المصادقة متعددة العوامل

المصادقة متعددة العوامل ( MFA)، والمعروفة أيضًا بالمصادقة ثنائية العوامل ( 2FA )، هي طريقة مصادقة إلكترونية تُمنح فيها صلاحية الوصول إلى موقع ويب أو تطبيق ما بعد تقديم نوعين أو أكثر من الأدلة (أو العوامل ) بنجاح إلى آلية المصادقة . تحمي المصادقة متعددة العوامل البيانات الشخصية - التي قد تشمل الهوية الشخصية أو الأصول المالية - من الوصول إليها من قِبل طرف ثالث غير مصرح له، والذي قد يكون قادرًا على اكتشاف كلمة مرور واحدة، على سبيل المثال .

ازداد استخدام المصادقة متعددة العوامل (MFA) في السنوات الأخيرة. ومن المشكلات الأمنية التي قد تؤدي إلى تجاوز المصادقة متعددة العوامل: هجمات الإرهاق ، والتصيد الاحتيالي ، واستبدال شريحة SIM . ^{[ 1 ]}

^{[ 2 ]} من غير المرجح أن تتعرض الحسابات التي تم تفعيل المصادقة متعددة العوامل لها للاختراق بشكل كبير.

تتم عملية المصادقة عندما يحاول شخص ما تسجيل الدخول إلى مورد حاسوبي (مثل شبكة حاسوبية أو جهاز أو تطبيق). يتطلب المورد من المستخدم تقديم هويته التي يعرفه بها المورد، بالإضافة إلى دليل على صحة ادعائه بتلك الهوية. تتطلب المصادقة البسيطة دليلاً واحداً فقط (عاملاً)، عادةً كلمة مرور، أو أحياناً عدة أدلة من النوع نفسه، كما هو الحال مع رقم بطاقة الائتمان ورمز التحقق من البطاقة (CVC). ولزيادة الأمان، قد يتطلب المورد أكثر من عامل واحد - المصادقة متعددة العوامل، أو المصادقة الثنائية في الحالات التي يُطلب فيها تقديم نوعين من الأدلة. ^{[ 3 ]}

يعتمد استخدام عوامل مصادقة متعددة لإثبات هوية المستخدم على فرضية أن من غير المرجح أن يتمكن أي شخص غير مصرح له من توفير جميع العوامل المطلوبة للوصول. إذا كان أحد هذه العوامل مفقودًا أو مُقدمًا بشكل غير صحيح أثناء محاولة المصادقة، فلن يتم التحقق من هوية المستخدم بدرجة كافية من اليقين، وبالتالي سيظل الوصول إلى الأصل (مثل مبنى أو بيانات) المحمي بواسطة المصادقة متعددة العوامل محظورًا. قد تتضمن عوامل المصادقة في نظام المصادقة متعددة العوامل ما يلي: ^{[ 4 ]}

• شيء يمتلكه المستخدم: أي شيء مادي في حوزة المستخدم، مثل رمز الأمان ( ذاكرة USB )، أو بطاقة مصرفية ، أو مفتاح، أو هاتف يمكن الوصول إليه على رقم معين، وما إلى ذلك.
• شيء يعرفه المستخدم: معلومات معينة لا يعرفها إلا المستخدم، مثل كلمة المرور ، أو رقم التعريف الشخصي ، أو رمز التحقق من المستخدم ، وما إلى ذلك.
• شيء يتعلق بالمستخدم: بعض الخصائص الجسدية للمستخدم ( البيانات الحيوية )، مثل بصمة الإصبع ، وقزحية العين، والصوت، وسرعة الكتابة ، ونمط فترات الضغط على المفاتيح، وما إلى ذلك.

من أمثلة المصادقة الثنائية سحب الأموال من أجهزة الصراف الآلي ؛ إذ لا يُمكن إتمام العملية إلا باستخدام مزيج صحيح من بطاقة مصرفية موجودة فعليًا (يملكها المستخدم) ورقم تعريف شخصي (يعرفه المستخدم). ومن الأمثلة الأخرى إضافة كلمة مرور لمرة واحدة (OTP) أو رمز يتم إنشاؤه أو استلامه بواسطة جهاز مصادقة (مثل رمز أمان أو هاتف ذكي ) لا يملكه إلا المستخدم، إلى كلمة المرور التي يتحكم بها المستخدم. ^{[ 5 ]}

يُتيح تطبيق المصادقة التحقق بخطوتين بطريقة مختلفة، وذلك بعرض رمز يتم إنشاؤه عشوائيًا ويتم تحديثه باستمرار، بدلاً من إرسال رسالة نصية قصيرة أو استخدام طريقة أخرى. ^{[ 6 ]} هذا الرمز هو كلمة مرور لمرة واحدة تعتمد على الوقت ( TOTP )، ويحتوي تطبيق المصادقة على المادة الأساسية التي تسمح بإنشاء هذه الرموز.

تملُّك

استُخدمت عوامل الملكية ("شيء لا يملكه إلا المستخدم") للتحقق من الهوية لقرون، على شكل مفتاح للقفل. ويكمن المبدأ الأساسي في أن المفتاح يحمل سرًا مشتركًا بين القفل والمفتاح، وهو المبدأ نفسه الذي يقوم عليه التحقق من الهوية باستخدام عوامل الملكية في أنظمة الحاسوب. ويُعدّ رمز الأمان مثالًا على عامل الملكية.

لا تتصل الرموز غير المتصلة بجهاز الكمبيوتر الخاص بالعميل. وتستخدم عادةً شاشة مدمجة لعرض بيانات المصادقة المُولَّدة، والتي يُدخلها المستخدم يدويًا. ويستخدم هذا النوع من الرموز في الغالب كلمة مرور لمرة واحدة لا يمكن استخدامها إلا لتلك الجلسة المحددة. ^{[ 7 ]}

الرموز المتصلة هي أجهزة متصلة فعليًا بالحاسوب المراد استخدامها، وتقوم هذه الأجهزة بنقل البيانات تلقائيًا. ^{[ 8 ]} توجد أنواع عديدة منها، بما في ذلك رموز USB والبطاقات الذكية والعلامات اللاسلكية . ^{[ 8 ]} وقد ازدادت شعبية الرموز المتوافقة مع معيار FIDO2 ، والمدعومة من تحالف FIDO واتحاد شبكة الويب العالمية (W3C)، حيث بدأ دعمها من قبل المتصفحات الرئيسية في عام 2015.

الرمز البرمجي (أو الرمز البرمجي ) هو نوع من أجهزة الأمان التي تعتمد على المصادقة الثنائية، ويُستخدم لتخويل استخدام خدمات الحاسوب. تُخزَّن الرموز البرمجية على جهاز إلكتروني عام، مثل الحاسوب المكتبي أو المحمول أو المساعد الرقمي الشخصي أو الهاتف المحمول ، ويمكن نسخها. على عكس الرموز المادية ، حيث تُخزَّن بيانات الاعتماد على جهاز مادي مخصص، وبالتالي لا يمكن نسخها إلا بالاختراق المادي للجهاز. قد لا يكون الرمز البرمجي جهازًا يتفاعل معه المستخدم. عادةً ما تُحمَّل شهادة X.509v3 على الجهاز وتُخزَّن بشكل آمن لهذا الغرض. ^{[ 9 ]}

يمكن أيضًا تطبيق المصادقة متعددة العوامل في أنظمة الأمن المادي، حيث يتم نشرها عادةً من خلال استخدام، أولاً، حيازة مادية (مثل جهاز تحكم عن بعد أو بطاقة مفتاح أو رمز الاستجابة السريعة المعروض على جهاز) والتي تعمل كبيانات اعتماد للتعريف، وثانيًا، التحقق من هوية الشخص مثل القياسات الحيوية للوجه أو مسح شبكية العين (التحقق من الوجه أو مصادقة الوجه)، أو رقم التعريف الشخصي (PIN).

