الفرق بين Passkeys ومفاتيح الأمان و TOTP: كيف تختار المصادقة المناسبة؟

مقارنة عملية بين مفاتيح المرور المتزامنة والمفاتيح المادية ورموز TOTP، تشمل مقاومة التصيد والاسترداد والتكلفة وسياسة الحسابات الإدارية. هذا الدليل يقارن بين نموذج الأمان وتجربة الاسترداد والتكلفة، لا بين أسماء تسويقية متشابهة.

ثلاث تقنيات لا ينبغي جمعها في خانة واحدة

عند البحث عن وسيلة أقوى من كلمة المرور تظهر أسماء Passkeys ومفاتيح الأمان المادية وتطبيقات المصادقة التي تولد رموزًا مؤقتة. هذه ليست أسماء مختلفة للتقنية نفسها. مفتاح المرور Passkey اعتماد قائم على زوج مفاتيح تشفير مرتبط بالخدمة التي تسجل الدخول إليها، وقد يخزَّن على الجهاز أو يتزامن عبر مدير بيانات اعتماد. مفتاح الأمان المادي جهاز مستقل قد يحمل اعتمادات FIDO2 مقاومة للتصيد، وقد يدعم أيضًا وظائف أخرى تختلف حسب المنتج. أما TOTP فهو رمز قصير يُشتق من سر مشترك والوقت، وتكتبه في نموذج الدخول. يمكن للموقع استخدام هذه الوسائل بديلًا لكلمة المرور أو عاملًا إضافيًا، ولذلك يجب معرفة طريقة تنفيذ الخدمة نفسها قبل الحكم على مستوى الحماية.

لماذا يختلف خطر التصيد؟

يمكن لموقع احتيالي يشبه صفحة الخدمة الأصلية أن يطلب من المستخدم كلمة المرور ثم رمز TOTP، وقد يحاول استخدامهما فورًا في جلسة حقيقية. لا يعني ذلك أن كل استخدام ل ـTOTP غير مفيد؛ فهو يرفع كلفة سرقة كلمة مرور منفردة، لكنه لا يربط الرمز تقنيًا بالنطاق الحقيقي. في المقابل تستخدم اعتمادات FIDO/WebAuthn ارتباطًا بمعرف الخدمة ومصدر الصفحة، فلا يُنتج المفتاح العادي استجابة صالحة لموقع مزيف بنطاق مختلف. هذا هو معنى مقاومة التصيد أثناء تسجيل الدخول، لكنه ليس حماية مطلقة من كل الاحتيال أو البرامج الخبيثة أو سرقة جلسة سبق توثيقها. يجب الجمع بين قوة المصادقة ومراقبة الجلسات والصلاحيات.

المفتاح المتزامن والمفتاح المرتبط بجهاز

قد يوفر مدير بيانات الاعتماد مزامنة مشفرة لمفاتيح المرور بين الأجهزة، ما يسهل الانتقال إلى هاتف أو حاسوب جديد. هذه الراحة تجعل أمان حساب المزامنة واسترداده جزءًا من نموذج المخاطر. أما المفتاح المرتبط بجهاز أو مفتاح أمان مادي فلا يغادر الجهاز وفق تصميمه، وهو خيار مناسب عندما تكون السيطرة على الاعتماد المادي مطلبًا تشغيليًا. في المقابل، فقد جهاز وحيد دون مفتاح بديل أو قناة استرداد موثوقة قد يحول حادثًا بسيطًا إلى توقف عمل. لا تساوِ «متزامن» مع «غير آمن» ولا «مادي» مع «لا يمكن فقده». راجع متطلبات المؤسسة وإجراءات الاسترداد وتوافق الأجهزة، ولا تشترِ مفتاحًا قبل التأكد أن الخدمة تدعم بروتوكوله.

كيف يعمل TOTP وما حدوده العملية؟

يولّد تطبيق المصادقة رمزًا بناءً على سر مسجل مسبقًا ووقت الجهاز، كما توضح RFC 6238. لا يحتاج التطبيق عادةً إلى اتصال بالإنترنت لتوليد الرمز، لكن تسجيله لأول مرة يتطلب إجراء إعداد آمن. يمكن أن يؤدي فقد الهاتف أو غياب نسخة احتياطية للسر إلى صعوبة الاسترداد، بينما قد تؤدي مزامنة غير مدروسة لنسخ الأسرار إلى توسيع نطاق التعرض. الرمز نفسه محدود الزمن لكنه يظل قابلًا للتصيد المباشر خلال نافذة صلاحيته. لذلك احتفظ برموز الاسترداد في مكان منفصل عن الهاتف، ولا تلتقط صورة لرمز إعداد QR وتضعها في مجلد صور مشترك. وإذا كان الموقع يدعم WebAuthn فلا تجعل TOTP الخيار الوحيد لمشرف ذي صلاحيات عالية.

قارن تجربة الاستخدام لا مجرد درجة الأمان

تختلف احتياجات مستخدم يسجل دخوله من هاتفه الشخصي يوميًا عن مشرف يستخدم أجهزة مشتركة أو يعمل من مناطق لا يتوافر فيها هاتف. Passkey متزامن قد يقلل خطوات الدخول اليومية، بينما يمنح المفتاح المادي وسيلة مستقلة يمكن حملها إلى أجهزة متوافقة، لكنه يحتاج إدارة وحفظًا ومفتاحًا احتياطيًا. تطبيق TOTP واسع الانتشار نسبيًا لكنه يتطلب نسخ الرمز وتوقيتًا صحيحًا، وقد يسبب أخطاء عند انتقال الساعة أو فقد الجهاز. ضع في التقييم زمن التسجيل الأول، وتوافر الدعم، وقابلية الاستخدام لذوي الاحتياجات المختلفة، وإمكانية الدخول أثناء انقطاع الشبكة أو تغيير الهاتف. قد يكون الخيار العملي خليطًا مضبوطًا بدل فرض تقنية واحدة على كل الحسابات.

