ذلك، توصي NIST بكلمات مرور أطول (يشير إرشادها إلى حد أدنى يتراوح بين ثمانية وخمسة عشر حرفًا بحسب السياق، مع حد أقصى لا يقل عن 64 حرفًا مسموح بها) والتحقق من كلمات المرور الجديدة مقابل قوائم كلمات المرور المخترَقة أو المتوقَّعة شيوعًا بدلًا من اشتراط تعقيد مصطنع. كما تشترط صراحة أن تسمح جهات التحقق «باستخدام مديري كلمات المرور وميزة الملء التلقائي»، بما في ذلك السماح باللصق في حقول كلمة المرور — إقرارًا بأن أداة تولّد وتخزّن كلمات مرور فريدة وطويلة لكل موقع تفعل من أجل الأمان أكثر من أي قاعدة يُتوقَّع من شخص اتباعها عن ظهر قلب.

مفاتيح المرور: إزالة السر المشترك كليًا

كلمة المرور سر مشترك: أنت والخدمة تعرفانه، وهذا بالضبط ما يجعله قابلًا للتصيّد الاحتيالي — فصفحة تسجيل دخول مزيّفة تطلب فقط السر نفسه. يتجنب مفتاح المرور هذا باستخدام التشفير غير المتماثل من وقت سابق في هذه المادة. تصف وثائق دعم Apple العملية: عند إنشاء مفتاح مرور، يولّد جهازك «زوج مفاتيح تشفيري فريد» — مفتاحًا عامًا يذهب إلى الخدمة، ومفتاحًا خاصًا لا يغادر جهازك أبدًا. تصرّح Apple بأن مفاتيح المرور مقاومة للتصيّد الاحتيالي لأنه لا يوجد سر مشترك يمكن خداعك لكتابته: فالمفتاح الخاص ببساطة لا يمكن استخراجه من قِبل موقع مزيّف، مهما بدا مقنعًا. على أجهزة Apple، يُحمى المفتاح الخاص ويُزامَن عبر أجهزتك الخاصة من خلال iCloud Keychain، الذي تصفه Apple بأنه مشفَّر من طرف إلى طرف بحيث لا تحمل Apple نفسها المفتاح.

تسلسل CISA للعوامل، باختصار

يصنّف إرشاد وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) بشأن التحقق متعدد العوامل الطرق بحسب مقاومتها للتصيّد الاحتيالي. تنص على أن «المصادقة الوحيدة المتاحة على نطاق واسع والمقاومة للتصيّد الاحتيالي هي مصادقة FIDO/WebAuthn» — المعيار الأساسي نفسه الذي تُبنى عليه مفاتيح المرور. رمز لمرة واحدة يُرسَل برسالة نصية لا يزال، بتعبيرها، أفضل بكثير من عدم وجود عامل ثانٍ على الإطلاق، لكن يمكن ترحيله أو اعتراضه بطرق لا تستطيعها طريقة مقاومة للتصيّد الاحتيالي. حيثما تقدّم خدمة مفتاح مرور أو مفتاح أمان FIDO، فهذا حاليًا أقوى خيار متاح على نطاق واسع؛ وحيثما تقدّم فقط رموزًا عبر تطبيق أو عبر الرسائل النصية، يبقى كلاهما أفضل بكثير من كلمة مرور وحدها.

خلاصة عملية

استخدم مدير كلمات مرور، بحيث يحصل كل حساب على كلمة مرور طويلة وفريدة لا تضطر إلى حفظها أبدًا. فعّل أقوى عامل ثانٍ متاح — مفتاح مرور أو مفتاح أمان فعلي حيثما يُقدَّم، وإلا فتطبيق مصادقة. وعامل أي لحظة يُحتمَل فيها انكشاف كلمة مرور أو مفتاح — نقرة على تصيّد احتيالي، جهاز مفقود، إشعار باختراق — بوصفها شيئًا يجب التصرف بشأنه فورًا، لا لاحقًا: غيّر بيانات الاعتماد، وتحقق مما إذا كانت مُعاد استخدامها في مكان آخر.