مصادقة بدون كلمة مرور

المصادقة بدون كلمة مرور هي طريقة مصادقة تُمكّن المستخدم من تسجيل الدخول إلى نظام حاسوبي دون الحاجة إلى إدخال كلمة مرور أو أي معلومات سرية أخرى ( أو تذكرها) . في معظم التطبيقات الشائعة، يُطلب من المستخدمين إدخال مُعرّفهم العام (اسم المستخدم، رقم الهاتف، عنوان البريد الإلكتروني، إلخ)، ثم يُكملون عملية المصادقة بتقديم دليل هوية آمن عبر جهاز أو رمز مميز مُسجّل .

تعتمد أساليب المصادقة بدون كلمة مرور عادةً على بنية التشفير بالمفتاح العام ، حيث يُقدَّم المفتاح العام أثناء التسجيل في خدمة المصادقة (خادم بعيد، أو تطبيق، أو موقع ويب). في المقابل، يُحفظ المفتاح الخاص على جهاز المستخدم ( حاسوب شخصي ، أو هاتف ذكي ، أو رمز أمان خارجي ) ولا يمكن الوصول إليه إلا من خلال تقديم توقيع بيومتري أو عامل مصادقة آخر لا يعتمد على المعرفة. ^{[ 1 ]}

تندرج هذه العوامل عادةً ضمن فئتين:

• عوامل الملكية ("شيء يمتلكه المستخدم") مثل الهاتف الخلوي ، أو رمز OTP ، أو البطاقة الذكية ، أو رمز الأجهزة .
• العوامل المتأصلة ("شيء ما يمثله المستخدم") مثل بصمات الأصابع ، ومسح الشبكية ، والتعرف على الوجه أو الصوت ، وغيرها من المعرفات البيومترية.

قد تقبل بعض التصميمات أيضًا مجموعة من العوامل الأخرى مثل الموقع الجغرافي وعنوان الشبكة وأنماط السلوك والإيماءات ، طالما لا يتم تضمين كلمات المرور المحفوظة.

يُخلط أحيانًا بين المصادقة بدون كلمة مرور والمصادقة متعددة العوامل (MFA)، نظرًا لاستخدام كليهما مجموعة واسعة من عوامل المصادقة. مع ذلك، فبينما تُستخدم المصادقة متعددة العوامل غالبًا كطبقة أمان إضافية فوق المصادقة القائمة على كلمة المرور، لا تتطلب المصادقة بدون كلمة مرور حفظ أي سر. عادةً ما تستخدم عاملًا واحدًا عالي الأمان للتحقق من الهوية (أي رمز أمان خارجي)، مما يجعلها أسرع وأسهل للمستخدمين.

عند استخدام كلا النهجين، يُستخدم مصطلح "المصادقة متعددة العوامل بدون كلمة مرور". تعتمد عملية المصادقة على عوامل متعددة دون الحاجة إلى كلمة مرور، مما يوفر أعلى مستوى من الأمان عند تطبيقها بشكل صحيح.

انتشرت فكرة ضرورة التخلي عن كلمات المرور في أوساط علوم الحاسوب منذ عام ٢٠٠٤ على الأقل. وقد تنبأ بيل غيتس ، خلال كلمته في مؤتمر RSA عام ٢٠٠٤ ، بزوال كلمات المرور، قائلاً: "إنها ببساطة لا تفي بالغرض لأي شيء ترغب في تأمينه حقًا." ^{[ ٢ ]} وفي عام ٢٠١٢، كتب مات هونان، الصحفي في مجلة Wired ، والذي كان ضحية لحادثة اختراق: "لقد انتهى عصر كلمات المرور." ^{[ ٣ ]} وفي عام ٢٠١٣، صرّحت هيذر أدكينز، مديرة أمن المعلومات في جوجل ، قائلةً: "لقد تم استخدام كلمات المرور في جوجل." ^{[ ٤ ]} ويؤكد إريك غروس، نائب رئيس هندسة الأمن في جوجل، أن "كلمات المرور ورموز الوصول البسيطة، مثل ملفات تعريف الارتباط، لم تعد كافية لحماية المستخدمين." ^{[ 5 ]} كتب كريستوفر ميمز في صحيفة وول ستريت جورنال أن كلمات المرور "تتلاشى أخيرًا" وتوقع استبدالها بمصادقة الأجهزة، إلا أن كشفه المتعمد لكلمة مرور حسابه على تويتر أجبره على تغيير رقم هاتفه. ^{[ 6 ]} وقالت أفيڤا ليتان من شركة غارتنر في عام 2014: "كانت كلمات المرور قد انتهت قبل بضع سنوات. أما الآن فقد تجاوزت مرحلة الانقراض". ^{[ 7 ]} غالبًا ما تتضمن الأسباب الإشارة إلى سهولة استخدام كلمات المرور ومشاكلها الأمنية.

