رمز التحقق لمرة واحدة و Passkey كلاهما يمكن أن يكون خطوة أقوى من كلمة مرور منفردة، لكن مقاومتهما للتصيد مختلفة جذريًا. OTP هي قيمة يمكن للمستخدم قراءتها وكتابتها في صفحة، ولذلك يمكن لصفحة مزيفة طلبها وتمريرها بسرعة للموقع الحقيقي في هجوم Adversary-in-the-middle. Passkey/WebAuthn ترتبط تشفيريًا بال ـRelying Party ولا تمنح المستخدم سرًا قابلًا للنسخ بنفس الطريقة.
لماذا OTP قابلة للتصيد؟
TOTP أو SMS OTP تثبت امتلاك عامل في لحظة، لكن الرمز نفسه قابل للنقل. مهاجم يدير صفحة تصيد يمكنه طلب كلمة المرور ثم OTP واستخدامهما فورًا إذا كان النظام لا يملك طبقات دفاع أخرى. قصر العمر يقلل الوقت المتاح لكنه لا يلغي المشكلة.
Passkey ترتبط بالموقع
WebAuthn يجعل authenticator يوقع challenge في سياق Relying Party محددة. صفحة على نطاق مزيف لا تحصل ببساطة على توقيع صالح للنطاق الحقيقي. المستخدم لا يرى private key ولا ينسخها. هذه الخاصية هي جوهر مقاومة التصيد.
خطوات عملية
- الموقع يرسل challenge.
- المتصفح يحدد Relying Party.
- Authenticator يتحقق من السياق.
- المستخدم يفتح credential محليًا.
- الخادم يتحقق من التوقيع.
لكن Passkeys ليست حلًا لكل المخاطر
Session theft بعد تسجيل الدخول، malware على جهاز مفتوح، أو recovery ضعيفة تظل مشكلات. كذلك يجب تصميم إضافة/حذف Passkeys وإدارة الأجهزة بعناية. مقاومة التصيد لا تعني أمان الحساب كله تلقائيًا.
قائمة مراجعة
- إدارة Sessions قوية.
- Recovery لا تتجاوز Passkey بسهولة.
- إضافة عامل جديد تتطلب reauth.
- الأجهزة المسجلة قابلة للمراجعة.
- التنبيهات تعمل عند تغيير عوامل الأمان.
متى يبقى OTP مفيدًا؟
قد تحتاج OTP للتوافق أو كعامل احتياطي أو في أنظمة لا تدعم WebAuthn جيدًا. إذا استخدمتها، فضّل تطبيق authenticator على SMS عندما يناسب threat model، وأضف risk signals وتنبيهات وسياسات محاولة.
الانتقال التدريجي أفضل من الإلغاء المفاجئ
وفر Passkey كخيار قوي، شجع التسجيل لأكثر من جهاز أو طريقة recovery، وراقب نجاح المستخدمين قبل جعلها المسار الوحيد. تجربة الاسترداد جزء من نجاح التقنية.
اجعل الانتقال قابلًا للقياس
عند إطلاق Passkeys، راقب نسبة التسجيل، نجاح تسجيل الدخول، عدد محاولات Recovery، ونسبة المستخدمين الذين يعودون إلى OTP. إذا كانت Recovery ترتفع بعد التغيير، فالمشكلة قد تكون في onboarding لا في البروتوكول. وفر مسارًا واضحًا لتسجيل Passkey ثانية قبل إزالة الطرق القديمة، ثم شدد السياسة تدريجيًا بعد التأكد أن المستخدمين يملكون بدائل آمنة.
شارك في تقييم ونقاش المقال
رأيك يضيف قيمة للمقال ويساعدنا على تحسين المحتوى والنقاش حوله.
النقاش
جارٍ تحميل التعليقات…