فاتيح المرور هي بيانات اعتماد WebAuthn/FIDO2 تحل محل كلمات المرور ورموز التحقق لمرة واحدة باستخدام تشفير المفتاح العام المرتبط بالجهاز، مما يضمن عدم إدخال أو إرسال أي بيانات قابلة للاحتيال. في عام 2026، ستحل مفاتيح المرور محل رموز التحقق لمرة واحدة عبر رسائل SMS لتسجيل الدخول إلى الحساب، بينما ستبقى رسائل SMS كخيار احتياطي وقناة لإعادة التحقق في حال استمرار قصور تغطية مفاتيح المرور، أو استعادة الحساب، أو تسجيل الدخول عبر الأجهزة.
ما هو مفتاح المرور فعليًا؟
مفتاح المرور هو بيانات اعتماد مُحددة وفقًا لمعيار مصادقة الويب (WebAuthn) الصادر عن اتحاد شبكة الويب العالمية (W3C) ومواصفات FIDO2 الصادرة عن تحالف FIDO. عند تسجيل المستخدم، يُنشئ الجهاز زوجًا من المفاتيح: مفتاح عام ومفتاح خاص. لا يغادر المفتاح الخاص جهاز المصادقة (هاتف، أو حاسوب محمول، أو مفتاح مادي) ويتم فتحه باستخدام بيانات بيومترية محلية أو رمز PIN. أما المفتاح العام، فيُخزنه الموقع الإلكتروني. عملية تسجيل الدخول عبارة عن تحدٍّ واستجابة تشفيرية، لذا لا يوجد سر مشترك يمكن سرقته أو انتحاله أو إعادة استخدامه.
يوجد نوعان. النوع الأول هو مفاتيح المرور المتزامنة التي تنتقل بين أجهزة المستخدم عبر سلسلة مفاتيح النظام الأساسي، مما يحل مشكلة فقدان المفاتيح واستعادتها التي كانت تعيق استخدام مفاتيح الأجهزة. أما النوع الثاني فهو مفاتيح المرور المرتبطة بالجهاز، والتي تبقى على جهاز مصادقة واحد وتناسب حالات الأمان العالية. كلا النوعين مقاومان للتصيد الاحتيالي لأن بيانات الاعتماد مشفرة ومخصصة للموقع الذي أُنشئت من أجله تحديدًا، ولن تُتاح لأي نطاق مشابه.
لماذا تخلت الصناعة عن رسائل التحقق لمرة واحدة عبر رسائل SMS
تعاني رموز التحقق لمرة واحدة عبر رسائل SMS من خلل بنيوي: فالسر عبارة عن رمز قصير يمكن خداع الإنسان للكشف عنه، ولم يُصمم نظام النقل أصلاً ليكون مقاومًا للتصيد الاحتيالي. وقد تضافرت عدة عوامل لدفع أنظمة نقل البيانات عالية الأمان بعيدًا عن هذا الأسلوب.
- يصنف معيار NIST SP 800-63-4، الذي تم الانتهاء منه في يوليو 2025، رموز المرور لمرة واحدة عبر رسائل SMS على أنها أداة مصادقة مقيدة لا تفي، بمفردها، بمتطلبات المصادقة AAL2 المقاومة للتصيد الاحتيالي.
- يضع تحالف FIDO مفاتيح المرور على أنها مقاومة للتصيد الاحتيالي بحكم تصميمها، لأنه لا يمكن إصدار بيانات الاعتماد إلى مصدر احتيالي.
- تتيح عمليات الاحتيال عن طريق تبديل شريحة SIM واعتراض رمز التحقق لمرة واحدة للمهاجمين الحصول على رموز دون الحاجة إلى جهاز الضحية على الإطلاق - وهو تهديد تزيله مفاتيح المرور بشكل هيكلي.
- أدى ضخ رسائل SMS (حركة الرسائل المتضخمة بشكل مصطنع) إلى تحويل كل عملية إرسال رمز التحقق لمرة واحدة إلى سطح هجوم قابل للفوترة، مما أضاف حافزًا مباشرًا للتكلفة لتقليل حجم رمز التحقق لمرة واحدة.
