كلمات مرور قوية والتحقق بخطوتين

السلم الذي يقف الجميع على إحدى درجاته

أمان الحساب ليس حالة ثنائية تملكها أو لا تملكها. إنه سلم، والجميع واقف الآن على إحدى درجاته. الدرجة السفلى كلمة مرور واحدة مكررة عبر عدة مواقع. والدرجة العليا مفتاح مرور، حيث لا توجد كلمة مرور تُسرَق أصلا.

ولهذه النظرة فائدة عملية واحدة. فمن يظن أن عليه إصلاح كل شيء في ليلة واحدة لا يفعل عادة شيئا ويبقى مكانه. ومن يصعد درجة واحدة يصبح حاله الليلة أفضل من ليلة أمس.

وترتيب الدرجات ليس اعتباطيا كذلك. فكلمة المرور المكررة هي أسوأ الحالات، أسوأ من القصيرة، والسبب لا علاقة له بقوة كلمة المرور نفسها. فتكرارها يعني أن أمان حسابك مربوط بأضعف موقع سجّلت فيه يوما؛ ذلك المنتدى القديم الذي لم يُحدَّث منذ سنوات، والذي تتسرب قائمة مستخدميه يوما ما. في ذلك اليوم تكف كلمة مرورك عن كونها سرا، ولم يضطر أحد إلى كسر أي شيء.

الدرجة الثانية هي التفرد، والثالثة الطول، ثم تأتي الأداة التي تجعل التفرد ممكنا. ومدير كلمات المرور لا يحل محل الدرجة الثانية؛ بل هو ما يجعلها قابلة للتنفيذ، لأن لا أحد يحفظ سبعين كلمة مرور متفردة.

ثم تأتي، بعد كلمة المرور، الطبقة الثانية. التحقق بخطوتين يعني أنه حتى لو تسربت كلمة المرور فتسربها وحده لا يكفي. تبدو الجملة بسيطة، وقيمة هذا الدرس كلها فيها: رتّب أمورك بحيث لا يكون خطأ واحد هو خطأك الأخير.

لماذا الطول أهم من التعقيد

لسنوات قيل للجميع إن كلمة المرور تحتاج حرفا كبيرا وصغيرا ورقما ورمزا. فكانت النتيجة كلمات مرور يصعب على الإنسان تذكرها ولا يصعب على الحاسوب كسرها، وهو أسوأ تركيب ممكن. وP@ssw0rd! هو بالضبط النمط الذي تجربه أي قائمة تخمين أولا.

والحساب وراء ذلك بسيط. فكل محرف تضيفه إلى كلمة المرور يضرب عدد الاحتمالات في حجم الأبجدية. وإضافة رمز واحد إلى كلمة مرور من ثمانية محارف لا تكبّر الأبجدية إلا قليلا. أما إضافة أربعة محارف أخرى فتكبّر الفضاء كله بمراتب. الطول يفوز دائما، وهذا صحيح فقط حين يكون التخمين أعمى؛ فإن بُنيت كلمة المرور على نمط مألوف فلا شيء من هذا الحساب ينطبق أصلا.

وهذا ليس رأينا. فدليل NIST SP 800-63B، وهو معيار التحقق من الهوية لدى الحكومة الأمريكية، ينص صراحة على ثلاثة أمور، وثلاثتها عكس ما تفرضه معظم المواقع الإيرانية: الحد الأدنى لطول كلمة المرور المستعملة كعامل دخول وحيد هو ١٥ محرفا، و٨ محارف حين تجلس إلى جانب عامل ثان؛ ولا يحق للخدمة أن تفرض خليطا من أنواع المحارف؛ ولا يحق لها إلزام المستخدمين بتغيير كلمة المرور دوريا، إلا إن وُجدت أدلة على اختراقها.

وثمة نقطة تسقط عادة وهي مهمة: هذا المستند يضع متطلبات على الخدمة لا عليك أنت. فهو لا يقول إن كلمة مرورك يجب أن تكون ١٥ محرفا؛ بل يقول إن موقعا تدخل إليه بكلمة مرور وحدها لا شأن له بقبول أقل من ١٥. أما الاستنتاج الذي يخصك فآمن على أي حال: حيث لا يوجد عامل ثان، لا تكفي كلمة مرور قصيرة.

والطريق العملي إلى الطول هو عبارة المرور. فأربع أو خمس كلمات غير مترابطة تضعها أنت وحدك جنبا إلى جنب تتجاوز العشرين محرفا بسهولة، وتذكّرها أسهل من كلمة مرور مزدحمة من ثمانية محارف. وثمة شرط واحد: أن تكون الكلمات عشوائية فعلا. فبيت شعر أو مثل سائر، مهما طال، موجود في القوائم من البداية.

