رقم التعريف الشخصي

رقم التعريف الشخصي ( PIN ؛ أحيانًا بشكل زائد رمز PIN أو رقم PIN ) هو رمز مرور رقمي (أحيانًا أبجدي رقمي) يستخدم في عملية مصادقة المستخدم الذي يصل إلى النظام.

كان الرقم السري (PIN) مفتاحًا أساسيًا لتسهيل تبادل البيانات الخاصة بين مراكز معالجة البيانات المختلفة في شبكات الحاسوب للمؤسسات المالية والحكومات والشركات. ^{[ 1 ]} ويمكن استخدام الأرقام السرية للتحقق من هوية الأنظمة المصرفية مع حاملي البطاقات، والحكومات مع المواطنين، والشركات مع الموظفين، وأجهزة الحاسوب مع المستخدمين، بالإضافة إلى استخدامات أخرى.

في الاستخدام الشائع، يتم استخدام أرقام التعريف الشخصية في معاملات أجهزة الصراف الآلي أو نقاط البيع، ^{[ 2 ]} التحكم الآمن في الوصول (مثل الوصول إلى الكمبيوتر، الوصول إلى الباب، الوصول إلى السيارة)، ^{[ 3 ]} معاملات الإنترنت، ^{[ 4 ]} أو لتسجيل الدخول إلى موقع ويب مقيد.

ظهر نظام الرقم السري (PIN) مع ظهور أجهزة الصراف الآلي (ATM) عام 1967، كوسيلة فعّالة للبنوك لصرف النقود لعملائها. وكان أول نظام صراف آلي هو نظام بنك باركليز في لندن عام 1967؛ حيث كان يقبل الشيكات ذات التشفير القابل للقراءة آليًا، بدلًا من البطاقات، ويربط الرقم السري بالشيك. ^{[ 5 ] [ 6 ] [ 7 ]} وفي عام 1972، أصدر بنك لويدز أول بطاقة مصرفية مزودة بشريط مغناطيسي لتشفير المعلومات، باستخدام الرقم السري لأغراض الأمان. ^{[ 8 ]} وقد مُنح جيمس غودفيلو ، المخترع الذي حصل على براءة اختراع أول رقم تعريف شخصي، وسام الإمبراطورية البريطانية (OBE) في قائمة تكريمات عيد ميلاد الملكة عام 2006. ^{[ 9 ] [ 10 ]}

اخترع محمد محمد عطا الله أول وحدة أمان للأجهزة تعتمد على رمز التعريف الشخصي (PIN)، ^{[ 11 ]} والتي أُطلق عليها اسم "صندوق عطا الله"، وهو نظام أمان يقوم بتشفير رسائل رمز التعريف الشخصي ورسائل أجهزة الصراف الآلي ، ويحمي الأجهزة غير المتصلة بالإنترنت باستخدام مفتاح توليد رمز تعريف شخصي لا يمكن تخمينه. ^{[ 12 ]} في عام 1972، قدم عطا الله طلب براءة اختراع أمريكية رقم 3,938,091 لنظام التحقق من رمز التعريف الشخصي الخاص به، والذي تضمن قارئ بطاقات مشفرًا ، ووصف نظامًا يستخدم تقنيات التشفير لضمان أمان اتصال الهاتف أثناء إدخال معلومات الهوية الشخصية التي يتم إرسالها إلى موقع بعيد للتحقق منها. ^{[ 13 ]}

