شهد العالم الرقمي تطوراً كبيراً في طرق حماية الحسابات الشخصية وتأمين البيانات، وأصبحت كلمات المرور التقليدية تواجه تحديات متزايدة بسبب سهولة تخمين بعضها، وإعادة استخدامها في مواقع مختلفة، وظهور أساليب احتيال إلكتروني تستهدف سرقة بيانات تسجيل الدخول.
ومع توسع استخدام الخدمات الرقمية والتطبيقات والمنصات الإلكترونية، ظهرت تقنيات جديدة تهدف إلى جعل تسجيل الدخول أكثر سهولة وأماناً. ومن أبرز هذه التقنيات مفاتيح المرور المعروفة باسم Passkeys، وهي وسيلة حديثة للمصادقة الرقمية تسمح للمستخدم بالدخول إلى حساباته دون الحاجة إلى كتابة كلمة مرور في كل مرة.
تعتمد هذه التقنية على مفاتيح تشفير رقمية مرتبطة بالجهاز والموقع الإلكتروني، ويمكن تأكيد الهوية باستخدام بصمة الإصبع أو التعرف على الوجه أو رمز قفل الجهاز. وهذا يفتح الباب أمام تغيير مهم في الطريقة التي نتعامل بها مع الحسابات الإلكترونية خلال السنوات القادمة.
لماذا أصبحت كلمات المرور التقليدية مشكلة في العالم الرقمي؟
ظلت كلمات المرور لسنوات طويلة الوسيلة الأساسية لحماية الحسابات الإلكترونية، سواء في البريد الإلكتروني أو شبكات التواصل الاجتماعي أو المتاجر الرقمية أو الخدمات المصرفية. ورغم انتشارها وسهولة فهم طريقة عملها، فإنها تعتمد بشكل كبير على سلوك المستخدم وقدرته على إنشاء كلمات مرور قوية وتذكرها.
تظهر المشكلة عندما يستخدم الشخص كلمة المرور نفسها في عدة مواقع، أو يختار كلمات سهلة التخمين، أو يحتفظ بها في أماكن غير آمنة. فإذا تعرض أحد المواقع لاختراق وتسربت بيانات تسجيل الدخول، فقد يحاول المهاجمون استخدام المعلومات نفسها للوصول إلى حسابات أخرى.
إعادة استخدام كلمات المرور
يجد كثير من المستخدمين صعوبة في تذكر عشرات كلمات المرور المختلفة، لذلك يلجؤون أحياناً إلى استخدام كلمة واحدة في أكثر من خدمة. ويؤدي هذا السلوك إلى زيادة المخاطر، لأن اختراق حساب واحد قد يفتح المجال لمحاولات الدخول إلى حسابات أخرى.
التصيد الإلكتروني وسرقة البيانات
تعتمد هجمات التصيد الإلكتروني على إنشاء صفحات مزيفة تشبه المواقع الأصلية بهدف إقناع المستخدم بإدخال بياناته الشخصية. وقد تبدو هذه الصفحات مشابهة جداً للخدمة الحقيقية، مما يجعل اكتشاف الخداع أمراً صعباً في بعض الحالات.
كما أن كلمات المرور قد تتعرض للسرقة نتيجة البرمجيات الضارة أو تسريب قواعد البيانات أو الخداع عبر الرسائل الإلكترونية.
ما هي تقنية Passkeys؟
Passkeys أو مفاتيح المرور هي وسيلة حديثة لتسجيل الدخول إلى المواقع والتطبيقات دون الحاجة إلى إدخال كلمة مرور تقليدية. وتعتمد على التشفير بالمفتاح العام والخاص، وهي تقنية مبنية على معايير FIDO2 وWebAuthn.
عندما ينشئ المستخدم مفتاح مرور لحسابه، يقوم الجهاز أو مدير بيانات الاعتماد بإنشاء زوج من المفاتيح الرقمية المرتبطة بذلك الحساب:
- المفتاح الخاص: يبقى محفوظاً بصورة آمنة على جهاز المستخدم أو داخل مدير مفاتيح المرور، ولا يُرسل إلى الموقع الإلكتروني.
- المفتاح العام: يُرسل إلى الموقع أو التطبيق ليتمكن من التحقق من صحة عملية تسجيل الدخول.
وبذلك لا يحتاج الموقع إلى تخزين كلمة مرور المستخدم بالطريقة التقليدية، بل يحتفظ بالمفتاح العام الذي يساعده على التحقق من هوية صاحب الحساب.
