كلمة المرور وحدها لا تكفي: دليل المصادقة الثنائية من الصفر

تسريب بيانات من موقع صغير، أو كلمة مرور أعدت استخدامها في عدة أماكن، أو صفحة مزيفة كتبت فيها بياناتك بيدك: ثلاث طرق مختلفة تنتهي كلها إلى النتيجة نفسها، شخص آخر يفتح حسابك. المصادقة الثنائية هي الطبقة التي تجعل كلمة المرور المسروقة وحدها بلا قيمة، لأنها تطلب دليلاً ثانياً لا يوجد في التسريب ولا في الصفحة المزيفة. في هذا الدليل نشرح ما هي، والفرق بين أنواعها، وما لا تستطيع حمايتك منه، ثم ترتيب تفعيلها في حساباتك.

ما المقصود بالمصادقة الثنائية

المصادقة الثنائية، أو Two-Factor Authentication، تعني أن الدخول إلى الحساب يحتاج عاملين مختلفين من أدلة الهوية، لا دليلين من النوع نفسه. كلمة المرور وحدها عامل واحد: شيء تعرفه. ورمز يظهر في تطبيق على هاتفك عامل ثانٍ: شيء تملكه. الجمع بينهما هو الثنائية. أما طلب كلمة مرور ثانية أو سؤال سري إضافي فليس مصادقة ثنائية حقيقية، لأنه يبقى في خانة «ما تعرفه».

المنطق بسيط: كلمة المرور يمكن أن تُسرق دون أن تشعر، من تسريب موقع آخر، أو من جهاز مصاب، أو من صفحة مزيفة. لكن الهاتف الذي بيدك لا يوجد في تلك التسريبات. لذلك ينهار الهجوم في منتصفه: المحتال يملك نصف الدليل ولا يملك النصف الآخر.

الشرط العملي ليس التعقيد، بل اختلاف النوع. كلمة مرور قوية مع رمز مؤقت من تطبيق مستقل أفضل من كلمة مرور طويلة مع كلمة مرور أخرى طويلة، لأن الثانية يمكن سرقتها بالطريقة نفسها التي تُسرق بها الأولى.

العوامل الثلاثة التي تُبنى عليها المصادقة

كل أنظمة المصادقة تعتمد ثلاثة أنواع من الأدلة، ومعرفتها تجعلك تفرّق بين حماية حقيقية وإجراء شكلي:

• شيء تعرفه: كلمة المرور، رمز PIN، نمط شاشة الهاتف. سهل الاستخدام وسهل السرقة، لأنه يمكن نقله أو تخمينه أو استخراجه بالتصيّد.
• شيء تملكه: هاتف فيه تطبيق مصادقة، مفتاح مادي، بطاقة بشرية. لا يمكن نسخه بقراءة صفحة أو اعتراض رسالة إذا كان سليماً.
• شيء أنت عليه: بصمة الإصبع، التعرف على الوجه، مسح قزحية العين. مريح جداً، لكنه لا يُغيَّر: إذا انكشف فلا يمكنك استبداله كما تستبدل كلمة مرور.

المصادقة الثنائية الصحيحة تجمع عاملين من نوعين مختلفين. الجمع بين كلمة مرور وبصمة مقبول، أما الجمع بين كلمتي مرور فليس مصادقة ثنائية. والقاعدة العملية: العامل الذي تملكه هو الأهم، لأنه الوحيد الذي لا يستطيع المحتال الحصول عليه من بعيد.

رمز الرسائل النصية مقابل تطبيق TOTP مقابل المفتاح المادي

الخيارات الثلاثة الشائعة ليست متساوية في القوة، والفرق بينها ليس تفصيلاً تقنياً بل فرق في نوع الهجوم الذي تصدّه:

• رمز الرسائل النصية: يصل رمز إلى شريحة هاتفك. أضعف الخيارات الثلاثة لأسباب ملموسة: يمكن اعتراض الرسالة، أو سرقة الشريحة بتحويل الرقم إلى شريحة جديدة لدى المشغّل، أو قراءة الرمز من هاتفك إن كان مصاباً. وجوده أفضل من عدمه، لكنه ليس سقف الحماية. ولا تعتمد على تطبيقات المحادثة كوسيلة استلام الرموز: هي أضعف من تطبيق مصادقة مخصص، وتربط أمان حسابك بخدمة أخرى قد تُخترق أو تُستعاد.
• تطبيق المصادقة (TOTP): يولد رمزاً جديداً كل نصف دقيقة داخل الهاتف، دون إنترنت ودون رسالة. الرمز لا يُرسل إلى أحد، فلا يوجد ما يُعترض في الشبكة. يُقرن الحساب بمسح رمز QR مرة واحدة، وبعدها يعمل التطبيق محلياً. هذا هو الحد الأدنى المقبول لحساباتك المهمة، ويُفعَّل من خيار Authenticator app في إعدادات الأمان.
• المفتاح المادي: قطعة صغيرة تُوصل بمنفذ USB أو تُقرَّب من الهاتف. يتحقق المفتاح من النطاق الحقيقي للموقع قبل أن يوقّع الطلب، لذلك لا يعمل على صفحة مزيفة ولو كانت نسخة مطابقة تماماً. أقوى الخيارات المتاحة لعموم الناس، والأفضل لمن لديه حسابات حساسة.
• Passkey: الشكل الأحدث والأسهل: يخزّن زوج مفاتيح في جهازك أو مدير كلمات مرورك، وتدخل ببصمة أو وجه دون كتابة كلمة مرور. مبني على المنطق نفسه الذي يجعل المفتاح المادي محصّناً ضد التصيّد، ويُدار من قسم Passkeys في إعدادات الحساب.

