الحسابات: كلمات المرور، ومفاتيح المرور، والتحقق بخطوتين

معظم عمليات الاختراق لا تبدأ باستغلال درامي؛ بل تبدأ بكلمة مرور أُعيد استخدامها، أو خُمِّنت، أو سُلِّمت عن طريق الخطأ. تبدأ هذه المادة بالحسابات لأنها عادةً الهدف الفعلي، أيًا كان الجهاز أو الشبكة التي يُصار إليها.

ما الذي يجعل كلمة المرور قوية، وفقًا لـ NIST

ابتعد إرشاد المعهد الوطني الأمريكي للمعايير والتقنية (NIST) بشأن كلمات المرور (SP 800-63B) عن النصيحة القديمة بفرض التعقيد والتغيير المتكرر. ينص على أن جهات التحقق «لا ينبغي أن تفرض قواعد تركيب أخرى (مثل اشتراط مزيج من أنواع أحرف مختلفة أو حظر تكرار الأحرف المتتالية)»، وبشكل منفصل أنها «لا ينبغي أن تشترط تغيير الأسرار المحفوظة اعتباطيًا (مثل التغيير الدوري)»، بل تغييرها فقط عند وجود دليل على اختراقها. ما يشترطه NIST فعليًا هو الطول: كلمات المرور التي تختارها بنفسك «يجب أن تكون 8 أحرف على الأقل»، وينبغي للخدمات فحص كلمات المرور الجديدة مقابل قوائم بتلك المعروف بالفعل أنها مخترقة.

يصل دليل EFF إلى استنتاج مشابه من الجانب الإنساني: الطول يتفوق على التعقيد المفروض، لأن «كلما طالت كلمة المرور وزادت عشوائيتها، صعُب على الحواسيب والبشر على السواء تخمينها.» أما بالنسبة لحفنة كلمات المرور التي يجب أن تحفظها، مثل كلمة مرور جهازك أو كلمة المرور الرئيسية لمدير كلمات المرور، فتوصي EFF بعبارة مرور من عدة كلمات، مقترحةً «ست كلمات على الأقل» تُختار عشوائيًا بدلًا من اختيارها لتكون سهلة التذكر.

لماذا مدير كلمات مرور، لا الذاكرة

الطريقة الوحيدة لامتلاك كلمة مرور مختلفة وطويلة وعشوائية لكل حساب دون كتابتها بطريقة غير آمنة هي التوقف عن حفظها. تصف EFF مدير كلمات المرور بأنه أداة «تنشئ كلمات مرور فريدة وتخزّنها عنك، بحيث يمكنك استخدام كلمات مرور مختلفة كثيرة على مواقع وخدمات مختلفة دون الحاجة إلى حفظها.» فبدون ذلك، تصبح كلمة مرور واحدة أُعيد استخدامها، بمجرد تسرّبها من أي موقع من المواقع التي تحملها، مفتاحًا لكل حساب آخر يشاركها.

مفاتيح المرور: إزالة السر المشترك كليًا

حيثما يدعمها موقع أو تطبيق، يزيل مفتاح المرور (passkey) كلمة المرور من المعادلة. تصف Apple مفاتيح المرور بأنها «بديل لكلمات المرور مصمَّم ليمنح المواقع والتطبيقات تجربة تسجيل دخول بلا كلمة مرور، أكثر ملاءمة وأمانًا في الوقت نفسه»، وتُبنى على زوج مفاتيح حيث «لا يعرف الخادم أبدًا ما هو المفتاح الخاص» و«لا يُنقل أي سر مشترك.» ولأنه لا يوجد سر مشترك يمكن سرقته أو تسليمه على صفحة تسجيل دخول مزيّفة، فإن مفاتيح المرور، بحسب تعبير Apple، «مقاومة للتصيّد الاحتيالي إلى حد كبير» على نحو لا يمكن لكلمة مرور مكتوبة أن تكونه أبدًا بالكامل.

التحقق بخطوتين على كل ما يتيحه

حيثما لا تتوفر مفاتيح المرور بعد، يكون التحقق بخطوتين الطبقة التالية الأفضل: إثبات ثانٍ، إضافة إلى كلمة المرور، قبل الوصول إلى الحساب. توضح Apple أن نسختها منه «مصممة للتأكد من أنك أنت الوحيد الذي يمكنه الوصول إلى حسابك — حتى لو عرف شخص آخر كلمة مرورك»، إذ تتطلب كلًا من كلمة المرور و«رمز التحقق المكوّن من ستة أرقام الذي يظهر تلقائيًا على أجهزتك الموثوقة أو يُرسَل إلى رقم هاتفك الموثوق.» وتضيف EFF تحسينًا عمليًا: يُفضَّل تطبيق مصادقة أو مفتاح عتادي على رمز عبر رسالة نصية حين يكون لديك الخيار، لأنه، كما يشير الدليل، «من الأسهل على مهاجم إعادة توجيه هذه الرموز إلى هاتفه الخاص من تجاوز تطبيق المصادقة.»

• استخدم مدير كلمات مرور بحيث يحصل كل حساب على كلمة مرور فريدة وطويلة دون أن تحفظها بنفسك.
• فعّل مفتاح مرور حيثما تتيحه خدمة ما.
• فعّل التحقق بخطوتين في كل مكان متاح، مفضلًا تطبيق مصادقة أو مفتاحًا عتاديًا على الرسائل النصية.
• أعطِ إجابات خيالية لأسئلة الأمان: تحذّر EFF من أن الإجابات الصادقة كثيرًا ما تكون «حقائق يمكن للعامة اكتشافها ويسهل على خصم مصمِّم إيجادها.»