كيف تعمل مفاتيح المرور Passkeys؟
قد تبدو التقنية معقدة من الناحية التقنية، لكن استخدامها بسيط بالنسبة للمستخدم العادي. فعوضاً عن كتابة كلمة المرور، يمكن تأكيد الهوية باستخدام وسيلة فتح الجهاز المعتادة.
المرحلة الأولى: إنشاء مفتاح المرور
عند زيارة موقع يدعم Passkeys، يمكن للمستخدم اختيار إنشاء مفتاح مرور جديد من إعدادات الحساب. بعد ذلك يتولى الجهاز إنشاء زوج المفاتيح الرقمية وتسجيل المفتاح العام لدى الخدمة.
يتم حفظ المفتاح الخاص بطريقة آمنة، وقد يكون مرتبطاً بالجهاز نفسه أو قابلاً للمزامنة عبر مدير كلمات المرور المتوافق.
المرحلة الثانية: تسجيل الدخول
عندما يعود المستخدم إلى الموقع، يمكنه اختيار تسجيل الدخول باستخدام مفتاح المرور. يرسل الموقع تحدياً رقمياً إلى الجهاز، ثم يستخدم الجهاز المفتاح الخاص لإثبات امتلاك بيانات الاعتماد الصحيحة بعد موافقة المستخدم.
يقوم الموقع بالتحقق من التوقيع الرقمي باستخدام المفتاح العام المسجل لديه. وإذا كانت العملية صحيحة، يسمح للمستخدم بالدخول إلى الحساب.
المرحلة الثالثة: تأكيد هوية المستخدم
قد يطلب الجهاز استخدام بصمة الإصبع أو التعرف على الوجه أو رمز PIN الخاص بقفل الشاشة. وتُستخدم هذه الوسائل للسماح باستعمال مفتاح المرور المحفوظ، وليس لإرسال بيانات البصمة أو صورة الوجه إلى الموقع.
ما الفرق بين كلمات المرور التقليدية وتقنية Passkeys؟
يكمن الاختلاف الأساسي بين الطريقتين في كيفية إثبات هوية المستخدم. فكلمات المرور تعتمد على سر يجب على المستخدم تذكره وإدخاله، بينما تعتمد مفاتيح المرور على عملية تشفير رقمية تتم بين الجهاز والخدمة الإلكترونية.
| وجه المقارنة | كلمات المرور | Passkeys |
|---|---|---|
| طريقة تسجيل الدخول | كتابة كلمة المرور | تأكيد الهوية عبر الجهاز |
| الحفظ | تُحفظ لدى الخدمة بصيغة آمنة مثل التجزئة | يُحفظ المفتاح العام لدى الخدمة |
| مقاومة التصيد | يمكن سرقتها عبر صفحات مزيفة | مرتبطة بالموقع الأصلي |
| سهولة الاستخدام | تتطلب التذكر والإدخال | تستخدم وسائل فتح الجهاز |
| إعادة الاستخدام | قد يستخدم الشخص الكلمة نفسها في مواقع متعددة | لكل خدمة مفتاح مرور خاص بها |
| الأمان | يعتمد على قوة كلمة المرور وطريقة حمايتها | يعتمد على التشفير وحماية الجهاز |
ما أهم مميزات Passkeys؟
1. حماية أفضل من هجمات التصيد
من أهم مزايا مفاتيح المرور أنها مرتبطة بالموقع أو التطبيق الذي أُنشئت من أجله. لذلك لا يمكن استخدام المفتاح بصورة طبيعية على موقع مزيف ينتحل هوية الموقع الأصلي. ويساعد هذا الارتباط على تقليل فرص سرقة بيانات تسجيل الدخول عبر صفحات التصيد.
2. عدم الحاجة إلى تذكر كلمات المرور
لم يعد المستخدم مضطراً إلى إنشاء كلمات مرور طويلة وتذكر مجموعة كبيرة منها. إذ يمكنه استخدام وسيلة فتح الجهاز المعتادة لإتمام عملية المصادقة، مما يجعل تجربة الدخول إلى الحسابات أكثر سهولة.
3. تقليل مخاطر تسريب بيانات تسجيل الدخول
بما أن الموقع يحتفظ بالمفتاح العام بدلاً من المفتاح الخاص، فإن تسريب قاعدة البيانات لا يمنح المهاجم المفتاح الخاص اللازم لإثبات الهوية. وهذا يقلل من قيمة بيانات المصادقة المسروقة مقارنة بقواعد بيانات كلمات المرور التقليدية.