طُوِّرت المصادقة الثنائية عبر الرسائل النصية في وقت مبكر من عام 1996، عندما وصفت شركة AT&T نظامًا لتفويض المعاملات يعتمد على تبادل الرموز عبر أجهزة النداء ثنائية الاتجاه. ^{[ 12 ] [ 13 ]}

يُقدّم العديد من مُزوّدي خدمات المصادقة متعددة العوامل المصادقة عبر الهاتف المحمول. تشمل بعض هذه الطرق المصادقة عبر الإشعارات الفورية، والمصادقة عبر رمز الاستجابة السريعة (QR code )، والمصادقة بكلمة مرور لمرة واحدة (سواءً كانت مرتبطة بحدث أو وقت)، والتحقق عبر الرسائل النصية القصيرة (SMS). إلا أن التحقق عبر الرسائل النصية القصيرة يُعاني من بعض المخاوف الأمنية، إذ يُمكن استنساخ الهواتف، وتشغيل التطبيقات على عدة هواتف، كما يُمكن لفنيي صيانة الهواتف قراءة الرسائل النصية. بالإضافة إلى ذلك، يُمكن اختراق الهواتف المحمولة بشكل عام، ما يعني أن الهاتف لم يعد حكرًا على المستخدم.

تتمثل أبرز عيوب المصادقة التي تتضمن شيئًا يملكه المستخدم في ضرورة حمله للرمز المادي (مثل ذاكرة USB أو بطاقة مصرفية أو مفتاح أو ما شابه) بشكل دائم تقريبًا. ويُعدّ الفقدان والسرقة من المخاطر المحتملة. تمنع العديد من المؤسسات إدخال أو إخراج أجهزة USB والأجهزة الإلكترونية من وإلى مبانيها نظرًا لمخاطر البرامج الضارة وسرقة البيانات، كما أن معظم الأجهزة المهمة لا تحتوي على منافذ USB لنفس السبب. عادةً ما تكون الرموز المادية غير قابلة للتوسع، إذ تتطلب عادةً رمزًا جديدًا لكل حساب ونظام جديد. وينطوي شراء هذه الرموز واستبدالها لاحقًا على تكاليف. إضافةً إلى ذلك، توجد تعارضات جوهرية ومقايضات لا مفر منها بين سهولة الاستخدام والأمان. ^{[ 14 ]}

توفر المصادقة الثنائية عبر الهواتف المحمولة والهواتف الذكية بديلاً للأجهزة المادية المخصصة. وللمصادقة، يمكن للمستخدمين استخدام رموز الوصول الشخصية الخاصة بهم للجهاز (أي رمز لا يعرفه إلا المستخدم نفسه) بالإضافة إلى رمز مرور ديناميكي صالح لمرة واحدة، ويتكون عادةً من 4 إلى 6 أرقام. ويمكن إرسال رمز المرور إلى جهاز المستخدم المحمول ^{[ 3 ]} عبر رسالة نصية قصيرة ، أو يمكن إنشاؤه بواسطة تطبيق لتوليد رموز المرور لمرة واحدة. وفي كلتا الحالتين، تكمن ميزة استخدام الهاتف المحمول في عدم الحاجة إلى رمز مميز إضافي، حيث يميل المستخدمون إلى حمل أجهزتهم المحمولة معهم طوال الوقت.

على الرغم من شيوع التحقق عبر الرسائل النصية القصيرة، فقد انتقد دعاة الأمن هذه الطريقة علنًا، ^{[ 15 ]} وفي يوليو 2016، اقترحت مسودة توجيهية صادرة عن المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST) إلغاء اعتمادها كوسيلة للتحقق من الهوية. ^{[ 16 ]} وبعد عام، أعاد المعهد اعتماد التحقق عبر الرسائل النصية القصيرة كقناة تحقق معتمدة في التوجيهات النهائية. ^{[ 17 ]}

في وقت مبكر من عام 2011، كانت شركة Duo Security تُقدّم إشعارات فورية للمصادقة متعددة العوامل عبر تطبيق جوال. ^{[ 18 ]} وفي عامي 2016 و2017 على التوالي، بدأت كل من جوجل وآبل بتقديم المصادقة الثنائية للمستخدمين مع الإشعارات الفورية ^{[ 4 ]} كطريقة بديلة. ^{[ 19 ] [ 20 ]}

يعتمد أمان رموز الأمان المرسلة عبر الرسائل النصية القصيرة بشكل كامل على أمن العمليات التشغيلية لمشغل شبكة الهاتف المحمول، ويمكن اختراقها بسهولة عن طريق التنصت أو استنساخ شريحة SIM من قبل أجهزة الأمن القومي. ^{[ 21 ]}