مفاتيح المرور مقابل رموز التحقق لمرة واحدة عبر رسائل SMS، جنبًا إلى جنب
| الأبعاد | رمز التحقق عبر رسائل SMS | مفتاح المرور (WebAuthn/FIDO2) |
|---|---|---|
| عارضة أزياء سرية | رمز مشترك، تم إدخاله بواسطة الإنسان | المفتاح الخاص، لم يتم إرساله مطلقًا |
| مقاومة التصيد الاحتيالي | يمكن أن تتعرض التعليمات البرمجية المنخفضة للهندسة الاجتماعية | شهادة عالية مرتبطة بالأصل |
| التعرض لتبادل شريحة SIM | مُعَرَّض | غير قابل للتطبيق - لا يوجد اعتماد على رقم الهاتف |
| احتكاك المستخدم | انتظر، اقرأ، واكتب رمزًا | بصمة واحدة/إيماءة رمز PIN |
| يصل | عالمي - أي جهاز محمول مزود بإشارة | يتطلب جهازًا مسجلاً ومتوافقًا |
| أفضل دور | التراجع والاستعادة وإعادة التحقق | تسجيل الدخول إلى الحساب الرئيسي |
يكمن التحدي في المفاضلة بين سهولة الوصول ومقاومة الاختراق. فكلمة المرور أقوى، لكنها تتطلب من المستخدم تسجيل جهاز متوافق وأن يكون الجهاز في متناول يده؛ أما رسائل SMS فتصل إلى أي هاتف متصل بشبكة، لكنها تعاني من نقاط الضعف المذكورة سابقًا. هذا الاختلاف هو تحديدًا سبب تعايش الوسيلتين بدلًا من أن تحل إحداهما محل الأخرى تمامًا.
ما الذي لا تزال رسائل SMS تفعله في عالم مفاتيح المرور؟
إزالة رمز التحقق عبر رسائل SMS من تسجيل الدخول الأساسي لا يعني إزالة رسائل SMS من النظام. بل يتحول دورها من كونها بيانات اعتماد إلى دعم دورة حياة بيانات الاعتماد وتغطية الحالات التي لا تستطيع فيها كلمات المرور القيام بذلك.
- استعادة الحساب - عندما يفقد المستخدم كل جهاز يحتوي على مفتاح المرور، فإن رقم الهاتف الذي تم التحقق منه هو مسار استعادة شائع ومفهوم جيدًا للعودة إلى الحساب.
- التمهيد عبر الأجهزة - يساعد تأكيد رقم الهاتف في إنشاء جهاز جديد قبل تسجيل مفتاح المرور عليه.
- حل بديل للمستخدمين غير المسجلين - المستخدمين الذين لم يقوموا بإنشاء مفتاح مرور بعد، أو الذين يستخدمون جهازًا مستعارًا، ما زالوا بحاجة إلى مسار تسجيل دخول فعال.
- التحقق التصاعدي وإعادة التحقق - إشارة ثانية لإجراء محفوف بالمخاطر، يتم وضعها فوق مفتاح المرور بدلاً من استبداله.
- الإشعارات والتنبيهات المتعلقة بالمعاملات - تحديثات التسليم، وتنبيهات الاحتيال، والتأكيدات التي لم تكن في الأصل عملية مصادقة.
تقوم حزمة BroadNet OTP والتحقق بتشغيل مصادقة الشبكة الصامتة أولاً مع الرجوع التلقائي إلى رسائل SMS، لذلك عندما لا تزال بحاجة إلى عامل رقم الهاتف - الاسترداد أو التمهيد أو الترقية - ستحصل على فحص شبكة مقاوم للتصيد الاحتيالي حيث يدعمه المشغّلون ووصول مضمون لرسائل SMS في كل مكان آخر، من خلال تكامل واحد.
