أدوات الأمن للمستخدم العادي

كم أداة يحتاج المستخدم العادي فعلا؟

ست فئات، والشكل أعلى الصفحة هو تلك الست. الفئة أولا والمثال ثانيا؛ فإن عكستهما ثبّتّ أداة لا تعرف عملها وتركتَ عملا لا تعرف أداته.

والترتيب الذي نقترحه، بحسب أي اثنتين تؤديان معا أكثر العمل: مدير كلمات مرور وتطبيق تحقق بخطوتين. فهاتان معا تبطلان تقريبا كل هجوم آلي يصل إلى مستخدم عادي، لأن كلتيهما تقومان على شيء واحد: شيء لا يملكه سواك. ثم التحديث التلقائي، وهو ليس أداة بل إعداد ولا يطلب منك شيئا. ثم النسخ الاحتياطي، وهو لا يمنع أي هجوم وإنما هو الشيء الوحيد الذي ينفع بعد وقوع الحدث. وأخيرا الأقل شهرة: ترشيح DNS وتنبيهات التسريب.

وموقفنا، وهو يخالف قوائم الشراء المعتادة: للفئات الست كلها خيار مجاني مقبول، وليس لأي منها سبب واضح ينفق المستخدم العادي من أجله. وما يُباع عادة حزم أمن متعددة المقاعد تؤدي ثلاثا من هذه الست معا، ولا واحدة منها أفضل عادة من نظيرتها المجانية.

وما ليس في القائمة وأنت تتوقعه: مضاد فيروسات منفصل. وليس لأنه بلا فائدة، بل لأن ذلك العمل على نظام تشغيل محدَّث مُنجز سلفا، والجواب الكامل في درس البرمجيات الخبيثة وأنواعها. وثمة طبقة سابعة ليست أداة البتة وهي أهم من الست جميعا، وهي العادات الواردة في درس تصفح الإنترنت بأمان.

أي مدير كلمات مرور؟ ثلاثة أمور تُحدث الفرق فعلا

أما لماذا الطول أهم من التعقيد وأي عامل ثانٍ أأمن، فموضوع درس كلمة المرور القوية والتحقق بخطوتين، وهو مبسوط هناك. وسؤال هذا القسم غيره ولا يجيب عنه أحد: من بين عشرة برامج تتشابه كلها وتقول كلها إنها آمنة، أيها تثبّت.

ثلاثة أمور تختلف فعلا، وما عداها اختلافات شكلية.

الأول، موضع وقوع التعمية. فينبغي أن تُعمّى الخزنة على جهازك أنت قبل أن تخرج منه، حتى يكون ما يجلس على الخادم ملفا بلا معنى. والفحص يسير: فصفحة الأمن لدى تلك الخدمة يجب أن تقول ذلك بهذه الصراحة. وإن لم تقله فلا تفترض أنها قالته.

والثاني، ولا يكاد أحد ينظر إليه: التصدير. فبرنامج لا تستطيع إخراج بياناتك منه يحتجزك رهينة. وقبل أن تدخل فيه مئة كلمة مرور، ابحث مرة عن زر التصدير وتأكد أنه موجود. وهو الميزة الوحيدة التي لا تستطيع إضافتها في اللحظة التي تحتاجها فيها.

والثالث، تقرير التكرار والتسريب. وهو الميزة الوحيدة التي تريك مشكلتك بدل أن تحفظ كلماتك: أي كلمة كررتها في مواضع عدة وأيها ظهرت في تسريبات عامة. وبرنامج بلا ذلك التقرير أرشيف لا أداة أمن.

وثلاثة أمور تبدو مهمة وليست كذلك: شكل البرنامج، وعدد ميزاته، وتقييمه في المتجر. والذي يهم بدلا منها أن يعمل على كل أنظمة التشغيل التي تستعملها فعلا، وأن تكون نسخته المجانية صادقة؛ فنسخة مجانية محصورة بجهاز واحد تهدم فائدة مدير الكلمات كلها.