4. إمكانية المزامنة بين الأجهزة
تسمح بعض الأنظمة بمزامنة مفاتيح المرور بين الأجهزة المرتبطة بالحساب نفسه، باستخدام خدمات متخصصة ومديري كلمات مرور متوافقين. وهذا يعني أن المستخدم يستطيع الوصول إلى مفاتيحه عند الانتقال إلى هاتف أو حاسوب جديد، وفقاً لنظام المزامنة المستخدم.
5. حماية الخصوصية البيومترية
عندما يستخدم الشخص بصمة الإصبع أو التعرف على الوجه، تتم معالجة البيانات البيومترية محلياً على الجهاز. ولا يحتاج الموقع الإلكتروني إلى الحصول على صورة الوجه أو بيانات البصمة، بل يتلقى تأكيداً بأن عملية التحقق المحلية تمت بنجاح.
هل يمكن استخدام Passkeys على الهواتف والحواسيب؟
نعم، تدعم أنظمة تشغيل ومتصفحات حديثة تقنية مفاتيح المرور، وأصبحت متاحة ضمن منظومات مختلفة، مثل Android وiOS وWindows وmacOS، إضافة إلى المتصفحات المتوافقة مع معايير WebAuthn.
وتوفر الشركات أدوات مختلفة لإدارة هذه المفاتيح، ومن أبرز الأمثلة:
- Google Password Manager: يساعد مستخدمي أجهزة Android ومتصفح Chrome على حفظ مفاتيح المرور وإدارتها ومزامنتها عبر الحسابات والأجهزة المتوافقة.
- Apple iCloud Keychain: يوفر إمكانية حفظ مفاتيح المرور ومزامنتها بين أجهزة Apple المدعومة.
- Windows: يدعم استخدام وسائل المصادقة المتوافقة، بما في ذلك خيارات مرتبطة بأمان الجهاز.
- مديرو كلمات المرور المستقلون: توفر بعض التطبيقات المتخصصة إمكانية إدارة مفاتيح المرور عبر منصات متعددة.
وقد تختلف طريقة الاستخدام والتوافق بحسب إصدار النظام والمتصفح والخدمة التي يريد المستخدم تسجيل الدخول إليها.
ماذا يحدث إذا فقد المستخدم هاتفه؟
يعد فقدان الهاتف أو تغييره من الأسئلة المهمة المتعلقة بمستقبل مفاتيح المرور. فماذا يحدث إذا كان مفتاح المرور محفوظاً على جهاز لم يعد متاحاً؟
تعتمد الإجابة على طريقة تخزين المفتاح. فإذا كان من النوع القابل للمزامنة، فقد يتمكن المستخدم من استعادته على جهاز جديد بعد تسجيل الدخول إلى مدير مفاتيح المرور وإتمام إجراءات التحقق المطلوبة.
أما إذا كان المفتاح مرتبطاً بجهاز واحد فقط، فقد يحتاج المستخدم إلى وسيلة بديلة للدخول إلى الحساب، مثل مفتاح أمان احتياطي أو طريقة استرداد يوفرها الموقع.
لهذا السبب، من المهم عدم الاعتماد على جهاز واحد فقط في حماية الحسابات المهمة، والاحتفاظ بوسائل استرداد آمنة وتحديث معلومات الاستعادة بصورة منتظمة.
هل تقنية Passkeys آمنة تماماً؟
تقدم مفاتيح المرور مستوى متقدماً من الحماية، خصوصاً ضد التصيد الإلكتروني وإعادة استخدام كلمات المرور، لكنها لا تعني اختفاء جميع المخاطر الرقمية.
فقد يتعرض المستخدم لمشكلات إذا تمكن شخص آخر من الوصول إلى جهازه المفتوح، أو استطاع التحكم في حسابه المستخدم لمزامنة المفاتيح، أو استغل ضعف إجراءات استرداد الحساب.
كما أن فقدان الوصول إلى الأجهزة أو الحسابات المرتبطة بمدير مفاتيح المرور قد يسبب صعوبة في استعادة بعض الحسابات.
أهمية حماية الجهاز نفسه
تعتمد سلامة مفاتيح المرور جزئياً على حماية الهاتف أو الحاسوب الذي يحتفظ بها. لذلك ينبغي استخدام رمز قفل قوي، وتثبيت تحديثات النظام، وتجنب ترك الأجهزة مفتوحة دون مراقبة.