المزايا:

• لا حاجة إلى رموز إضافية لأنها تستخدم أجهزة محمولة يتم حملها (عادةً) طوال الوقت.
• نظراً لأنها تتغير باستمرار، فإن استخدام رموز المرور التي يتم إنشاؤها ديناميكياً أكثر أماناً من استخدام معلومات تسجيل الدخول الثابتة (الساكنة).
• بحسب الحل، يتم استبدال كلمات المرور المستخدمة تلقائيًا لضمان توفر رمز صالح دائمًا، وبالتالي فإن مشاكل الإرسال/الاستقبال لا تمنع عمليات تسجيل الدخول.

العيوب:

• قد يظل المستخدمون عرضة لهجمات التصيد الاحتيالي. إذ يمكن للمهاجم إرسال رسالة نصية تحتوي على رابط لموقع ويب مزيف يبدو مطابقًا تمامًا للموقع الأصلي - وهو ما يُعرف بهجوم الوسيط . وبذلك، يستطيع المهاجم الحصول على رمز المصادقة واسم المستخدم وكلمة المرور. ^{[ 22 ]}
• لا يتوفر الهاتف المحمول دائمًا، فقد يُفقد أو يُسرق أو تنفد بطاريته أو يتعطل لأي سبب آخر. ويُعدّ فقدان الأجهزة لأسباب لا تتعلق بحادث أمني نقطة ضعف رئيسية في تبني المصادقة متعددة العوامل على نطاق واسع (مقارنةً بفقدان جهاز دون استخدام المصادقة متعددة العوامل). وغالبًا ما تُضيف الحلول لهذه المشكلة تعقيدات إضافية إلى عملية تبني المصادقة متعددة العوامل.
• على الرغم من شعبيتها المتزايدة، قد لا يمتلك بعض المستخدمين جهازًا محمولًا، ويستاؤون من اشتراط امتلاك واحد كشرط لاستخدام بعض الخدمات على جهاز الكمبيوتر المنزلي الخاص بهم.
• يحتوي نظام SS7 الذي يقوم عليه تجوال الهواتف المحمولة على ثغرات أمنية، وقد يتم إعادة توجيه رسائل SMS إلى المهاجمين. ^{[ 23 ]}
• لا تتوفر تغطية شبكة الهاتف المحمول دائمًا - تفتقر مناطق واسعة، وخاصة خارج المدن، إلى التغطية.
• يُتيح استنساخ شريحة SIM للمخترقين الوصول إلى اتصالات الهواتف المحمولة. وقد أسفرت هجمات استبدال شريحة SIM وهجمات الهندسة الاجتماعية ضد شركات تشغيل الهواتف المحمولة عن تسليم شرائح SIM مُكررة للمجرمين. ^{[ 24 ]}
• الرسائل النصية المرسلة إلى الهواتف المحمولة عبر الرسائل القصيرة غير آمنة ويمكن اعتراضها بواسطة أجهزة اعتراض بيانات المتصل (IMSI-catchers) . وبالتالي، يمكن لأطراف ثالثة سرقة رمز الأمان واستخدامه. ^{[ 25 ]}
• عادةً ما تتجاوز عملية استعادة الحساب المصادقة الثنائية للهواتف المحمولة. ^{[ 3 ]}
• تُستخدم الهواتف الذكية الحديثة لاستقبال كلٍ من البريد الإلكتروني والرسائل النصية القصيرة. لذا، في حال فقدان الهاتف أو سرقته وعدم حمايته بكلمة مرور أو بيانات بيومترية، يُمكن الاستيلاء على جميع الحسابات التي يعتمد الوصول إليها على البريد الإلكتروني، حيث يُمكن للهاتف استقبال عامل التحقق الثاني.
• قد تفرض شركات الاتصالات رسومًا على رسائل المستخدمين.

يشترط معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) ، البند 8.3، استخدام المصادقة متعددة العوامل (MFA) لجميع عمليات الوصول عن بُعد إلى بيئة بيانات البطاقة (CDE) من خارج الشبكة. ^{[ 26 ]} بدءًا من الإصدار 3.2 من معيار PCI DSS، يُشترط استخدام المصادقة متعددة العوامل لجميع عمليات الوصول الإداري إلى بيئة بيانات البطاقة، حتى لو كان المستخدم ضمن شبكة موثوقة.

