الهوية وكلمات المرور والتحقق بخطوتين

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1ثلاثة عوامل للمصادقة

تثبت هويتك بواحد أو أكثر من ثلاثة: شيء تعرفه (كلمة مرور، رقم سري)، وشيء تملكه (جوال، مفتاح أمان)، وشيء أنت هو (بصمة، وجه). التحقق بخطوتين (MFA) يجمع عاملين مختلفين؛ كلمتا مرور ليستا MFA لأنهما من النوع نفسه.

2ما الذي يجعل كلمة المرور قوية؟

المهاجم لا يخمّن بيده؛ يجرّب مليارات الاحتمالات في الثانية إذا سرق ملف كلمات مرور مجزّأة بدالة سريعة. القوة تعتمد على عدد الاحتمالات، والطول يرفعها أسرع من إضافة الرموز. جرّب بنفسك:

لاحظ أن 16 حرفًا صغيرًا فقط تتفوق على 8 أحرف مختلطة. غيّر الأرقام وشغّل.

import math

def bits(length, alphabet):
    return length * math.log2(alphabet)

print(f"8 chars, letters+digits+symbols: {bits(8, 95):.0f} bits")
print(f"16 chars, lowercase only:        {bits(16, 26):.0f} bits")
print(f"5 random Diceware words:          {bits(5, 7776):.0f} bits")

guesses_per_second = 1e11
for name, b in [("8 mixed", bits(8, 95)), ("5 words", bits(5, 7776))]:
    years = 2 ** (b - 1) / guesses_per_second / 3.156e7
    print(f"{name}: about {years:,.2f} years on average")

3التحقق بخطوتين ومفاتيح المرور

ليست كل طرق التحقق بالقوة نفسها. رسائل SMS أفضل من لا شيء لكنها تُسرق بتبديل الشريحة والتصيّد. تطبيق المصادقة أقوى. الإشعار مع مطابقة رقم يمنع الموافقة العشوائية حين يغرقك المهاجم بالطلبات. ومفاتيح المرور (Passkeys) المبنية على FIDO2 هي الوحيدة المقاومة للتصيّد: مفتاح خاص يبقى في جهازك ولا يُرسل أبدًا، ومربوط بنطاق الموقع.

4كيف يخزّن الخادم كلمات المرور

الموقع المحترم لا يعرف كلمة مرورك. يخزّن بصمتها بدالة بطيئة عمدًا مثل Argon2id أو bcrypt، ويضيف قبلها ملحًا: قيمة عشوائية فريدة لكل مستخدم. البطء يجعل التخمين مكلفًا، والملح يجعل كلمتين متطابقتين تعطيان بصمتين مختلفتين ويُبطل الجداول المحسوبة مسبقًا.

وعلى مستوى المؤسسة: الدخول الموحّد (SSO) يعني حسابًا واحدًا قويًا بتحقق بخطوتين بدل عشرات الحسابات الضعيفة، وأقل صلاحية يعني ألا يملك أحد صلاحية مدير إلا وقت الحاجة.

مثال محلول

المسألة: موقع يخزّن كلمات المرور بـ SHA-256 دون ملح. ما المشكلة وما الإصلاح؟

الحل: SHA-256 سريعة جدًا، فإذا سُرقت قاعدة البيانات جرّب المهاجم مليارات التخمينات في الثانية. وغياب الملح يعني أن كلمات المرور المتطابقة لها بصمة متطابقة، وأن الجداول المحسوبة مسبقًا تنفع. الإصلاح: Argon2id أو bcrypt بملح فريد لكل مستخدم، وإعادة تجزئة كل كلمة مرور عند دخول صاحبها التالي، وفرض إعادة التعيين إن كان هناك تسريب.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك