هل استخدام المصادقة الثنائية أمر رائع، لكنه ليس معصومًا من الخطأ

يجب عليك استخدام المصادقة الثنائية أينما كانت متاحة. إنها ليست مثالية، لكنها تمنع معظم المهاجمين من تنفيذ هجماتهم. لكن لا تنخدع بالاعتقاد بأنها منيعة. هذا ليس صحيحًا.

مشكلة كلمة المرور

كانت كلمة المرور الوسيلة الأساسية لتأمين حسابات الكمبيوتر منذ الخمسينيات. وبعد مرور سبعين عامًا، أصبحنا جميعًا غارقين في كلمات المرور، وخاصة تلك الخاصة بالخدمات عبر الإنترنت. بدافع الفضول، قمت بفحص مدير كلمات المرور الخاص بي. لدي 220 مجموعة من بيانات اعتماد تسجيل الدخول مخزنة فيه.

ما لم تكن موهوبًا بشكل خاص، فمن المستحيل حفظ هذا العدد من كلمات المرور المعقدة والقوية. ولهذا السبب يعيد الناس استخدام كلمات المرور ويستخدمون كلمات مرور ضعيفة ولكن يسهل تذكرها. بالطبع، هذا هو نوع السلوك الذي يعرض حساباتك لخطر الاختراق.

تستخدم هجمات القوة الغاشمة الآلية وهجمات القاموس وهجمات البحث الأخرى قوائم الكلمات وقواعد البيانات الخاصة بكلمات المرور المخترقة لمحاولة الوصول غير المصرح به إلى حسابات الأشخاص. كلما حدث خرق للبيانات، يتم توفير البيانات على الويب المظلم لاستخدامها من قبل مجرمين الإنترنت. يستخدمون قواعد بيانات كلمات المرور المخترقة كذخيرة لبرامجهم. تقوم هذه البرامج بإرسال بيانات الاعتماد المسروقة إلى الحسابات، في محاولة لمطابقة كلمات المرور والحصول على الوصول.

ال هل تعرضت للاختراق؟ يقوم الموقع بجمع البيانات من أكبر عدد ممكن من خروقات البيانات. يمكنك زيارة الموقع بحرية للتحقق مما إذا كان عنوان بريدك الإلكتروني أو أي من كلمات المرور الخاصة بك قد تم الكشف عنها في خرق. لإعطائك فكرة عن حجم المشكلة، يوجد أكثر من 11 مليار مجموعة من بيانات الاعتماد في قواعد بياناتهم.

مع كل هذه الكلمات المرورية الكثيرة، هناك احتمال كبير أن يكون شخص آخر قد اختار نفس كلمة المرور التي اخترتها. لذا حتى لو لم يتم الكشف عن أي من بياناتك في أي اختراق، فمن المحتمل أن تكون بيانات شخص آخر – والذي استخدم نفس كلمة المرور التي استخدمتها – قد تعرضت للخطر. وإذا كنت قد استخدمت نفس كلمة المرور على العديد من الحسابات المختلفة، فإن هذا يعرضها جميعًا للخطر.

سياسات كلمة المرور

يجب أن يكون لدى جميع المنظمات سياسة خاصة بكلمات المرور تقدم إرشادات حول إنشاء كلمات المرور واستخدامها. على سبيل المثال، يجب تحديد الحد الأدنى لطول كلمة المرور، ويجب وضع القواعد المحيطة بتكوين كلمة المرور بوضوح حتى يفهمها جميع الموظفين ويتبعونها. يجب أن تمنع سياستك إعادة استخدام كلمات المرور لحسابات أخرى، وتأسيس كلمات المرور على أسماء الحيوانات الأليفة أو أفراد الأسرة أو أعياد الميلاد أو المناسبات السنوية.

المشكلة التي تواجهك هي كيف تراقب ذلك؟ كيف تعرف ما إذا كان الموظفون يلتزمون بهذه القواعد؟ يمكنك وضع قواعد للحد الأدنى من التعقيد على العديد من الأنظمة، بحيث ترفض تلقائيًا كلمات المرور القصيرة جدًا، والتي لا تحتوي على أرقام ورموز، أو كلمات من القاموس. هذا مفيد. ولكن ماذا لو استخدم شخص ما كلمة المرور الخاصة بأحد حساباته التجارية ككلمة مرور خاصة بأمازون أو تويتر؟ ليس لديك طريقة لمعرفة ذلك.

يؤدي استخدام المصادقة الثنائية إلى تحسين أمان حسابات شركتك، كما يوفر بعض الحماية ضد إدارة كلمة المرور السيئة أيضًا.

المصادقة الثنائية

تضيف المصادقة الثنائية طبقة أخرى من الحماية للحسابات المحمية بكلمة مرور. بالإضافة إلى معرفك وكلمة مرورك، تحتاج إلى الوصول إلى كائن مادي مسجل. هذه الكائنات هي إما أجهزة توصيل أو هواتف ذكية تعمل بتطبيق مصادقة معتمد.

يتم إنشاء رمز لمرة واحدة بواسطة تطبيق المصادقة على الهاتف الذكي. يجب عليك إدخال هذا الرمز مع كلمة المرور الخاصة بك عند تسجيل الدخول إلى الحساب. قد يتم توصيل الدونجل بمنفذ USB أو قد تستخدم البلوتوث. إما أنها تعرض رمزًا أو تقوم بإنشاء مفتاح ونقله بناءً على قيمة داخلية سرية.

