مفتاح المرور ورمز PIN: هل ترسل بصمتك إلى الموقع؟

لماذا تظهر البصمة أو نافذة رمز الجهاز؟

يوضح تحالف FIDO أن المستخدم يوافق على استعمال مفتاح المرور بطريقة فتح معتادة، مثل بصمة أو وجه أو PIN. هذه خطوة تتيح استعمال وسيلة المصادقة، وليست تحويلًا للبصمة إلى كلمة مرور يطابقها الموقع. تبقى معالجة البيانات الحيوية على الجهاز.^[1]

عندما ترى نافذة التحقق، اقرأ ما تطلبه في سياق تسجيل الدخول الذي بدأته. لا تستنتج أن كل نافذة تحمل كلمة «رمز» تطلب الشيء نفسه. اسم الخدمة ووسيلة الدخول مهمان: كلمة مرور حساب، ورمز تحقق وارد، ورمز فتح جهاز أسماء لوظائف مختلفة، وإن بدت بعض الحقول متشابهة.

في مثال توضيحي، اخترت الدخول بمفتاح مرور إلى خدمة تدعمه، ثم طلب النظام فتح وسيلة المصادقة. لا تحتاج إلى نسخ رمز الجهاز في رسالة إلى دعم الموقع. المثال يميز موضع استعمال الرمز؛ لا يعرض شاشة منتج حقيقية أو يطلب من القارئ كشف أي سر.

ما الذي يصل إلى الموقع بدل البصمة؟

تشرح MDN أن WebAuthn يستخدم تشفير المفتاح العام. عند تسجيل بيانات الاعتماد، يخزن الخادم المفتاح العام مرتبطًا بالمستخدم. وعند المصادقة يرسل تحديًا، أي رسالة تحقق جديدة، فتوقعها أداة المصادقة بالمفتاح الخاص، ويفحص الخادم الاستجابة بالمفتاح العام والبيانات المطلوبة.^[2]

الفكرة الأقرب هنا هي إثبات امتلاك مفتاح مناسب، لا إرسال مادته السرية للمقارنة. لا يحتاج القارئ إلى حفظ خطوات البرمجة ليفهم الفرق: المفتاح العام مخصص للتحقق، والمفتاح الخاص يستعمل لإنشاء الدليل. الرسم يختصر المسار المفهومي؛ لا يصور حزم شبكة التقطناها أو نظامًا اختبرناه.

ومن ثم لا تسمِّ PIN مفتاحًا عامًا، ولا تسمِّ صورة البصمة توقيعًا يراه الموقع. كل اسم يشير إلى جزء مختلف من العملية. إذا سألت عن مشكلة دخول، فصف الخطوة التي توقفت عندها واسم الوسيلة الظاهر، دون إرسال رموزك أو صور وثائقك لمجرد شرح المصطلح.

لماذا يقاوم التصيد، وما حدود العبارة؟

توضح MDN أن التحقق يرتبط بنطاق الجهة المعنية وأصل الموقع، فلا يعمل مفتاح اعتماد الموقع الأصلي على أصل مزيف كما تعمل كلمة مرور يمكن إدخالها في صفحة تشبهه.^[2] هذه خاصية لمسار المصادقة، وليست وعدًا بأن كل ما يحدث بعد الدخول أو على الجهاز محمي من أي اعتداء.

لا تستخدم كلمة «آمن» لإلغاء بقية الأسئلة. هل الجهاز شخصي؟ من يستطيع فتحه؟ وهل وصلت إلى الخدمة التي تقصدها؟ هذه أسئلة عملية مختلفة عن سؤال وصول البصمة للخادم. ومقاومة نوع من الخداع لا تسمح بالاستنتاج أن تنزيل ملف مجهول أو مشاركة جلسة الدخول أصبح أمرًا بلا تبعات.

هل المفتاح محفوظ هنا أم متزامن؟

يميز FIDO بين مفاتيح ترتبط بأداة واحدة ومفاتيح متزامنة عبر مزود. في النوع المتزامن قد تصبح متاحة على أجهزة متوافقة بعد إعداد المزود، بينما لا يغادر المفتاح المرتبط بجهاز واحد أداته. لا تفترض أن كل مفتاح يظهر تلقائيًا على كل هاتف وحاسوب.^[1]

قبل الاعتماد على مسار واحد للدخول، اقرأ وثائق المزود والخدمة عن الأجهزة والاسترداد. اكتب لنفسك أين تحفظ بيانات الاعتماد وبأي حساب مزود تديرها، دون تدوين مفاتيح سرية في ملاحظة عامة. إذا لم تعرف الجواب، فابدأ من إعداداتك ووثائقك، لا من توقع أن شكل نافذة البصمة يكشف مكان التخزين.

وفي مثال مؤلف، لدى شخص مفتاح على أداة مادية وآخر متزامن لحساب مختلف. لا نجمعهما في قاعدة واحدة عن استبدال الهاتف؛ نسأل عن كل خدمة وأداة على حدة. الغرض أن تمنع الخلط بين تجربتين، لا أن تفترض أن تجربة صديق تصف إعداد حسابك.

الجهاز المشترك وفقدان وسيلة الدخول

تحذر Google في إرشادات حسابها من إنشاء مفتاح على جهاز مشترك: من يستطيع فتح الجهاز قد يستطيع الدخول إلى الحساب. وتوصي بإنشائه على أجهزة تملكها وتستعملها شخصيًا. وإذا فقدت الجهاز، توضح الإرشادات إزالة مفتاحه من الحساب بعد تسجيل الدخول من جهاز متاح.^[3]

تعرض الإرشادات أيضًا خيار تجربة طريقة أخرى عند تعذر مفتاح المرور، لكن الوسائل المتاحة تعتمد على الحساب وإعداداته.^[3] لذلك لا تعد شخصًا بأنه سيستعيد كل حساب بالطريقة نفسها، ولا تطلب منه حذف وسائل أخرى قبل فهم البدائل التي تدعمها الخدمة.

إذا كنت تشرح المشكلة لمساعد، يكفي مثلًا أن تقول: «الخدمة تعرض مفتاح مرور على جهاز لم يعد متاحًا، وأبحث عن تعليمات الاسترداد الرسمية». لا تُرفق PIN أو رموز احتياط. احتفظ بالفرق واضحًا بين وصف الخطوة التي تحتاج إلى مساعدة فيها وبين مشاركة وسيلة تسمح بالدخول.