يرى المؤيدون أن المصادقة متعددة العوامل قد تُقلل بشكل كبير من حالات سرقة الهوية عبر الإنترنت وغيرها من عمليات الاحتيال الإلكتروني ، لأن كلمة مرور الضحية لن تكون كافية لمنح اللص وصولاً دائماً إلى معلوماتها. مع ذلك، لا تزال العديد من أساليب المصادقة متعددة العوامل عرضة لهجمات التصيد الاحتيالي [ ^{38 ] [ 39 ]} ، وهجمات الوسيط [ ^{40 ] .} ولمواجهة هجمات التصيد الاحتيالي، ينبغي على المستخدمين عدم مشاركة رموز التحقق الخاصة بهم مع أي شخص ^{[ 41 ]،} كما أن العديد من مزودي تطبيقات الويب يرسلون تنبيهاً عبر البريد الإلكتروني أو الرسائل النصية القصيرة يتضمن رمزاً ^{[ 42 ] .}

في مايو 2017، أكدت شركة O2 Telefónica ، وهي شركة اتصالات ألمانية، أن مجرمي الإنترنت استغلوا ثغرات أمنية في بروتوكول SS7 لتجاوز المصادقة الثنائية عبر الرسائل النصية القصيرة، ما سمح لهم بسحب أموال غير مصرح بها من حسابات المستخدمين المصرفية. بدأ المجرمون باختراق أجهزة الكمبيوتر الخاصة بأصحاب الحسابات لسرقة بيانات حساباتهم المصرفية وأرقام هواتفهم. ثم اشتروا اشتراكًا في خدمة اتصالات وهمية، وربطوا رقم هاتف الضحية بجهاز يتحكمون به. بعد ذلك، تمكنوا من تسجيل الدخول إلى حسابات الضحايا المصرفية الإلكترونية، وطلبوا تحويل الأموال إلى حساباتهم الخاصة. تم توجيه رموز المرور عبر الرسائل النصية القصيرة إلى أرقام هواتف يتحكم بها المجرمون، ومن ثم قاموا بتحويل الأموال. ^{[ 43 ]}

تتطلب العديد من منتجات المصادقة متعددة العوامل من المستخدمين تثبيت برامج عميل لتفعيل أنظمة المصادقة متعددة العوامل. وقد طوّر بعض المورّدين حزم تثبيت منفصلة لتسجيل الدخول إلى الشبكة ، وبيانات اعتماد الوصول إلى الويب ، وبيانات اعتماد اتصال VPN . بالنسبة لهذه المنتجات، قد يتطلب الأمر تثبيت أربع أو خمس حزم برمجية مختلفة على جهاز الكمبيوتر الخاص بالعميل لاستخدام الرمز المميز أو البطاقة الذكية . وهذا يعني وجود أربع أو خمس حزم يجب التحكم في إصداراتها، وأربع أو خمس حزم أخرى للتحقق من تعارضها مع تطبيقات الأعمال. إذا أمكن الوصول عبر صفحات الويب ، فمن الممكن حصر الأعباء المذكورة أعلاه في تطبيق واحد. مع تقنيات المصادقة متعددة العوامل الأخرى، مثل منتجات الرموز المميزة المادية، لا يحتاج المستخدمون النهائيون إلى تثبيت أي برامج. وقد أظهرت بعض الدراسات أن إجراءات استعادة المصادقة متعددة العوامل سيئة التنفيذ قد تُدخل ثغرات أمنية جديدة يستغلها المهاجمون. ^{[ 51 ]}

