كل ما يستحق المعرفة، ولا شيء مما لا يستحقها.
ما هو رمز التحقق لمرة واحدة (OTP)؟
رمز التحقق لمرة واحدة (OTP) هو رمز قصير يُستخدم لمرة واحدة فقط، ويتكون عادةً من 4 إلى 8 أرقام، ويكون صالحًا لمرة واحدة فقط ولفترة وجيزة. يُرسل هذا الرمز إلى جهاز يملكه المستخدم، غالبًا عبر الرسائل النصية القصيرة (SMS)، ولكن أيضًا عبر WhatsApp، أو المكالمات الصوتية، أو المكالمات الفورية، أو البريد الإلكتروني، أو يُنشأ محليًا بواسطة تطبيق مصادقة. ولأنه ينتهي صلاحيته ولا يمكن إعادة استخدامه، فإن رمز التحقق لمرة واحدة (OTP) يُثبت، في تلك اللحظة، أن المستخدم يتحكم في القناة التي أُرسل إليها.
- رمز للاستخدام لمرة واحدة، صالح مرة واحدة ولفترة وجيزة.
- يتم تسليمها عبر رسائل SMS، أو WhatsApp، أو المكالمات الصوتية، أو المكالمات الفورية، أو البريد الإلكتروني، أو تطبيق.
- يثبت ذلك السيطرة على القناة التي تم إرسالها إليها.
- تاريخ انتهاء الصلاحية + الاستخدام لمرة واحدة هو ما يجعله "للاستخدام لمرة واحدة".
ما هو التحقق الثنائي (2FA)؟
تتطلب المصادقة الثنائية دليلين من فئات مختلفة: شيء تعرفه (كلمة مرور أو رمز PIN)، شيء تملكه (هاتف، مفتاح أمان، رمز OTP)، أو شيء أنت عليه (بصمة إصبع أو وجه). يكمن جوهر الأمر في الاستقلالية؛ فالمهاجم الذي يسرق كلمة مرورك لا يزال يفتقر إلى الدليل الثاني. كلمة المرور مع رمز OTP عبر رسائل SMS تُعدّ مصادقة ثنائية؛ أما كلمتا المرور فلا تُعدّان كذلك، لأنهما من نفس نوع الدليل.
- عاملان من فئات مختلفة: معرفة / امتلاك / كون.
- كلمة المرور + رمز التحقق عبر رسائل SMS = المصادقة الثنائية؛ كلمة المرور + رمز التعريف الشخصي = لا تُفعّل المصادقة الثنائية.
- الاستقلال هو الضمانة الأمنية التي تهم.
- تعمم تقنية المصادقة متعددة العوامل (MFA) تقنية المصادقة الثنائية (2FA) لتشمل عاملين أو أكثر.
كيف ترتبط هذه الأمور ببعضها البعض؟
غالبًا ما يكون رمز التحقق لمرة واحدة (OTP) هو عنصر "الشيء الذي تملكه" في نظام المصادقة الثنائية (2FA)، ولكنه ليس الخيار الأمثل. يُعدّ رمز التحقق لمرة واحدة عبر رسائل SMS (SMS OTP) عرضةً للاحتيال الإلكتروني، واستبدال شريحة SIM، وعمليات الاحتيال عبر رسائل SMS، ولذلك تُصنّف إرشادات مثل NIST SP 800-63B رسائل SMS كأداة مصادقة محدودة، كما توجد بدائل أخرى مثل المكالمات الخاطفة، والمصادقة الصامتة عبر الشبكة، وتطبيقات المصادقة، ومفاتيح الأجهزة. يمكنك استخدام رمز التحقق لمرة واحدة بدون المصادقة الثنائية (تسجيل دخول أحادي العامل بدون كلمة مرور باستخدام رمز)، أو المصادقة الثنائية بدون رمز التحقق لمرة واحدة (كلمة مرور بالإضافة إلى بصمة الإصبع).
- عادةً ما يكون رمز التحقق لمرة واحدة هو العامل "الموجود"، ولكنه ليس العامل الوحيد.
- تُعتبر خاصية التحقق عبر رسائل SMS (OTP) أضعف من العوامل القائمة على التطبيقات أو الأجهزة.
- يقيد معيار NIST SP 800-63B استخدام رسائل SMS كوسيلة للمصادقة.
- يوجد كل من OTP بدون 2FA و 2FA بدون OTP.
نظرة سريعة على الفرق بين رمز التحقق لمرة واحدة والمصادقة الثنائية
| OTP | 2FA | |
|---|---|---|
| ما هو | رمز يُستخدم مرة واحدة | نموذج أمان ثنائي العوامل |
| النطاق | آلية مصادقة واحدة | سياسة تجمع بين عاملين |
| أمثلة | رمز عبر SMS، أو مكالمة صوتية، أو تطبيق | كلمة المرور + OTP، كلمة المرور + البصمة |
| طرق التسليم | SMS، وWhatsApp، والصوت، والمكالمة الخاطفة، والتطبيق | أي نوعين مستقلين من العوامل |
| العلاقة | يمكن أن يكون العامل الثاني في 2FA | قد تستخدم OTP أو لا تستخدمه |