شرح Google Authenticator: كيف تعمل رموز المصادقة الثنائية (2FA)
كل 30 ثانية أو نحو ذلك، يتغير رقم قصير على هاتفك، ويعرف موقع إلكتروني لم تعرض عليه هاتفك قط بطريقة ما ما يجب أن يكون عليه الرقم الجديد. يبدو الأمر أشبه بالسحر، لكنه في الحقيقة حيلة بسيطة تعتمد على سر مشترك.
هكذا يعمل Google Authenticator والتطبيقات المشابهة. إليك كيفية إنشاء الرموز، وسبب عملها من دون اتصال بالإنترنت، وعلاقة التطبيق بميزة التحقّق بخطوتين الخاصة بـ Google، وما الذي يمكنه حمايته وما لا يمكنه حمايته.
كيفية إنشاء الرموز
عندما تضيف حسابًا إلى تطبيق مصادقة، تمنحك الخدمة سرًا، عادةً على شكل رمز QR أو مفتاح إعداد، ويخزّنه التطبيق. ومنذ ذلك الحين، تحتفظ الخدمة وهاتفك بالسر نفسه. ولإنشاء رمز، يدمج التطبيق ذلك السر مع الوقت الحالي، وتجري الخدمة العملية الحسابية نفسها من جانبها. إذا تطابقت النتيجتان، يُقبل الرمز.
هذه الطريقة معيار منشور يُسمى TOTP، وهو اختصار لعبارة «كلمة مرور لمرة واحدة قائمة على الوقت»، وقد عُرّف في IETF RFC 6238. وهو يستند إلى طريقة أقدم قائمة على العداد، ويستبدل العداد بقيمة مشتقة من الوقت. وينص المعيار على أن التطبيق والخدمة يجب أن يستخدما الفترة الزمنية نفسها، ويوصي بأن تكون المدة الافتراضية 30 ثانية، ولهذا يتجدد الرمز عادةً مرتين في الدقيقة تقريبًا.
لماذا يعمل من دون اتصال بالإنترنت
يُحسب الرمز على هاتفك باستخدام السر المخزّن وساعة الهاتف، لذلك لا حاجة إلى إرسال أي شيء إلى الهاتف. وتشير صفحة تطبيق Google نفسها إلى أنه يمكن إنشاء الرموز حتى من دون اتصال بالشبكة أو بشبكة الهاتف المحمول. ولا تحتاج الخدمة إلا إلى إجراء العملية الحسابية نفسها عند إدخالك الرمز.
والنتيجة هي أن الوقت مهم. فإذا كان الوقت على هاتفك بعيدًا كثيرًا عن الوقت الفعلي، فلن تتطابق العمليتان الحسابيتان وسيُرفض الرمز، رغم أن التطبيق يعمل كما ينبغي.
علاقته بميزة التحقّق بخطوتين الخاصة بـ Google
من السهل الخلط بين الأمرين. التحقّق بخطوتين ميزة في حساب Google تطلب خطوة ثانية عند تسجيل الدخول. أما Google Authenticator فهو تطبيق يمكنه توفير تلك الخطوة، ويمكنه أيضًا، وفقًا لـ Google، إنشاء رموز لمواقع وتطبيقات أخرى تدعم التحقّق باستخدام تطبيقات المصادقة. وتتبع عدة تطبيقات مصادقة أخرى المعيار نفسه، لذا فالرموز نفسها ليست مرتبطة بشركة واحدة.
يمكنك استخدام التطبيق سواء أكان لديك حساب Google أم لا. يتيح لك تسجيل الدخول مزامنة رموزك عبر أجهزتك، وتقول Google إنه يمكنك نقلها يدويًا إلى جهاز جديد حتى من دون حساب. وتعتمد الرموز المتزامنة على حساب Google هذا، لذا تصبح حماية الحساب نفسه أكثر أهمية. كما تقترح Google إعداد وسائل إضافية للتحقّق بخطوتين حتى لا تفقد إمكانية الوصول إلى حسابك.