سياسة مختلفة للحساب العادي والحساب الإداري

الحساب الذي يقرأ أخبارًا أو يحفظ تفضيلات غير حساسة لا يحمل مخاطر حساب يملك نشر المحتوى أو تغيير وسائل الدفع أو إدارة المستخدمين. بالنسبة للحسابات الإدارية، من المناسب إعطاء أولوية لمصادقة مقاومة للتصيد، مع وجود وسيلتي دخول مستقلتين وإجراءات استرداد موثقة. افصل حساب العمل عن الحساب الشخصي، وراجع الجلسات النشطة والأجهزة المسجلة دوريًا. لا تفترض أن إضافة عامل ثانٍ تلغي ضرورة تقليل صلاحيات الحساب؛ فإذا حصل مهاجم على جلسة مصادق عليها قد تتعرض البيانات نفسها للخطر. ينبغي أن تتضمن السياسة أيضًا خطوات إبطال الاعتمادات القديمة عند مغادرة موظف أو فقد جهاز، دون تعطيل حسابات بقية الفريق.

خطة انتقال لا تقطع الوصول

ابدأ من إعدادات الأمان الرسمية للخدمة، وأضف وسيلة FIDO مدعومة قبل إزالة TOTP أو كلمة المرور إن كان النظام يسمح بذلك. سجّل اعتمادًا احتياطيًا مستقلًا، واختبره في جلسة منفصلة بينما تبقى الجلسة الأساسية مفتوحة. تحقق من طرق استرداد الحساب والهوية المطلوبة من الدعم، واحفظ رموز الاسترداد بعيدًا عن البريد الذي تحاول حمايته. بعد نجاح الاختبار راجع قائمة الأجهزة والاعتمادات وأزل غير المستخدم. لا تجرّب حذف جميع وسائل الدخول في يوم عمل مزدحم، ولا تفترض أن كل خدمة تسمح بنفس عدد المفاتيح أو طريقة المزامنة. اجعل تغيير الوسيلة حدثًا موثقًا في سجل الأمان مع تاريخ وسبب.

سيناريوهات القرار

إذا كان المستخدم يملك أجهزة شخصية حديثة ويريد دخولًا سريعًا عبرها، فإن Passkey المتزامن غالبًا مرشح قوي بشرط حماية حساب مدير الاعتمادات. إذا كان الحساب إداريًا بالغ الحساسية أو يحتاج استقلالًا عن المزامنة، يمكن تفضيل مفتاحين ماديين FIDO2 مدعومين مع سياسة تخزين منفصلة. إذا كانت الخدمة لا تدعم FIDO أصلًا، فإن TOTP أفضل عادةً من الاكتفاء بكلمة مرور، لكن يجب التحذير من إدخال الرمز في صفحات غير موثوقة. وإذا كان المستخدم لا يستطيع التعامل مع جهاز أمان معين، لا ينبغي أن يؤدي اختيار تقني نظري إلى استبعاد عملي؛ ابحث عن خيار آمن متوافق مع احتياجاته. لا يوجد ترتيب وحيد يصلح لكل المؤسسات.

اختبار دوري للجاهزية

كل ثلاثة أشهر، أو عند تغيير هاتف أو مسؤول، راجع قائمة الاعتمادات الفعالة ووقت آخر استخدام إن أتاحه الموقع. اختبر مفتاح الاسترداد على حساب تجريبي أو في جلسة مصرح بها دون تعطيل الوصول الأساسي. سجّل حالات فشل الدخول بسبب عدم التوافق أو فقد الجهاز، وقارنها بحوادث التصيد أو طلبات الدعم. لا تضع أسرار TOTP أو رموز الاسترداد داخل تقرير الاختبار؛ يكفي إثبات وجود نسخة محمية وطريقة الوصول إليها عند الطوارئ. قيّم النجاح بمقياسين معًا: قدرة المستخدم المخول على الدخول عند الحاجة، وصعوبة نجاح تسجيل دخول غير مخول. هذا يوازن الأمن مع استمرارية العمل.

مصادر وحدود الاستنتاج

توضح FIDO Alliance أن Passkeys تعتمد على معايير FIDO وتشفير المفتاح العام وربط الاعتماد بالخدمة، بينما توثق RFC 6238 طريقة توليد رموز TOTP الزمنية. قد تختلف سياسات المزامنة والتصدير والدعم بين أنظمة التشغيل ومزودي مدير الاعتمادات، وقد تتغير بمرور الوقت؛ لذلك افحص وثائق الخدمة قبل اتخاذ قرار مؤسسي. للمقارنة مع شرح استرداد مفاتيح المرور يمكن الرجوع إلى مقال إيجي تاج «مفاتيح المرور Passkeys: الإعداد الصحيح وخطة الاسترداد عند فقد الهاتف». هذه المقارنة لا تعد تدقيقًا أمنيًا لخدمة بعينها ولا تقدم ضمانًا ضد كل أنواع الاستيلاء على الحساب.

مراجع: https://fidoalliance.org/passkeys/ ، https://www.rfc-editor.org/rfc/rfc6238 . قراءة مكملة على إيجي تاج: https://egytag.com/ar/articles/مفاتيح-المرور-passkeys-الإعداد-الصحيح-وخطة-الاسترداد-عند-فقد-الهاتف