قفلان ومفتاحان: التوثيق ثنائي العوامل.

"معليش يا اخوانا، في زول هكر الحساب بتاعي وقعد يضيف في الناس\ينشر حاجات ما كويسة!"

ذاك المنشور الذي لطالما توقعته من حساب صديق ما على احدى مواقع التواصل الاجتماعي بعد ان لاحظت نشاطاً مريباً له او صدور منشورات منه ليست كما عهدتها من صاحبه. وذاك المنشور الذي يتمنى اغلبنا ان لا يضطر ابداً لكتابته. وما يثير السخرية في الموضوع، ان تفادي هذا الامر ليس دائماً بالامر العسير. وفي تلك الحالات التي قد تكون بداية المشكلة فيها هي تحصل فرد ما بنوايا مريضة على الرمز السري -الباسويرد- للضحية، من الممكن ببساطة تفادي كل ذاك بلقاح ذو اسم من ثلاث كلمات: Two Factor Authentication!

ربما مرت عليك تلك المقولة التي مفادها ان الحواسيب "غبية"، وبغض النظر عن الجدل الذي قد تثيره هذه المقولة، لا يوجد اختلاف بين العاملين في مجال الحواسيب الشخصية ان ادراك الحواسيب بالعالم المحيط شبه منعدم، وبالتالي تصبح الاشكالية الاولى في تأمين المعلومات المتاحة عبرها هي امكانية تعرف الحاسوب على هوية مستخدمه، وبالتالي احقيته في الوصول الى تلك المعلومات. ومنا هنا انبثقت اهمية الآليات التي تسمح لذاك الحاسوب بالتعرف على هوية من يجلس خلف لوحة مفاتيحه، او ما تعرف بأنظمة التوثيق او الـauthentication.
. في النظام التقليدي للتوثيق -او تسجيل الدخول- للحواسيب او للمواقع والخدمات المختلفة على الانترنت، لا يحتاج المستخدم عادة الا لإسم تعريفي له على الخدمة User Name ورمز سري password. هذا الـpassword يفترض ان يكون -كما الإسم- سرياً لا يعلمه الا المستخدم، لكن في الكثير من الحالات قد يتمكن طرف ثالث (عدا المستخدم وصاحب الموقع او الحاسب) من التحصل على هذا الباسويرد، اما عبر تخمينه ان كان هذا الباسويرد ضعيفاً (مثل استخدام كلمة "باسويرد" نفسها او "1234”) او عبر مراقبة المستخدم عند ادخاله لهذا الباسويرد، او عبر طرق اخرى ملتوية لا سبيل لنا لحصرها هنا. لهذا السبب، وجبت استحداث تقنيات اخرى لتمثل خط حماية اخر لبيانات وخصوصية المستخدمين، احدى هذه التقنيات هي ما يعرف بالـTwo Factor Authentication او التوثيق ثنائي العوامل.

التوثيق ثنائي العوامل ببساطة نظام يتم فيه استخدام عامل اضافي غير الباسويرد للتأكد من هوية من يقوم بمحاولة التسجيل للخدمة. هذا العامل -في غالب الطرق المستخدمة عبر الانترنت حالياً- يكون عبارة عن رقم سري او code يتم ارساله للمستخدم عند محاولة تسجيل الدخول. طريقة الارسال نفسها قد تختلف، فبعض الطرق ترسل هذا الرقم الى بريد المستخدم الالكتروني email مثلاً، والبعض الاخر يرسلها عبر رسالة نصية قصيرة SMS الى هاتفه.  بتطلب كود مرسل عبر الايميل يضمن المستخدم انه لا يمكن لأحد ان يدخل الى حسابه في الفيسبوك مثلاً حتى ولو استطاع معرفة الباسويرد، ما لم يستطع ايضاً معرفة باسويرد ايميله ايضاً (بإفتراض ان هذا الاخير مختلف عن ذاك المستخدم للحساب الفيسبوك). تطلب كود اضافي مرسل عبر الـSMS  يجعل من غير الممكن الدخول الى الحساب دون التحصل على الهاتف المسجل لذاك الحساب. 

مع انتشار الهواتف الذكية واتاحة كمية كبيرة من مزودي الخدمات كالفيسبوك لتطبيقات او Apps مخصصة لتلك الخدمات، ظهرت طريقة جديدة للتوثيق الثنائي تستخدم ادوات مرفقة مع تلك التطبيقات تعرف بالcode generators او مولدات الشيفرات، تقوم هذه المولدات بتأليف كود حسب معادلات متفقة بين التطبيق والموقع و يتغير كل فترة من الزمن (citation needed)، هذا الكود يمكن استخدامه بالإضافة للباسويرد لتسجيل الدخول للخدمة على جهاز اخر كلابتوب او سمارتفون جديد مثلاً. هذا الاستخدام للمفهوم يتطلب ان يكون التطبيق الذي يحوي اداة توليد الشفرات مثبتاً بالفعل على هاتف المستخدم وان يكون قد قام مسبقاً بتسجيل الدخول عليه.