أسس شركة أتالا (التي تُعرف الآن باسم أوتيماكو أتالا ) عام 1972، ^{[ 14 ]} وأطلق "صندوق أتالا" تجاريًا عام 1973. ^{[ 12 ]} عُرف المنتج باسم "آيدنتيكي". كان عبارة عن قارئ بطاقات ونظام تعريف للعملاء ، يوفر جهازًا طرفيًا مزودًا بإمكانية استخدام البطاقات البلاستيكية وإدخال الرقم السري. صُمم النظام لتمكين البنوك ومؤسسات الادخار من التحول إلى بيئة البطاقات البلاستيكية بدلًا من نظام دفتر الحساب . يتكون نظام "آيدنتيكي" من وحدة قارئ البطاقات، ولوحتي مفاتيح لإدخال الرقم السري ، ووحدة تحكم ذكية، وحزمة واجهة إلكترونية مدمجة. ^{[ 15 ]} يتكون الجهاز من لوحتي مفاتيح ، واحدة للعميل والأخرى للصراف. يسمح للعميل بإدخال رمز سري، يقوم الجهاز بتحويله، باستخدام معالج دقيق ، إلى رمز آخر للصراف. ^{[ 16 ]} أثناء المعاملة ، يقرأ قارئ البطاقات رقم حساب العميل . حلت هذه العملية محل الإدخال اليدوي وتجنبت أخطاء ضغط المفاتيح المحتملة. أتاح هذا النظام للمستخدمين استبدال أساليب التحقق التقليدية من العملاء، مثل التحقق من التوقيعات وأسئلة الاختبار، بنظام رقم تعريف شخصي آمن. ^{[ 15 ]} تقديرًا لجهوده في تطوير نظام رقم التعريف الشخصي لإدارة أمن المعلومات ، يُشار إلى عطا الله بـ"أبو رقم التعريف الشخصي". ^{[ 17 ] [ 18 ] [ 19 ]}

أدى نجاح "صندوق أتالا" إلى انتشار واسع لوحدات أمان الأجهزة القائمة على رقم التعريف الشخصي (PIN). ^{[ 20 ]} كانت عملية التحقق من رقم التعريف الشخصي فيه مشابهة لعملية التحقق في جهاز IBM 3624 اللاحق . ^{[ 21 ]} بحلول عام 1998، كان ما يقدر بنحو 70% من جميع معاملات أجهزة الصراف الآلي في الولايات المتحدة تتم عبر وحدات أجهزة أتالا المتخصصة، ^{[ 22 ]} وبحلول عام 2003، أمّن "صندوق أتالا" 80% من جميع أجهزة الصراف الآلي في العالم، ^{[ 17 ]} وارتفعت هذه النسبة إلى 85% بحلول عام 2006. ^{[ 23 ]} تحمي منتجات وحدات أمان الأجهزة (HSM) من أتالا 250  مليون معاملة بطاقة يوميًا اعتبارًا من عام 2013، ^{[ 14 ]} ولا تزال تؤمن غالبية معاملات أجهزة الصراف الآلي في العالم اعتبارًا من عام 2014. ^{[ 11 ]}

تتكون أرقام التعريف الشخصية المالية عادةً من أربعة أرقام في النطاق من 0000 إلى 9999، مما ينتج عنه 10000 تركيبة ممكنة. وتصدر سويسرا أرقام تعريف شخصية مكونة من ستة أرقام بشكل افتراضي. ^{[ 31 ]}

تُفعّل بعض الأنظمة أرقام تعريف شخصية افتراضية، بينما تسمح معظمها للعميل بتعيين رقم تعريف شخصي أو تغيير الرقم الافتراضي، وفي بعضها الآخر يكون تغيير رقم التعريف الشخصي عند أول استخدام إلزاميًا. يُنصح العملاء عادةً بعدم تعيين رقم تعريف شخصي بناءً على تاريخ ميلادهم أو تاريخ ميلاد أزواجهم، أو على أرقام رخص القيادة، أو على أرقام متتالية أو متكررة، أو على أي أنماط أخرى. لا تُصدر بعض المؤسسات المالية أرقام تعريف شخصية أو تسمح بها إذا كانت جميع أرقامها متطابقة (مثل 1111، 2222، ...)، أو متتالية (مثل 1234، 2345، ...)، أو تبدأ بصفر واحد أو أكثر، أو آخر أربعة أرقام من رقم الضمان الاجتماعي أو تاريخ ميلاد حامل البطاقة.