وموقفنا، وهو يخالف قوائم المقارنة المعتادة: مدير الكلمات المدمج في متصفحك خيار قابل للدفاع تماما لأكثر الناس. فمن يقضي ستة أشهر بحثا عن أفضل برنامج وهو في تلك الأشهر يكرر كلمة واحدة في كل مكان، حاله أسوأ ممن فعّل مدير متصفحه في اليوم الأول.

تطبيق التحقق بخطوتين: ما الذي يجب حفظه من البداية؟

رموز الاسترداد. هذه الجملة وحدها تمنع أكثر الضرر الذي يصيب الناس من التحقق بخطوتين، والضرر لا يأتي من هجوم بل من فقد الهاتف. ففي اللحظة التي تفعّل فيها التحقق بخطوتين تعرض عليك الخدمة بضعة رموز لمرة واحدة، ويغلق أكثر الناس تلك الشاشة. احفظها هناك في مدير كلمات مرورك؛ فذلك يأخذ ثلاثين ثانية وهو السبيل الوحيد للعودة إلى الحساب متى ذهب الهاتف.

ثم اختيار التطبيق نفسه. أما مقارنة أي الطرائق أأمن ففي درس كلمة المرور القوية والتحقق بخطوتين؛ وهنا يهم معيار عملي واحد: اختر تطبيقا يستطيع نقل مفاتيحه إلى هاتف جديد. فتطبيق بلا ذلك يحوّل يوم تبديل الهاتف إلى أمسية كاملة من العمل اليدوي.

وهنا اختيار حقيقي لكلا طرفيه كلفة، وينبغي أن يُقال بصدق. فالتطبيقات التي تزامن المفاتيح أيسر وتجعل فقد الهاتف بلا ضرر، لكن تلك المفاتيح صارت الآن في موضع آخر أيضا. ولأكثر الناس تميل الصفقة لصالح اليسر، لأن فقد الهاتف أرجح كثيرا من اختراق حساب المزامنة ذاك. لكن له استثناء: بريدك الرئيس، وهو مفتاح استرداد كل حساباتك الأخرى، الأولى أن يكون عامله الثاني في موضع لا يسكن مع البقية.

والنقطة نفسها تنطبق على مدير كلمات المرور: فأكثر المديرين اليوم يستطيعون حفظ رموز التحقق بخطوتين كذلك. وهو يسير ومعقول تماما للحسابات العادية، لكن انتبه إلى أن فعله يضع العاملين خلف قفل واحد. وللحسابات المهمة، أبقهما منفصلين.

والقاعدة التي تعلو هذا كله تأتي من الإرشاد العام لمكتب التحقيقات الفيدرالي: لا تعطِ رمز التحقق لأحد، لا ببريد، ولا برسالة نصية، ولا في تطبيق مراسلة معمّى. ويحذر ذلك الإرشاد نفسه من أن المهاجمين يستعملون الهندسة الاجتماعية ليدفعوك إلى إفشاء الرمز، ويقول في الموضع نفسه بتفعيل التحقق بخطوتين على كل حساب يسمح به وألا تعطّله أبدا. فما من شركة ولا مصرف ولا مكتب دعم يسألك ذلك الرمز.

النسخ الاحتياطي والتحديث: لماذا أشدها مللا أكثرها أثرا؟

التحديث التلقائي ليس أداة بل إعداد، وهو في قائمتنا البند الوحيد الذي لا يطلب منك شيئا سوى تفعيله مرة. وأثره كذلك أكبر من أي أداة ذُكرت في هذه الصفحة، لأن أكثر الثغرات التي تصل إلى مستخدم عادي كانت رقعتها قد نُشرت قبل أسابيع.

والنسخ الاحتياطي هو الشيء الوحيد في هذه القائمة الذي لا يمنع أي هجوم. وفائدته في موضع آخر: فهو الشيء الوحيد الذي ما زال ينفع بعد وقوع الحدث، سواء أكان الحدث برنامج فدية أم هاتفا نُسي في سيارة أجرة.