ما الذي يحميه، وما الذي لا يحميه
وفقًا لـ CISA، تُعد الرموز الصادرة عن تطبيقات المصادقة أفضل من الرسائل النصية، لكنها تظل عرضة للتصيّد الاحتيالي. فقد تلتقط صفحة تسجيل دخول مزيفة ومقنعة الرمز أثناء كتابتك له وتستخدمه فورًا، ولا تقاوم ذلك إلا الأساليب القائمة على FIDO، مثل مفاتيح الأمان ومفاتيح المرور. والتحقق من عنوان الموقع قبل إدخال الرمز جزء من الحماية.
والسر الذي تقوم عليه رموزك حساس أيضًا. فكل من لديه رمز QR أو مفتاح الإعداد يمكنه إنشاء الرموز نفسها، لذا ينبغي التعامل مع لقطة الشاشة كما لو كانت كلمة مرور. كما يحمي تطبيق المصادقة الحسابات التي تسجّل الدخول عبر خدمة ما، لكنه لا يستطيع حماية العبارة الأولية لمحفظة أو مفتاحها الخاص.
تذكير من WEEX: تعامل مع مفتاح الإعداد كما تتعامل مع كلمة مرور
تذكّر WEEX المستخدمين بألا يشاركوا مطلقًا رمزًا لمرة واحدة أو رمز QR أو مفتاح إعداد مع أي شخص، بمن فيهم من يدّعون أنهم من فريق الدعم، إذ إن الخدمة الحقيقية لا تحتاج إليها أبدًا. تحقّق من عنوان الموقع قبل إدخال أي رمز، واحتفظ بأي مفتاح احتياطي أو رموز احتياطية في مكان آمن وغير متصل بالإنترنت، لا في لقطة شاشة أو ملاحظة محفوظة على السحابة. لا يُعد أي مما ورد هنا نصيحة مالية.
الخلاصة
ينشئ Google Authenticator رمزًا قصير الأجل باستخدام سر مشترك مع الخدمة والوقت الحالي، ولهذا يعمل دون اتصال بالإنترنت، ولهذا أيضًا تكتسب الساعة أهميتها. إنه تطبيق من بين عدة تطبيقات تستخدم المعيار نفسه؛ وهو أفضل من الرسائل النصية، لكنه يظل عرضة للتصيّد، كما أن سر الإعداد الخاص به يستحق العناية نفسها التي توليها لكلمة المرور. وعند استخدامه إلى جانب كلمات مرور قوية وعادات حذرة، يجعل الاستيلاء على الحساب أصعب.
الأسئلة الشائعة
1. ما هو Google Authenticator؟
إنه تطبيق ينشئ رموزًا لمرة واحدة تُستخدم كخطوة ثانية عند تسجيل الدخول إلى حسابات Google ومواقع وتطبيقات أخرى تدعم التحقّق باستخدام تطبيقات المصادقة.
2. كيف ينشئ Google Authenticator الرموز من دون إنترنت؟
يحسبها على هاتفك باستخدام سر مخزّن والوقت الحالي. وتجري الخدمة العملية الحسابية نفسها للتحقق من الرمز، لذلك لا حاجة إلى إرسال أي شيء إلى هاتفك.
3. هل أحتاج إلى حساب Google لاستخدام Google Authenticator؟
لا. تقول Google إنه يمكنك استخدامه من دون حساب. يتيح لك تسجيل الدخول مزامنة رموزك عبر الأجهزة، ويمكنك نقلها يدويًا إلى جهاز جديد إذا لم يكن لديك حساب.
4. هل Google Authenticator هو نفسه التحقّق بخطوتين من Google؟
لا. التحقّق بخطوتين ميزة في حساب Google، والتطبيق إحدى طرق توفير الخطوة الثانية. ويعمل التطبيق أيضًا مع مواقع أخرى تدعم رموز تطبيقات المصادقة.
5. هل Google Authenticator أكثر أمانًا من رموز SMS؟
وفقًا لـ CISA، تُعد رموز تطبيقات المصادقة أفضل من الرسائل النصية، لكنها تظل عرضة للتصيّد. وتوفر مفاتيح الأمان ومفاتيح المرور حماية أقوى من التصيّد.
الرابحون