قارن بونو وزملاؤه بشكل منهجي كلمات مرور الويب بـ 35 نظام مصادقة منافس من حيث سهولة الاستخدام، وقابلية النشر، والأمان. ^{[ 8 ] [ 9 ]} (التقرير الفني هو نسخة موسعة من الورقة البحثية المحكمة التي تحمل نفس الاسم). يُظهر تحليلهم أن معظم الأنظمة تتفوق على كلمات المرور من حيث الأمان، بينما تتفوق بعضها على كلمات المرور من حيث سهولة الاستخدام، وتتفوق عليها أخرى من حيث سهولة النشر، في حين أن جميع الأنظمة تتفوق على كلمات المرور من حيث قابلية النشر. ويخلص الباحثون إلى الملاحظة التالية: "غالبًا ما تكون المكاسب الطفيفة غير كافية للوصول إلى طاقة التنشيط اللازمة للتغلب على تكاليف التحول الكبيرة، وهو ما قد يُفسر سبب احتمال استمرارنا لفترة أطول بكثير قبل أن نشهد نهاية كلمات المرور".

تُسهم التطورات التكنولوجية الحديثة (مثل انتشار أجهزة القياسات الحيوية والهواتف الذكية) وتغير ثقافة الأعمال (مثل قبول القياسات الحيوية والقوى العاملة اللامركزية) في تعزيز اعتماد المصادقة بدون كلمات مرور. وتعمل شركات التكنولوجيا الرائدة (مايكروسوفت ^{[ 10 ]} وجوجل ^{[ 11 ]} ) والمبادرات الصناعية على تطوير بنى وممارسات أفضل لتوسيع نطاق استخدامها، مع اتباع العديد منها نهجًا حذرًا، حيث تُبقي كلمات المرور سرية في بعض الحالات. وقد ساهم تطوير المعايير المفتوحة مثل FIDO2 و WebAuthn في زيادة اعتماد تقنيات المصادقة بدون كلمات مرور مثل Windows Hello . وفي 24 يونيو 2020، أعلنت Apple Safari عن إتاحة Face ID أو Touch ID كأداة مصادقة لمنصة WebAuthn لتسجيل الدخول بدون كلمات مرور. ^{[ 12 ]}

يجب على المستخدم التسجيل أولاً في النظام قبل التحقق من هويته. قد تتضمن عملية التسجيل بدون كلمة مرور الخطوات التالية:

• طلب التسجيل : عندما يحاول المستخدم التسجيل في موقع ويب، يرسل الخادم طلب تسجيل إلى جهاز المستخدم.
• اختيار عامل المصادقة : عندما يتلقى جهاز المستخدم طلب التسجيل، يقوم بإعداد طريقة لمصادقة المستخدم. على سبيل المثال، قد يستخدم الجهاز القياسات الحيوية مثل ماسح بصمات الأصابع أو تقنية التعرف على الوجه لتحديد هوية المستخدم. ^{[ 13 ]}
• توليد المفاتيح : يقوم جهاز المستخدم بتوليد زوج من المفاتيح العامة والخاصة، ويرسل المفتاح العام إلى الخادم للتحقق منه لاحقاً. ^{[ 14 ]}

بمجرد التسجيل، يمكن للمستخدم تسجيل الدخول إلى النظام عبر العملية التالية:

• تحدي المصادقة : يرسل الخادم تحدي مصادقة إلى جهاز المستخدم عندما يحاول المستخدم تسجيل الدخول إلى الموقع. ^{[ 14 ]}
• التحقق من هوية المستخدم : يثبت المستخدم هويته لجهازه باستخدام الماسح الضوئي البيومتري، مما يؤدي إلى فتح مفتاحه الخاص.
• استجابة التحدي : يقوم جهاز المستخدم بالتوقيع الرقمي على استجابة لتحدي المصادقة باستخدام المفتاح الخاص للمستخدم. ^{[ 15 ]}
• التحقق من صحة الاستجابة : يستخدم الخادم المفتاح العام للمستخدم للتحقق من التوقيع الرقمي ويوفر الوصول إلى حساب المستخدم. ^{[ 15 ]}

يشير المؤيدون إلى العديد من المزايا الفريدة مقارنة بطرق المصادقة الأخرى:

• أمان أكبر - من المعروف أن كلمات المرور تمثل نقطة ضعف في أنظمة الكمبيوتر (بسبب إعادة الاستخدام والمشاركة والاختراق والرش وما إلى ذلك) وتعتبر ناقل هجوم رئيسي مسؤول عن نسبة كبيرة من الاختراقات الأمنية.
• تجربة مستخدم أفضل - لا يُطلب من المستخدمين تذكر كلمات مرور معقدة والامتثال لسياسات أمنية مختلفة فحسب، بل لا يُطلب منهم أيضًا تجديد كلمات المرور بشكل دوري.
• انخفاض تكاليف تكنولوجيا المعلومات - نظرًا لعدم الحاجة إلى تخزين كلمات المرور وإدارتها، لم تعد فرق تكنولوجيا المعلومات مثقلة بوضع سياسات كلمات المرور، واكتشاف التسريبات، وإعادة تعيين كلمات المرور المنسية، والامتثال للوائح تخزين كلمات المرور.
• تحسين رؤية استخدام بيانات الاعتماد - نظرًا لأن بيانات الاعتماد مرتبطة بجهاز معين أو سمة مستخدم متأصلة، فلا يمكن استخدامها على نطاق واسع وتصبح إدارة الوصول أكثر صرامة.
• قابلية التوسع – إدارة عمليات تسجيل دخول متعددة دون إرهاق إضافي من كلمات المرور أو تسجيل معقد.

بينما يشير آخرون إلى عيوب تشغيلية ومتعلقة بالتكلفة:

• تكاليف التنفيذ – على الرغم من التسليم بأن المصادقة بدون كلمة مرور تؤدي إلى توفير في التكاليف على المدى الطويل، إلا أن تكاليف النشر تُشكل حاليًا عائقًا أمام العديد من المستخدمين المحتملين. وترتبط هذه التكاليف بالحاجة إلى نشر آلية مصادقة على دليل مستخدمين موجود، وأحيانًا بالأجهزة الإضافية التي يتم توفيرها للمستخدمين (مثل كلمات المرور لمرة واحدة أو مفاتيح الأمان).
• التدريب والخبرة اللازمين - في حين أن معظم أنظمة إدارة كلمات المرور مبنية بشكل مشابه وقد تم استخدامها لسنوات عديدة، فإن المصادقة بدون كلمة مرور تتطلب التكيف من فرق تكنولوجيا المعلومات والمستخدمين النهائيين على حد سواء.
• قد تشكل نقطة الفشل الوحيدة - لا سيما التطبيقات التي تستخدم رمز التحقق لمرة واحدة أو الإشعارات الفورية لتطبيقات الأجهزة الخلوية - تحديًا للمستخدم النهائي في حالة تعطل الجهاز أو فقدانه أو سرقته أو حتى ترقيته. ^{[ 16 ]}