يجمع المصادقة الثنائية بين الأشياء التي تعرفها (بيانات الاعتماد الخاصة بك) وشيء تملكه (هاتفك الذكي أو جهاز الحماية الخاص بك). لذا حتى إذا خمن شخص ما كلمة مرورك أو حاول اختراقها، فلن يتمكن من تسجيل الدخول إلى حسابك.

ذات صلة: المصادقة الثنائية عبر الرسائل النصية القصيرة ليست مثالية، ولكن لا يزال يتعين عليك استخدامها

اختراق المصادقة الثنائية

هناك عدة طرق يستطيع المهاجم من خلالها التغلب على المصادقة الثنائية والوصول إلى حساب محمي. وتتطلب بعض هذه التقنيات قدرات تقنية رفيعة المستوى وموارد كبيرة. على سبيل المثال، عادة ما يتم تنفيذ الهجمات التي تستغل نقاط الضعف في بروتوكول نظام الإشارة رقم 7 (SS7) من قبل مجموعات قرصنة مجهزة تجهيزًا جيدًا وذات مهارات عالية، أو مهاجمين ترعاهم الدولة. ويُستخدم بروتوكول SS7 لإنشاء وفصل الاتصالات القائمة على الهاتف، بما في ذلك الرسائل النصية القصيرة.

ولجذب انتباه هذا النوع من الجهات الفاعلة، يتعين على الأهداف أن تكون ذات قيمة عالية للغاية. وتختلف قيمة “القيمة العالية” باختلاف المهاجمين. وقد لا تكون المكافأة مالية مباشرة، فقد يكون الهجوم بدوافع سياسية، على سبيل المثال، أو جزءًا من حملة تجسس صناعي.

في عملية “الاحتيال بنقل البيانات”، يتصل مجرمو الإنترنت بشركة الاتصالات الخلوية الخاصة بك ويتظاهرون بأنهم أنت. ويمكن لممثلي التهديد الماهرين إقناع الممثل بأنهم أصحاب حسابك. ويمكنهم بعد ذلك نقل رقم هاتفك الذكي إلى هاتف ذكي آخر يمكنهم الوصول إليه. ويتم إرسال أي اتصالات تعتمد على الرسائل القصيرة إلى هواتفهم الذكية، وليس إلى هاتفك. وهذا يعني أن أي رموز مصادقة ثنائية العوامل تعتمد على الرسائل القصيرة يتم تسليمها إلى مجرمي الإنترنت.

إن استخدام تقنيات الهندسة الاجتماعية للتأثير على موظفي شركات الاتصالات الخلوية ليس بالأمر السهل. وهناك طريقة أسهل على الإطلاق تتمثل في استخدام خدمة الرسائل النصية التجارية عبر الإنترنت. وتستخدم هذه الخدمة من قبل المؤسسات لإرسال رسائل تذكيرية قصيرة وتنبيهات الحسابات والحملات التسويقية. وهي رخيصة للغاية أيضًا. فبمقابل 15 دولارًا تقريبًا، يمكنك العثور على خدمة تقوم بإعادة توجيه حركة الرسائل النصية القصيرة من رقم هاتف ذكي إلى آخر لمدة شهر.

بالطبع، من المفترض أن تمتلك كلا الهاتفين الذكيين أو أن تحصل على إذن من المالك، لكن هذا لا يمثل مشكلة بالنسبة لمجرمي الإنترنت. فعندما يُسألون عما إذا كان الأمر كذلك، فإن كل ما عليهم فعله هو أن يقولوا “نعم”. ولا يوجد أي شيء للتحقق من ذلك. ولا يتطلب الأمر أي مهارات من جانب المهاجمين، ومع ذلك فإن هاتفك الذكي معرض للخطر.

تركز جميع هذه الأنواع من الهجمات على المصادقة الثنائية القائمة على الرسائل القصيرة. وهناك هجمات تتحايل بسهولة على المصادقة الثنائية القائمة على التطبيقات أيضًا. وقد يقوم الجناة بشن حملة تصيد عبر البريد الإلكتروني أو استخدام التلاعب بأسماء المستخدمين لدفع الأشخاص إلى صفحة تسجيل دخول مقنعة ولكنها احتيالية.

عندما يحاول الضحية تسجيل الدخول، يُطلب منه إدخال معرفه وكلمة المرور وكود المصادقة الثنائية. بمجرد إدخال كود المصادقة، يتم إرسال بيانات الاعتماد هذه تلقائيًا إلى صفحة تسجيل الدخول للموقع الأصلي واستخدامها للوصول إلى حساب الضحية.

لا تتوقف عن استخدامه!

يمكن التغلب على المصادقة الثنائية من خلال مجموعة من التقنيات التي تتراوح من التقنيات الصعبة إلى التقنيات البسيطة نسبيًا. وعلى الرغم من ذلك، لا تزال المصادقة الثنائية من التدابير الأمنية الموصى بها ويجب تبنيها أينما تم تقديمها. وحتى في وجود هذه الهجمات، فإن المصادقة الثنائية أكثر أمانًا بمقدار كبير من مخطط الهوية وكلمة المرور البسيط.

من غير المرجح أن يحاول مجرمو الإنترنت تجاوز المصادقة الثنائية إلا إذا كنت شخصًا ذا قيمة عالية أو شخصية بارزة أو هدفًا استراتيجيًا. لذا استمر في استخدام المصادقة الثنائية، فهي أكثر أمانًا من عدم استخدامها.