مدير كلمات المرور بلا مجاملة

مدير كلمات المرور برنامج يحفظ كلمات المرور مشفَّرة ويُفتح بكلمة مرور رئيسية واحدة. وما يفعله فعلا ليس جعل كلمات المرور «آمنة»؛ بل تحويل التفرد من أمنية إلى عادة يومية. فما دامت كلمات المرور تُحفَظ في الذاكرة فسيكررها الناس، إذ لا خيار آخر لديهم.

والآن الوجه الآخر، وهو ما يتخطاه البائعون. فمدير كلمات المرور يصنع نقطة فشل واحدة. كل شيء يذهب خلف كلمة مرور رئيسية واحدة، وإن تسربت تلك الواحدة فقد تسربت جميعها معا. وهذا اعتراض حقيقي، والرد عليه بـ«لا تقلق» بلا معنى.

وثلاثة أمور تجعل الاعتراض محتملا، وثلاثتها لازمة. أولا، أن تكون كلمة المرور الرئيسية عبارة مرور طويلة غير مستعملة في أي مكان آخر. ثانيا، أن يكون التحقق بخطوتين مفعّلا على المدير نفسه؛ وهو موضوع القسم التالي، وهو هنا أهم منه في أي موضع آخر. ثالثا، أن تعرف ماذا يحدث إن نسيت كلمة المرور الرئيسية. والجواب في معظم هذه البرامج أن لا أحد يستطيع مساعدتك، لأن الشركة نفسها لا تملك كلمة مرورك الرئيسية. وهذه ميزة لا عيب، لكنك تريد معرفتها قبل اليوم الذي تنطبق فيه.

وموقفنا بسيط: مدير كلمات المرور، بكل ما سبق، أأمن من حال معظم الناس اليوم، لأن حال معظم الناس اليوم كلمة مرور واحدة على سبعين موقعا. لكن إن قال لك أحد إن المدير يجعل الخطر صفرا فهو يبيع شيئا.

ونقطة أخيرة نادرا ما تُقال: المدير المدمج في متصفحك، بكل حدوده، أفضل بكثير من تكرار كلمة المرور. ونقاش «أي برنامج» لا يعني شيئا إلا بعد صعودك الدرجة الثانية. فإن لم تصعدها بعد، فأيها ستستعمله فعلا هذه الليلة هو الأفضل.

أي نوع من التحقق بخطوتين أقوى فعلا

«فعّل التحقق بخطوتين» جملة صحيحة تقول نصف الحقيقة. فأنواعه الأربعة الشائعة ليست متساوية الأمان، والفجوات بينها ليست صغيرة.

الرسائل القصيرة أضعفها. فدليل NIST نفسه المذكور أعلاه يحتفظ بقائمة للمصادِقات المقيَّدة، وفي النسخة التي قرأناها لها عضو واحد بالضبط: استعمال شبكة الهاتف لإيصال الرمز. أي أن جهة وضع المعايير، من بين كل الطرق، وسمت هذه الطريقة بعينها. والسبب أن رقم هاتفك هو نفسه حساب آخر لدى مشغّلك، ويمكن نقله.

ورمز تطبيق المصادقة، تلك الأرقام الستة التي تتغير كل ثلاثين ثانية، درجة أعلى. فلا شيء يمر عبر شبكة الهاتف والرمز يُولَّد على الجهاز نفسه. لكن فيه ضعفا بنيويا نادرا ما يُقال جهرا: الرمز قابل للقراءة وإعادة الاستعمال. فإن أدخلته في صفحة مزيفة استطاع من بنى تلك الصفحة إدخال الرمز نفسه في الموقع الحقيقي خلال الثلاثين ثانية ذاتها. والتطبيق لا يعلم أين أنت.

وموافقة الإشعار، ذلك الطلب الذي تجيبه بـ«نعم أنا»، قريبة من رموز التطبيق في القوة لكنها تضيف ضعفا بشريا: فحين تتوالى الإشعارات يتعب المرء فيوافق على أحدها من الضجر. وحيثما تعرض الخدمة الصيغة التي تختار فيها رقما ظاهرا على الشاشة، فاختر تلك؛ فهي تزيل الموافقة بلا تفكير.

أما المفاتيح العتادية ومفاتيح المرور فهي من جنس آخر، والفارق ليس مجرد «أقوى». فهذه ترتبط بعنوان الموقع. وقد سمّى NIST هذه الخاصية مقاومة التصيّد وشرح آليتها: التوقيع الذي ينتجه المفتاح مربوط بهوية الموقع الذي يحادثه المفتاح، فتنال الصفحة المزيفة شيئا لا قيمة له عند الموقع الحقيقي. وهذه هي العائلة الوحيدة التي تزيل مشكلة «أدخلت رمزي في المكان الخطأ» من جذرها بدل أن تصعّبها.

