المصادقة الثنائية (2FA)

المصادقة الثنائية (2FA / Two-Factor Authentication) طبقة حماية إضافية تطلب — إلى جانب كلمة المرور — عاملًا ثانيًا يملكه المستخدم وحده (رمز مؤقّت أو مفتاح)، فلا يكفي تسريب كلمة المرور لاختراق الحساب.

نموذج العوامل الثلاثة

تقوم المصادقة على فكرة العوامل: أنواع مستقلّة من الإثبات يصعب أن تتسرّب جميعها معًا. الأوّل «شيء تعرفه» كـكلمة المرور أو رمز PIN، وهو الأضعف وحده لأنّه يُسرَّب بالتصيّد أو تسريب قواعد البيانات أو إعادة استخدامه عبر المواقع. الثاني «شيء تملكه» كـهاتف يحمل تطبيق مصادقة أو مفتاح أجهزة مادّي. الثالث «شيء أنت» كبصمة الإصبع أو الوجه. تكمن قوّة المصادقة الثنائية في الجمع بين عاملَين من نوعَين مختلفين، فلو سرق المهاجم كلمة مرورك يظلّ عاجزًا عن الدخول ما لم يحز العامل الثاني فعليًّا. ولهذا تبقى 2FA مهمّة حتى مع كلمة مرور قويّة: فالقوّة لا تحمي من التصيّد ولا من تسريب يكشف الكلمة كاملة، بينما يسدّ العامل الثاني هذه الثغرة.

الطرق مرتّبة بحسب القوّة

ليست كلّ طرق العامل الثاني متساوية. مفاتيح الأجهزة وPasskeys المبنيّة على معيار FIDO2 هي الأقوى لأنّها مقاومة للتصيّد: يربط المفتاح توقيعه بعنوان الموقع الحقيقي، فلا ينخدع بصفحة مزيّفة تحاكي موقعك، ولا يوجد رمز يُكتب أو يُلتقط. تليها تطبيقات TOTP (كـGoogle أو Microsoft Authenticator) وهي خيار قويّ وعمليّ للأغلب. أمّا رموز SMS فهي الأضعف رغم انتشارها، لأنّها عرضة لهجوم استبدال شريحة الاتّصال (SIM swap) حيث ينقل المهاجم رقمك إلى شريحته، ولاعتراض الرسائل عبر ثغرات شبكات الاتّصال؛ تبقى أفضل من لا شيء، لكن فضّل عليها التطبيق أو المفتاح كلّما أتيح.

كيف تعمل رموز TOTP

تعتمد تطبيقات TOTP على مبدأ بسيط ومتين. عند تفعيل الميزة يتشارك الموقع وتطبيقك سرًّا واحدًا يُنقَل غالبًا عبر مسح رمز QR مرّة واحدة، ويبقى هذا السرّ مخزّنًا داخل التطبيق ولا يغادره أبدًا بعد ذلك. بعدها يولّد التطبيق محليًّا رمزًا من ستّة أرقام بدمج هذا السرّ مع الوقت الحالي عبر دالّة تشفيرية في اتّجاه واحد، ويتغيّر الرمز كلّ ثلاثين ثانية تقريبًا. حين تسجّل الدخول يجري الخادم الحساب نفسه بالسرّ ذاته والوقت ذاته ويقارن النتيجة بما أدخلته، فإن تطابقا قُبل الدخول. ولأنّ التوليد يتمّ داخل جهازك دون أي اتّصال بالشبكة، تعمل الطريقة حتى بلا إنترنت، ولا يُرسَل الرمز عبر قناة قابلة للاعتراض كما في رسائل الجوّال. ولأنّ كلّ رمز صالح لنافذة زمنية قصيرة جدًّا، فحتى لو شاهد أحدهم رمزًا قديمًا فلن ينفعه بعد انقضاء ثوانيه. غير أنّ هذه الطريقة تظلّ قابلة للتصيّد نظريًّا: لو خدعك موقع مزيّف وأدخلت فيه الرمز فورًا قد يستغلّه المهاجم خلال نافذته القصيرة، وهنا تتفوّق مفاتيح الأجهزة لأنّها لا تُسلّم شيئًا للموقع المزيّف أصلًا.

أين تفعّلها وكيف تستعدّ لفقد الجهاز

فعّل المصادقة الثنائية على كلّ حساب حسّاس، وأهمّها في سياق الاستضافة: لوحة الاستضافة (cPanel أو ما يماثلها)، والبريد الإلكتروني لأنّه مفتاح استعادة بقيّة الحسابات، ومسجّل النطاق كي لا يُسرَق دومينك، ولوحة ووردبريس. وبما أنّ العامل الثاني مرتبط بجهاز قد يُفقَد أو يُسرَق أو يُستبدَل، احتفظ بـرموز الاسترداد الاحتياطية التي يمنحها لك الموقع عند التفعيل في مكان آمن ومنفصل عن الجهاز (مدير كلمات مرور موثوق أو نسخة مطبوعة). هذه الرموز هي طريق الدخول حين يتعذّر العامل الأساسي؛ وامتلاك مفتاح أجهزة ثانٍ احتياطيّ خيار ممتاز لمن يريد ضمانًا أعلى دون الاعتماد على رمز ورقي.