لماذا تهم
كلمات المرور تتسرب وتتكرر ويقع المستخدمون في فخ التصيد للحصول عليها. وتعني المصادقة متعددة العوامل أن المهاجم الذي حصل على كلمة المرور لا يزال عليه تجاوز دليل ثان. وهي من أكثر وسائل حماية الحسابات فعالية وأقلها كلفة، وتزداد أهمية على حسابات المسؤولين والبريد وكل ما يحفظ أموالا أو بيانات شخصية.
الأنواع الثلاثة للعوامل
| العامل | أمثلة |
|---|---|
| شيء تعرفه | كلمة مرور أو رمز PIN |
| شيء تملكه | هاتف فيه تطبيق مصادقة، أو مفتاح أمان مادي |
| شيء يميزك | بصمة الإصبع أو مسح الوجه على الجهاز |
كلمتا مرور لا تعدان مصادقة متعددة العوامل، لأن كلتيهما من النوع نفسه.
أي الطرق أقوى
- مفاتيح الأمان ومفاتيح المرور (passkeys) المبنية على WebAuthn هي أقوى خيار شائع، لأنها مرتبطة بالموقع الحقيقي فتقاوم التصيد.
- تطبيقات المصادقة تولد رموزا مرتبطة بالوقت. وهي جيدة، لكن يمكن خداع المستخدم ليكتب الرمز في صفحة مزيفة.
- إشعارات الموافقة سهلة الاستخدام، لكن المهاجم قد يغرق المستخدم بالطلبات حتى يوافق على أحدها.
- الرسائل النصية أفضل من لا شيء، لكن يمكن اعتراضها أو تحويلها عبر استبدال شريحة الاتصال.
أخطاء شائعة
- حماية دخول العملاء ونسيان حسابات المسؤولين والموظفين.
- مسار استعادة الحساب، مثل «فقدت هاتفي»، يتجاوز العامل الثاني فيصبح نقطة الضعف.
- عدم تحديد عدد محاولات إدخال الرمز الخاطئة.
- فرض المصادقة دون طريقة احتياطية، فيحرم المستخدمون الحقيقيون من حساباتهم.
مصطلحات ذات صلة
تعالج هذه المصادقة أحد المحاور المتكررة في OWASP Top 10، وهو إخفاقات المصادقة. وتحديد أماكن فرضها ناتج طبيعي من نمذجة التهديدات. وراجع كذلك دليل تطوير التطبيقات الآمنة.