وعبر هذا الترتيب كله لا تفقد جملة واحدة: الرسائل القصيرة أفضل من لا شيء. فإن لم يعرض موقع سوى الرسائل القصيرة ففعّلها. فهذا نقاش في الاختيار بين الخيارات، لا عذر لعدم امتلاك أي منها.

ما مفتاح المرور وما الذي يغيره

مفتاح المرور يبني زوج مفاتيح بدل كلمة مرور مشتركة. النصف الخاص يبقى على جهازك ولا يغادره أبدا؛ والنصف العام يخزّنه الموقع. وعند الدخول يرسل الموقع تحديا، فيوقّعه جهازك بالنصف الخاص، ويتحقق الموقع من التوقيع بالنصف العام. وما ينتقل بينهما ليس سرا قابلا لإعادة الاستعمال.

ونتيجتان تنبعان من هذا التغيير وحده وكلتاهما مهمة. الأولى أن الموقع لم يعد يحمل سرا قابلا للتسرب؛ فإن انسكبت قاعدة بياناته كانت المفاتيح العامة عديمة الفائدة لأي أحد. والثانية أن الصفحة المزيفة لا تصل إلى شيء، لأن التوقيع مربوط بعنوان الموقع الحقيقي. فمقاومة التصيّد التي ذكرناها في القسم السابق هي الوضع الافتراضي هنا لا ميزة إضافية.

والآن الجزء الذي نادرا ما يُقال. يفرد NIST لهذه العائلة ملحقا خاصا عنوانه المصادِقات القابلة للمزامنة، أي المفاتيح التي تتزامن بين أجهزتك. والمزامنة هي ما يجعل مفاتيح المرور صالحة للاستعمال، وهي أيضا ما يصنع نقطة ضغط جديدة: إذ يصير أمان مفاتيحك مربوطا بأمان الحساب السحابي الذي يزامنها. فحساب أبل أو غوغل أو مدير كلمات مرورك صار يحتاج أقوى حماية لديك.

ولنكن صادقين بشأن اليوم أيضا. مفاتيح المرور ليست متاحة في كل مكان، ومن إيران فإن جزءا من الخدمات التي تدعمها لا يُفتح أصلا. وحتى حيث يتوفر مفتاح المرور، تبقى كلمة المرور القديمة في الغالب كطريق احتياطي، وما دام ذلك الطريق مفتوحا فالحساب ما يزال مربوطا بكلمة المرور وبمسار الاستعادة. ففعّل مفاتيح المرور حيث توجد، وأبقِ كلمة المرور خلفها متفردة وطويلة.

إن لم يكن لديك سوى ساعة فابدأ من هنا

ليست كل الحسابات بالقيمة نفسها، ولا ينبغي معاملتها المعاملة نفسها. والترتيب الصحيح يخرج من سؤال واحد بسيط: إن ذهب هذا الحساب فماذا يذهب معه؟

البريد الرئيسي أولا وبلا منازع. فالبريد هو المكان الذي ينتهي إليه زر «نسيت كلمة المرور» في كل المواقع الأخرى، فمن ملك البريد ملك الباقي. ثم، إن كنت تدير موقعا، حساب مسجّل النطاق ثم لوحة تحكم الاستضافة؛ وهما قرب القمة للسبب نفسه لا لثمنهما. ثم البنك والدفع، ثم الحسابات الاجتماعية التي تعيش عليها سمعتك المهنية، ثم كل ما تبقى.

وعلى هذه الأربعة أو الخمسة الأولى افعل ثلاثة أشياء الليلة: اجعل كلمة المرور متفردة وطويلة، وفعّل أفضل تحقق بخطوتين تعرضه تلك الخدمة، وخذ رموز الاستعادة واحفظها في مكان خارج ذلك الجهاز. فرموز الاستعادة هي الخطوة التي يتخطاها الجميع ثم يدفعون ثمنها لاحقا.

وثمة عمل رابع قلّ من يذكره: في إعدادات كل حساب من هذه الحسابات افتح قائمة الجلسات النشطة والأجهزة المتصلة وأخرج كل ما لا تعرفه. فالدخول القديم لهاتف بعته قبل عامين ما يزال بابا مفتوحا.

أما بقية الحسابات فيمكن إصلاحها في الأشهر التالية بلا عجلة. والمهم أن يُصلَح أول اثنين الليلة.