توجد عيوب في المصادقة متعددة العوامل تحول دون انتشار العديد من أساليبها. يواجه بعض المستخدمين صعوبة في تتبع رمز الأمان المادي أو وصلة USB. كما يفتقر الكثير منهم إلى المهارات التقنية اللازمة لتثبيت شهادة برمجية على جهاز المستخدم بأنفسهم. عمومًا، تتطلب حلول المصادقة متعددة العوامل استثمارات إضافية للتنفيذ وتكاليف للصيانة. معظم الأنظمة القائمة على رموز الأمان المادية مملوكة لشركات خاصة، ويفرض بعض الموردين رسومًا سنوية على كل مستخدم. يُعدّ نشر رموز الأمان المادية تحديًا لوجستيًا، إذ قد تتعرض للتلف أو الضياع، كما أن إصدارها في قطاعات كبيرة كالبنوك أو حتى داخل الشركات الكبيرة يتطلب إدارة دقيقة. إضافةً إلى تكاليف النشر، غالبًا ما تنطوي المصادقة متعددة العوامل على تكاليف دعم إضافية كبيرة. وقد أشار استطلاع أجرته مجلة "كريديت يونيون جورنال" عام 2008 [ 52 ] ^{وشمل أكثر من} 120 اتحادًا ائتمانيًا أمريكيًا ، إلى أن شهادات البرامج وأشرطة أدوات البرامج هي الأكثر تكلفة في الدعم.

أظهرت الأبحاث المتعلقة بتطبيق أنظمة المصادقة متعددة العوامل ^{[ 53 ]} أن أحد العوامل المؤثرة في تبني هذه الأنظمة هو طبيعة عمل المؤسسة التي تستخدمها. ومن الأمثلة على ذلك الحكومة الأمريكية، التي تستخدم نظامًا متطورًا من الرموز المادية (المدعومة بدورها ببنية تحتية قوية للمفتاح العام )، بالإضافة إلى البنوك الخاصة، التي تُفضل أنظمة المصادقة متعددة العوامل لعملائها، والتي تتضمن وسائل أسهل وأقل تكلفة للتحقق من الهوية، مثل تطبيق مُثبّت على هاتف ذكي. وعلى الرغم من تنوع الأنظمة المتاحة التي قد تختارها المؤسسات، فإنه بمجرد تطبيق نظام المصادقة متعددة العوامل داخل المؤسسة، يميل إلى الاستمرار، حيث يعتاد المستخدمون عليه تدريجيًا ويصبح جزءًا لا يتجزأ من تفاعلهم اليومي مع نظام المعلومات الخاص بهم.

بينما يُعتقد أن المصادقة متعددة العوامل تقع ضمن نطاق الأمان المثالي، يكتب روجر غرايمز ^{[ 54 ]} أنه إذا لم يتم تنفيذها وتكوينها بشكل صحيح، فيمكن في الواقع التغلب على المصادقة متعددة العوامل بسهولة.

في عام 2013، ادعى كيم دوت كوم أنه اخترع المصادقة الثنائية في براءة اختراع تعود لعام 2000، ^{[ 55 ]} وهدد لفترة وجيزة بمقاضاة جميع خدمات الإنترنت الرئيسية. ومع ذلك، ألغى مكتب براءات الاختراع الأوروبي براءة اختراعه ^{[ 56 ]} في ضوء براءة اختراع أمريكية سابقة تعود لعام 1998 مملوكة لشركة AT&T. ^{[ 57 ]}

• عوامل المصادقة
• المصادقة الإلكترونية
• إدارة الهوية
• تفويض متعدد الأطراف
• المصادقة المتبادلة
• خارج النطاق
• مصادقة ريلاينس
• العامل الثاني العالمي
• الكشف عن التهديدات المتعلقة بالهوية والاستجابة لها

• TwoFactorAuth.org - TwoFactorAuth.org - مصدر شامل عبر الإنترنت حول المصادقة الثنائية (2FA) وكل ما يتعلق بها
• تمكن المهاجمون من اختراق خوادم شركة RSA وسرقة معلومات يمكن استخدامها لاختراق أمن رموز المصادقة الثنائية التي يستخدمها 40 مليون موظف (register.com، 18 مارس 2011).
• البنوك ستستخدم المصادقة الثنائية بحلول نهاية عام 2006 ، (slashdot.org، 20 أكتوبر 2005)
• مايكروسوفت تتخلى عن كلمات المرور ، مايكروسوفت تستعد للتخلي عن كلمات المرور لصالح المصادقة الثنائية في الإصدارات القادمة من ويندوز (vnunet.com، 14 مارس 2005)