تسمح العديد من أنظمة التحقق من الرقم السري بثلاث محاولات، مما يمنح سارق البطاقة احتمالًا افتراضيًا بنسبة 0.03% لتخمين الرقم السري الصحيح قبل حظر البطاقة. ويتحقق هذا فقط إذا كانت جميع الأرقام السرية ذات احتمالية متساوية، ولم يكن لدى المهاجم أي معلومات إضافية متاحة، وهو ما لم يكن الحال مع بعض خوارزميات توليد الأرقام السرية والتحقق منها التي استخدمتها المؤسسات المالية ومصنعو أجهزة الصراف الآلي في الماضي. ^{[ 32 ]}

أُجريت أبحاثٌ على أرقام التعريف الشخصية (PIN) الشائعة الاستخدام. ^{[ 33 ]} وتُشير النتائج إلى أنه بدون تخطيط مُسبق، قد يجد جزءٌ كبيرٌ من المستخدمين أرقام تعريفهم الشخصية عُرضةً للاختراق. "باستخدام أربعة احتمالات فقط، يستطيع المخترقون اختراق 20% من جميع أرقام التعريف الشخصية. وإذا لم يُسمح لهم بأكثر من خمسة عشر رقمًا، فسيتمكنون من الوصول إلى حسابات أكثر من ربع حاملي البطاقات." ^{[ 34 ]}

قد تزداد صعوبة كسر أرقام التعريف الشخصية (PIN) مع ازدياد طولها، على سبيل المثال:

تتفاقم مشكلة أرقام التعريف الشخصية (PIN) القابلة للتخمين بشكلٍ مفاجئ عندما يُجبر العملاء على استخدام أرقام إضافية، إذ ترتفع احتمالية التخمين من حوالي 25% مع 15 رقمًا إلى أكثر من 30% (دون احتساب الأرقام المكونة من 7 أرقام مع كل تلك الأرقام الهاتفية). في الواقع، يمكن تقليص حوالي نصف أرقام التعريف الشخصية المكونة من 9 أرقام إلى 24 احتمالًا، ويعود ذلك في الغالب إلى أن أكثر من 35% من الأشخاص يستخدمون الرقم 123456789 المغري للغاية. أما بالنسبة للنسبة المتبقية البالغة 64%، فمن المرجح أنهم يستخدمون رقم الضمان الاجتماعي الخاص بهم ، مما يجعلهم عرضة للاختراق. (تحتوي أرقام الضمان الاجتماعي على أنماط معروفة خاصة بها). ^{[ 34 ]}

انتشرت شائعات عبر البريد الإلكتروني والإنترنت تزعم أنه في حال إدخال الرقم السري (PIN) بشكل خاطئ في جهاز الصراف الآلي، سيتم تنبيه جهات إنفاذ القانون فورًا، وسيتم صرف النقود بشكل طبيعي كما لو تم إدخال الرقم السري بشكل صحيح. ^{[ 37 ]} والهدف من هذه الآلية هو حماية ضحايا السرقات؛ ومع ذلك، ورغم اقتراح استخدام النظام في بعض الولايات الأمريكية، ^{[ 38 ] [ 39 ]} لا توجد حاليًا أي أجهزة صراف آلي تستخدم هذا البرنامج. ^{[ 40 ]}

قد يكون الهاتف المحمول محميًا برقم تعريف شخصي (PIN). في حال تفعيل هذه الميزة، يتراوح رقم التعريف الشخصي (أو رمز المرور) لهواتف GSM المحمولة بين أربعة وثمانية أرقام ^{[ 41 ]} ، ويُسجل في شريحة SIM . إذا تم إدخال رقم التعريف الشخصي بشكل خاطئ ثلاث مرات، تُحظر شريحة SIM حتى يتم إدخال رمز فك الحظر الشخصي (PUC أو PUK) الذي يوفره مشغل الخدمة. ^{[ 42 ]} إذا تم إدخال رمز فك الحظر الشخصي بشكل خاطئ عشر مرات، تُحظر شريحة SIM نهائيًا، مما يستدعي الحصول على شريحة SIM جديدة من شركة الاتصالات.

لاحظ أنه لا ينبغي الخلط بين هذا وبين رموز المرور المستندة إلى البرامج والتي تستخدم غالبًا على الهواتف الذكية المزودة بشاشات قفل : فهذه لا تتعلق ببطاقة SIM الخلوية الخاصة بالجهاز أو رمز PIN أو PUC.

• برنامج رقم التعريف الشخصي الآمن لأجهزة الصراف الآلي
• بطاقة الحرم الجامعي
• رقم التحقق من المعاملة