شرح مفاتيح المرور: كيف تستبدل كلمات المرور وتقاوم التصيد الاحتيالي

يجب أن تكون كلمة المرور معروفة لك وللموقع الإلكتروني، وهذا بالضبط ما يجعل سرقتها ممكنة. أما مفتاح المرور، فقد صُمم لتجنب ذلك: فلا شيء تحتاج إلى كتابته أو تذكّره، ولا شيء يمكن لموقع مزيف جمعه وإعادة استخدامه.

إليك شرحًا لماهية مفتاح المرور، وكيفية تسجيل الدخول باستخدامه، وسبب مقاومته للتصيد الاحتيالي، وما الذي لا يزال يعتمد عليك.

ما هو مفتاح المرور

وفقًا لتحالف FIDO، وهو المجموعة الصناعية التي تقف وراء هذا المعيار، فإن مفتاح المرور هو بيانات اعتماد تتيح لك تسجيل الدخول إلى تطبيق أو موقع إلكتروني بالطريقة نفسها التي تستخدمها لفتح قفل جهازك، مثل بصمة الإصبع أو مسح الوجه أو رمز PIN أو النمط. ويرتبط المفتاح بحسابك على موقع معين، ويستبدل كلمة المرور، وفي معظم الحالات، الرمز الإضافي أيضًا.

في أساسه، يتكون مفتاح المرور من زوج من المفاتيح المشفرة. يخزن الموقع المفتاح العام، الذي لا فائدة له بمفرده، بينما يبقى المفتاح الخاص على جهازك. ويُنشأ زوج جديد لكل موقع، لذا لا يمكن إعادة استخدام مفتاح المرور عبر الخدمات بالطريقة التي يمكن بها إعادة استخدام كلمة المرور.

كيف يعمل تسجيل الدخول باستخدام مفتاح المرور

عند تسجيل الدخول، يرسل الموقع إلى جهازك تحديًا يُستخدم مرة واحدة. يطلب منك جهازك فتح قفله باستخدام بياناتك البيومترية أو رمز PIN، ثم يستخدم المفتاح الخاص لتوقيع التحدي ويرسل الرد الموقّع إلى الموقع. يتحقق الموقع من التوقيع باستخدام المفتاح العام المخزّن، ثم يسمح لك بالدخول. وتصف NCSC، الوكالة الوطنية للأمن السيبراني في المملكة المتحدة، التسلسل نفسه، حيث لا يُشارك المفتاح الخاص مطلقًا مع الموقع أو المتصفح.

تقول FIDO إنه لا تُنقل أي بيانات شخصية أو بيومترية أثناء تسجيل الدخول. ولا تُستخدم بصمة الإصبع أو مسحة الوجه إلا محليًا لفتح قفل المفتاح على جهازك.

لماذا تقاوم مفاتيح المرور التصيد الاحتيالي

يكمن الاختلاف الأساسي في أن مفتاح المرور مرتبط بنطاق الموقع الحقيقي. وتوضح NCSC أن أداة مصادقة FIDO لا تعرض إلا بيانات الاعتماد المطابقة للموقع الذي تزوره بالفعل، وأن المتصفح أو التطبيق الموثوق به هو من يجري هذا التحقق، ما يمنع الصفحة المزيفة من التأثير فيه. فلا توجد كلمة مرور أو رمز يمكن لموقع مزيّف ينتحل صفة الموقع الحقيقي سرقته.

تقارن NCSC هذا الأمر بعوامل المصادقة الثانية التقليدية، وتخلص إلى أن جميعها، بما فيها رموز تطبيقات المصادقة، عرضة للمهاجمين الذين يمررون عملية تسجيل الدخول عبر صفحة مزيفة في الوقت الفعلي، بينما بيانات اعتماد FIDO2 ليست كذلك. كما أفادت بأنه، وقت كتابة ذلك، لم تُرصد أي هجمات على مصادقة FIDO2 نفسها في الواقع، رغم أن المهاجمين يحاولون دفع المستخدمين إلى استخدام طرق احتياطية أضعف. وهذا يجعل أضعف خيار لتسجيل الدخول لا يزال مفعّلًا على الحساب أمرًا مهمًا.

مفاتيح المرور المتزامنة والمرتبطة بالجهاز

تأتي مفاتيح المرور في شكلين. يُحتفظ بنسخة احتياطية من مفتاح المرور المتزامن عبر خدمة مزامنة، ويظهر على أجهزتك الأخرى، لذا لا يؤدي فقدان أحد الأجهزة إلى فقدان إمكانية الوصول. أما مفتاح المرور المرتبط بالجهاز، مثل المفتاح المخزّن على مفتاح أمان مادي، فيبقى على ذلك الجهاز وحده ولا يمكن نسخه.

لكل منهما مفاضلاته. توصي NCSC بحماية الحساب المرتبط بخدمة المزامنة من التصيد الاحتيالي، وبالاحتفاظ بطريقة آمنة لاستعادته. وتشير إلى أن مراجعتها لخدمات المزامنة الرئيسية المقدمة مباشرة من الجهات المطورة في 2025 وجدت أنها تشترط المصادقة الثنائية لتخزين مفاتيح المرور، في حين اختلفت متطلبات خدمات الجهات الخارجية. وبالنسبة إلى مفاتيح المرور المرتبطة بالجهاز، تنصح المستخدمين بتسجيل مفتاح احتياطي، إذ لا يمكن استعادة المفتاح المفقود.

ما الذي لا تفعله مفاتيح المرور

يحمي مفتاح المرور خطوة تسجيل الدخول، لا كل ما يحيط بها. ولا يمكنه المساعدة إذا كان شخص ما يملك جهازك ويعرف رمز PIN ضعيفًا، كما تشير NCSC إلى أن استرداد الحساب غالبًا ما يكون أضعف من تسجيل الدخول نفسه، وهو أمر يستهدفه المهاجمون. ومفتاح المرور ليس أيضًا مفتاح محفظة عملات رقمية. فهو يتيح لك تسجيل الدخول إلى حساب، بينما تتحكم العبارة الأولية للمحفظة أو مفتاحها الخاص في الأموال الموجودة في محفظة ذاتية الحفظ، ولا يستطيع مفتاح المرور حماية أي منهما أو استبداله.

تذكير من WEEX: مفتاح المرور ليس عبارة أولية

تذكّر WEEX المستخدمين بأن مفتاح المرور يتيح تسجيل الدخول إلى حساب، بينما تتحكم العبارة الأولية أو المفتاح الخاص في محفظة ذاتية الحفظ. لا تكتب مطلقًا عبارة أولية في أي صفحة تطلبها منك من أجل «التحقق» من مفتاح مرور أو «استعادته»، ولا تشاركها مع أي شخص، بمن في ذلك من يدّعون أنهم من فريق الدعم. استخدم رمز PIN قويًا على أجهزتك، واحرص على تحديث خيارات استرداد حسابك، وتحقق من عنوان الموقع قبل تسجيل الدخول. لا يُعد أي مما ورد هنا نصيحة مالية.

الخلاصة

يستبدل مفتاح المرور سرًا مشتركًا بزوج من المفاتيح، لذلك لا يحتفظ الموقع بأي شيء يمكن سرقته وإعادة استخدامه، ولا يملك الموقع المزيف ما يجمعه. وهذا يجعله أحد أقوى أساليب تسجيل الدخول المتاحة للحسابات الشخصية. لكنه لا يزال يعتمد على جهاز آمن، وحساب مزامنة محمي، وطريقة جيدة لاسترداد الحساب، ولا يوفر أي حماية للعبارة الأولية للمحفظة.

الأسئلة الشائعة

1. ما هو مفتاح المرور؟
مفتاح المرور هو بيانات اعتماد من FIDO تتيح لك تسجيل الدخول إلى تطبيق أو موقع إلكتروني باستخدام البصمة أو رمز PIN أو النمط نفسه الذي تستخدمه لفتح قفل جهازك، بدلًا من كلمة المرور.

2. ما الفرق بين مفتاح المرور وكلمة المرور؟
كلمة المرور سر مشترك تكتبه ويخزنه الموقع. أما مفتاح المرور فهو زوج من المفاتيح، لا يُخزَّن على الموقع منه سوى المفتاح العام، ويُنشأ بشكل منفصل لكل حساب ويُفتح على جهازك.

3. هل يُعد مفتاح المرور مصادقة ثنائية العوامل؟
عندما يتطلب تسجيل الدخول بصمتك أو رمز PIN، فإنه يجمع بين شيء تملكه، وهو المفتاح الموجود على جهازك، وشيء تمثله أو تعرفه. تقول FIDO إن هذا يمكن أن يحل محل رمز منفصل، وتقيّمه NCSC على أنه مكافئ للمصادقة الثنائية.

4. هل يمكن التصيد الاحتيالي بمفتاح المرور؟
صُمم مفتاح المرور لمقاومة التصيد الاحتيالي لأنه مرتبط بنطاق الموقع الحقيقي. وقد يحاول المهاجمون مع ذلك دفع الحساب إلى استخدام طريقة احتياطية أضعف، لذا تظل خيارات تسجيل الدخول الأخرى في الحساب مهمة.

5. ماذا يحدث إذا فقدت الجهاز الذي يحتوي على مفتاح المرور؟
يكون مفتاح المرور المتزامن متاحًا على الأجهزة الأخرى المرتبطة بحساب المزامنة نفسه، أو يمكن استعادته عبر استرداد ذلك الحساب على جهاز جديد. أما مفتاح المرور المرتبط بالجهاز فلا يمكن نسخه، لذا يلزم وجود مفتاح احتياطي أو طريقة أخرى للاسترداد.