هنالك العديد من التطبيقات الاخرى للمفهوم، فقديماً كان العامل الثنائي المستخدم للتوثيق عبارة وسيط فيزيائي يملكه صاحب الحق في الدخول فقط، كالبطاقات الممغنطة المستخدمة في انظمة تأمين المنشاءات مثلاً.  من الممكن ايضاً ان يكون هذا العامل الثاني عبارة عن "فلاش" USB لفتح الحواسيب الشخصية يستخدم كمفتاح السيارة، يقوم نظام التشغيل او برنامج يعمل عليه بحفظ شفرة معينة في هذا الفلاش، ولا يقبل النظام اي باسويرد لتسجيل الدخول دون ان يكون هذا الفلاش موصلاً بالجهاز. يمكن -نظرياً- بالطبع استخدام عوامل تعريفية اخرى بدلاً عن هذا الفلاش، كإستخدام بصمة الاصابع ان كان الجهاز يملك قارئ بصمة. لكن غالبية هذه التطبيقات (او جميعها التي اعرفها) تميل لإستخدام البصمة كبديل للباسويرد لا كمدعمة له.

على الرغم من ان تقنيات التوثيق ثنائي العوامل تقدم للمستخدمين تأميناً ممتازاً لحساباتهم المختلفة في مواقع الانترنت، الا انها قد تكون عملية مجهدة مع كثرة تلك الحسابات وتسجيل الدخول والخروج المتكرر لها. حيث سيجب -في هذه الحالة- على المستخدم ان يقوم بإدخال الكود المرسل الى الايميل او الهاتف عند كل محاولة. لحل هذه المشكلة تتيح غالبية -ان لم تكن كل- الخدمات التي تستخدم هذه التقنيات امكانية حفظ جهاز حاسب شخصي او هاتف ذكي معين، يصبح هذا الجهاز "موثوقاً" به ولا يحتاج الى توثيق ثنائي سوى في محاولة الدخول الاولى فقط. مستخدمي الفيسبوك مثلاً سيجدون رسالة عند اول دخول تسألهم اذا ارادوا "حفظ الحاسب" عند كل دخول من جهاز جديد، وفي حالات اخرى قد تجد خياراً عند ادخال الكود الثانوي لحفظ هذا الحاسب.

يجب التفريق بين الكود الذي يرسل عبر الـSMS كتحقيق ثانوي وذلك الذي يستخدم بديلاً عن الباسويرد. فبعض الخدمات المتاحة للهواتف الذكية لا تستخدم الباسويرد على الاطلاق، بل تعتمد على ربط الحساب برقم الهاتف المسجل عليه، وعند محاولة الدخول لهذا الحساب من جهاز اخر يرسل كود بصلاحية مؤقتة الى ذاك الرقم ليستخدم للتحقق من هوية مسجل الدخول. هذا المفهوم ليس حديثاً، فمايكروسوفت مثلاً تستخدم تقنية مشابهة منذ زمن طويل في خدمة بريدها الالكتروني والخدمات المبنية على حسابات مايكروسوفت عموماً، فيما تعرفه الشركة بالـSingle-Use Code. خدمة محادثات تيليقرام في وضعها الافتراضي تتبع هذا النمط، الا انها تتيح ايضاً اضافة رمز سري للحساب للاستفادة من ميزة التوثيق الثنائي.

الTwo Factor Authentication احدى الطرق التي ينصح جميع خبراء امن المعلوماتية المستخدمين بالإستفادة منها. وحتى وان كنت تستخدم باسويرد من 20 حرف ورقم مختلف، لا ضير ابداً من اضافة خط حماية اخر لحساباتك على مواقع التواصل الاجتماعي وغيرها. بل ان بعض الخدمات مثل التي تقدمها مايكروسوفت كالبريد الاكتروني تجعل التوثيق ثنائي العوامل اجبارياً عند محاولة انشاء حساب جديد. 

لذا عزيزي القارئ، ان كنت تمتلك حساباً في اي خدمة على الانترنت تدعم امكانة التوثيق متعدد العوامل، سارع بتفعيل هذه الميزة فيه. من يدري؟ قد تحميك يوماً ما من ما لا يحمد عقباه.

P.S:

بالإمكان استخدام هذا الموقع لمعرفة الخدمات والمواقع التي تدعم امكانية اضافة عامل توثيق ثانوي. الشكر لـ م.أحمد عباس على هذه المعلومة (مش كأني اديته خيار في اني حأفقعها يعني! :P )

Image Source: Wikimedia Commons