القاعدة العملية للاختيار: مفتاح مادي أو Passkey أولاً، ثم تطبيق TOTP، ثم الرسائل النصية كخيار أخير لا كخيار مفضّل. وإن كان الحساب لا يعرض إلا الرسائل النصية، ففعّلها على أي حال؛ النصف الثاني من الدليل يبقى أفضل من لا شيء.

ما الذي تحميه المصادقة الثنائية وما لا تحميه

هذه أهم فقرة في الدليل، لأن كثيرين يفعّلون الثنائية ثم يظنون أنهم في مأمن من كل شيء:

• تحميك من كلمة مرور مسروقة: تسريب بيانات موقع آخر سبب متكرر لضياع الحسابات. الثنائية تجعل تلك الكلمة بلا قيمة على حسابك.
• تحميك من التخمين الآلي: محاولات الدخول المتكررة بكلمات شائعة تتوقف عند العامل الثاني، فلا يصل المهاجم إلى شيء.
• تحميك من إعادة استخدام الكلمة نفسها: لو استُخدمت في موقع منكشف، يبقى حسابك مغلقاً في وجه من يحاول.
• لا تحميك من التصيّد الذي يسرق الرمز نفسه: صفحة مزيفة تطلب كلمة المرور ثم تطلب الرمز المؤقت، وتمرّره إلى الموقع الحقيقي خلال ثوانٍ. الرمز يصلح مرة واحدة ولوقت قصير، لكن المحتال يستخدمه في تلك اللحظة بالذات. الحماية الحقيقية هنا هي المفتاح المادي أو Passkey، لأنهما مرتبطان بالنطاق ولا يستجيبان لصفحة مزيفة.
• لا تحميك من جهاز مصاب: برنامج تجسس يقرأ الشاشة أو يسرق الجلسة بعد فتحها يتجاوز العامل الثاني. ولا تحميك من محتال يقنعك بنفسك أن تعطيه الرمز في مكالمة.

الخلاصة: الثنائية ترفع سقف الأمان كثيراً، لكنها ليست درعاً كاملاً. المفتاح المادي أقوى من الرمز المؤقت، والانتباه إلى الروابط يبقى ضرورياً في كل الحالات.

رموز الاسترداد وترتيب التفعيل في حساباتك

عند تفعيل الثنائية يعرض عليك الحساب قائمة رموز الاسترداد، أو Backup codes: رموز طويلة تُستخدم مرة واحدة إذا فقدت هاتفك أو تعطّل التطبيق. هذه القائمة هي مخرج الطوارئ الوحيد، والتعامل معها الخاطئ يقفل حسابك في أسوأ وقت:

1. احفظها خارج الهاتف: ورقة في مكان آمن، أو ملف في مدير كلمات مرور موثوق. لا تضعها في ملاحظات الجهاز نفسه ولا في صورة داخل الاستوديو.
2. اطبعها أو اكتبها بخط يدك، وتأكد أن كل رمز مقروء. كثير من الناس لا يكتشفون أن خطهم غير واضح إلا عند الحاجة.
3. تذكّر أنها تُستخدم مرة واحدة: بعد استخدام رمز يصبح لاغياً، ويمكنك توليد قائمة جديدة من الإعدادات.
4. راجع القائمة كل فترة، واحذف النسخ القديمة إن ولّدت قائمة بديلة، حتى لا يبقى رمز صالح في مكان نسيت أنه موجود.

أما ترتيب التفعيل فأهم من السرعة. ابدأ بالحساب الذي يستطيع استعادة البقية، ثم انزل إلى ما يعتمد عليه عملك وأموالك:

1. البريد الإلكتروني أولاً: لأنه مفتاح استعادة كل حساب آخر. من يسيطر على بريدك يطلب إعادة تعيين كلمة المرور لأي موقع مرتبط به. تفعيل الثنائية على البريد يحمي كل ما بعده، ويُفعَّل من Security ثم Two-Step Verification.
2. حساب إدارة كلمات المرور: إن كنت تستخدم مديراً، فهو خزنة كل الحسابات. احمِه بمفتاح مادي أو Passkey إن أمكن.
3. الحسابات المالية: البنك، المحفظة الرقمية، منصات الدفع، وأي حساب مرتبط ببطاقة.
4. حسابات العمل والسحابة: الملفات والمستندات والخدمات التي تحتوي بياناتك أو بيانات عميلك.
5. الشبكات الاجتماعية والحسابات الثانوية: آخر القائمة، لكنها ليست مهملة: اختراقها يُستخدم لانتحال شخصيتك عند من يثقون بك.

ملاحظة عملية: احفظ رموز الاسترداد قبل أن تُغلق نافذة الإعدادات. يتعطّل الحساب في حالات كثيرة لأن أحدهم ضغط «تم» ثم اطمأن.

ابدأ الآن

1. افتح إعدادات الأمان في بريدك الأساسي، وفعّل تطبيق مصادقة، ثم نزّل رموز الاسترداد إلى مدير كلمات مرورك قبل إغلاق الصفحة.
2. أضف مفتاحاً مادياً أو Passkey إلى الحساب نفسه إن كان جهازك يدعمه، واجعله الخيار الأول عند الدخول.
3. دوّن الحسابات الخمسة التي ستتبعها هذا الأسبوع، وابدأ بالبنك ثم العمل ثم الشبكات الاجتماعية، ولا تنتقل من حساب قبل حفظ رموز استرداده.

لا تحتاج إلى إنجاز كل شيء في يوم. حساب واحد محمي جيداً اليوم أفضل من خطة كاملة تُنسى غداً.