ضرورة وجود وسائل استرداد موثوقة
يجب التأكد من توفر خيارات استرداد الحساب قبل الاعتماد على مفاتيح المرور وحدها. وتختلف هذه الخيارات من خدمة إلى أخرى، لذلك يستحسن مراجعة إعدادات الأمان الخاصة بكل حساب.
هل ستختفي كلمات المرور نهائياً؟
من الصعب تحديد موعد نهائي لاختفاء كلمات المرور، لأن الانتقال إلى أي تقنية جديدة يحتاج إلى وقت وتحديثات من الشركات والمواقع والتطبيقات.
هناك خدمات بدأت بالفعل في دعم تسجيل الدخول باستخدام Passkeys، بينما لا تزال خدمات أخرى تعتمد على كلمات المرور أو توفر الطريقتين معاً.
ومن المتوقع أن يستمر استخدام الأساليب التقليدية والحديثة بالتوازي خلال مرحلة الانتقال، خاصة أن بعض الأنظمة القديمة والأجهزة والخدمات لا تزال تحتاج إلى وسائل المصادقة السابقة.
وقد تصبح مفاتيح المرور خياراً أساسياً في المزيد من الخدمات الرقمية مع توسع دعمها وتحسن تجربة استخدامها وإدارة استرداد الحسابات.
ما دور Google وApple وMicrosoft في انتشار هذه التقنية؟
تؤدي الشركات التقنية الكبرى دوراً مهماً في نشر معايير المصادقة الحديثة. فقد عملت Google على دعم مفاتيح المرور في خدماتها وأدواتها للمطورين، كما توفر Apple دعماً لها عبر أنظمة التشغيل وخدمة iCloud Keychain.
وتدعم Microsoft بدورها تقنيات المصادقة الحديثة ضمن بيئة Windows وخدماتها. ويساعد تعاون هذه الشركات مع تحالف FIDO على توحيد المعايير وتحسين التوافق بين الأجهزة والمتصفحات المختلفة.
ويعد اعتماد معايير مشتركة أمراً مهماً، لأنه يقلل اعتماد المستخدم على نظام واحد ويجعل تجربة تسجيل الدخول أكثر قابلية للعمل عبر منصات مختلفة.
كيف يمكن الاستعداد لعصر تسجيل الدخول بدون كلمات مرور؟
يمكن للمستخدم الاستعداد لهذه المرحلة من خلال مجموعة من الممارسات البسيطة التي تساعد على تحسين حماية حساباته:
- تحديث نظام تشغيل الهاتف والحاسوب باستمرار.
- استخدام قفل شاشة آمن على الأجهزة الشخصية.
- التحقق من دعم المواقع التي يستخدمها لتقنية Passkeys.
- تفعيل مفاتيح المرور للحسابات التي توفر هذه الميزة.
- استخدام مدير موثوق لكلمات المرور ومفاتيح المرور.
- تجهيز وسيلة استرداد آمنة للحسابات المهمة.
- عدم مشاركة رموز التحقق أو بيانات الدخول مع الآخرين.
مستقبل المصادقة الرقمية بعد Passkeys
لا يقتصر تطور المصادقة الرقمية على استبدال كلمة المرور ببصمة الإصبع أو التعرف على الوجه، بل يشمل بناء منظومة متكاملة تعتمد على التشفير والأجهزة الآمنة والمعايير المفتوحة.
وقد تتوسع مستقبلاً وسائل التحقق التي تسمح للمستخدم بالانتقال بين الهواتف والحواسيب والأجهزة الذكية دون الحاجة إلى إعادة إدخال بيانات الدخول في كل مرة.
كما يمكن أن تصبح مفاتيح المرور جزءاً أساسياً من تجربة استخدام الخدمات الحكومية والمالية والتعليمية والتجارية، إذا استمرت المؤسسات في اعتماد المعايير المناسبة وتوفير خيارات استرداد موثوقة.
وتبقى أهم نقطة في هذا التحول هي تحقيق التوازن بين سهولة الاستخدام وحماية الخصوصية والأمان. فالمستخدم لا يحتاج فقط إلى طريقة أسرع للدخول إلى حساباته، بل يحتاج أيضاً إلى وسيلة موثوقة تضمن بقاء بياناته تحت سيطرته.