كيفية ترتيب عملية الترحيل
صنّف تدفقات البيانات حسب مستوى الأمان المطلوب أولاً. انقل تسجيل الدخول الأساسي للحسابات الحساسة إلى كلمات مرور، واحتفظ برقم الهاتف كعامل استعادة للمستخدمين غير المسجلين، وتعامل مع الرسائل النصية القصيرة (SMS) كدور ذي مستوى أمان أقل وفقًا للمعايير الحالية، وليس كبوابة رئيسية. إذا كنت لا تزال في مرحلة تصميم طبقة رقم الهاتف، فإن إجابتنا حول ما هو رمز التحقق لمرة واحدة توضح الخيارات، والتحقق من الرقم تشرح البديل الشبكي للرموز، كما أن حل التحقق الجاهز من BroadNet MyOTP يتولى عملية التسليم الاحتياطية، مما يتيح لك التركيز على نشر كلمات المرور.
الأسئلة الشائعة
هل تُغني مفاتيح المرور تمامًا عن رموز التحقق لمرة واحدة التي تُرسل عبر رسائل SMS؟
ليس تمامًا. تحلّ مفاتيح المرور محلّ رمز التحقق لمرة واحدة عبر رسائل SMS لتسجيل الدخول الأساسي، لكن رسائل SMS تحتفظ بدورها في استعادة الحساب، والتشغيل عبر الأجهزة، والتحقق التدريجي، والوصول إلى المستخدمين الذين لم يُسجّلوا مفتاح مرور. في عام 2026، سيكون النمط الواقعي هو المصادقة باستخدام مفتاح المرور أولًا، مع الاحتفاظ برقم الهاتف كخيار احتياطي ذي مستوى أمان أقل بدلًا من كونه بيانات الاعتماد الرئيسية.
هل مفاتيح المرور مقاومة لعمليات التصيد الاحتيالي؟
نعم. يرتبط مفتاح المرور تشفيرياً بالمصدر الذي أُنشئ من أجله تحديداً، لذا لن يُفصح عن توقيعه لموقع مُقلّد أو مُزيّف - وبذلك تُزال الآلية التي تُسهّل هجمات التصيّد الاحتيالي وهجمات الوسيط. يُصمّم تحالف FIDO وW3C WebAuthn مفاتيح المرور لتكون مقاومة للتصيّد الاحتيالي بطبيعتها، على عكس رمز التحقق لمرة واحدة عبر رسائل SMS.
ماذا يحدث لرمز التحقق المرسل عبر رسائل SMS لاستعادة الحساب؟
يبقى هذا الأمر شائعًا. عندما يفقد المستخدم جميع الأجهزة التي تحتوي على كلمات المرور الخاصة به، يُعدّ رقم الهاتف المُؤكّد مسبقًا وسيلةً شائعةً لاستعادة البيانات. يكمن التغيير الرئيسي في النطاق: تُستخدم رسائل SMS لإعادة إنشاء الوصول بعد إجراء فحوصات إضافية، وليس كعامل تسجيل دخول يومي، لذا فإنّ تعرّضها لعمليات التصيّد الاحتيالي والاحتيال عبر الإنترنت يقتصر على نطاق ضيق وخاضع للمراقبة.
هل لا يزال المعهد الوطني للمعايير والتكنولوجيا (NIST) يسمح باستخدام رسائل SMS للمصادقة؟
يُسمح باستخدام رسائل SMS، ولكن بشروط. يُصنّف معيار NIST SP 800-63-4 (الذي أُقرّ نهائيًا في يوليو 2025) رموز المرور لمرة واحدة عبر رسائل SMS كأداة مصادقة محدودة لا تفي بمعيار AAL2 المقاوم للتصيّد الاحتيالي بمفردها. مع ذلك، يُمكن استخدامها كعامل أمان أقل أو كخيار احتياطي، وهو الدور الذي تحتفظ به تحديدًا إلى جانب مفاتيح المرور.
مراجع
- تحالف FIDO - نظرة عامة على Passkeys: fidoalliance.org
- W3C — مصادقة الويب (WebAuthn) المستوى 3: w3.org
- المعهد الوطني للمعايير والتكنولوجيا (NIST) - إرشادات الهوية الرقمية SP 800-63-4 (النسخة النهائية، يوليو 2025): csrc.nist.gov
- IETF — RFC 6238، TOTP: خوارزمية رمز التحقق لمرة واحدة المستندة إلى الوقت: datatracker.ietf.org