وقاعدته تسعها جملة واحدة: ثلاث نسخ من كل ما يهمك، على نوعين مختلفين من الوسائط، وواحدة منها في موضع آخر. وهذا للمستخدم العادي يعني الملف على الهاتف، وواحدة في التخزين السحابي، وواحدة على قرص خارجي غير موصول بالحاسوب دائما. و«غير موصول دائما» مهمة: فبرنامج الفدية الذي يعمّي حاسوبك يعمّي أيضا كل قرص موصول في تلك اللحظة.

والآن ما تعلمناه نحن ولم نره مقولا بهذا الوضوح في أي دليل نسخ احتياطي: النسخة تكتمل حين يُتحقق من صحتها، لا حين ينتهي الرفع. فالإضافة التي تضع نسخ هذا الموقع في التخزين السحابي تأخذ بصمة الملف من جهة الوجهة بعد انتهاء النقل وتزنها بالنسخة المحلية؛ وفي ذلك النظام تعني حالة «تم» بالضبط أن البصمة قُرئت وتطابقت. وقد سُجّلت هناك حتى اليوم تسع مهام نسخ، وانتهت التسع كلها بالمعيار نفسه؛ وآخرها ملف يقارب ثلاثمئة وخمسين ميغابايت استغرق نقله أكثر قليلا من دقيقة ونصف.

وترجمة ذلك لك، وأدواتك مختلفة والقاعدة واحدة: نسخة احتياطية لم تجرّب استعادتها مرة واحدة ليست نسخة، بل أمل. فمرة في السنة أعِد ملفا واحدا من النسخة وافتحه. ذلك الاختبار الصغير وحده يوضح الفرق بين أن تملك نسخة وأن تظن أنك تملكها. والطريقة وأدواتها في درس أخذ النسخ الاحتياطية.

ترشيح DNS وتنبيهات التسريب: أداتان أقل ما تسمع عنهما

في كل مرة تفتح فيها عنوانا، يجب على جهازك أولا أن يسأل إلى أي خادم ينتمي ذلك الاسم. وترشيح DNS يعمل في تلك اللحظة بالذات: فإن كان الاسم في قائمة نطاقات معروفة ببرمجيات خبيثة أو احتيال، لم يأتِ جواب ولم تُفتح الصفحة أصلا. وميزته أنه يقع قبل المتصفح وقبل أي إضافة، ويغطي كل أجهزة البيت بإعداد واحد على الموجّه. وخدمات مثل كواد ناين والنسخة العائلية من خدمة DNS لدى كلاودفلير تفعل هذا مجانا. والآلية تحته يفتحها درس ما هو DNS.

ولنذكر حده بصدق أيضا: ترشيح DNS لا يمسك إلا نطاقات موجودة في قائمة سلفا، فلا يفعل شيئا أمام نطاق سُجّل هذا الصباح. ولأنه يعمل على مستوى اسم النطاق، تفلت منه صفحة سيئة على نطاق محترم. أي أن المثال نفسه الذي أوردناه في درس التصفح الآمن كان سيمر من هذا المرشّح كذلك.

والأداة السادسة أبسط الكل وأعلاها مردودا على أقل عمل: تنبيهات التسريب. فثمة خدمات تجمع قائمة التسريبات العامة وتخبرك في أيها ظهر بريدك. وما عليك فعله مرة واحدة: أدخل عنوانك، وإن شئت فعّل التنبيه ليخبروك بالتسريب التالي.

وما ينبغي أن تفعله بعده هو ما لا يفعله أكثر الناس: تغيير كلمة تلك الخدمة وحدها لا يكفي. فإن كانت الكلمة نفسها عندك في موضع آخر، فلتُغيَّر تلك المواضع كلها. ولهذا كان تقرير التكرار في مدير كلمات المرور، المذكور في القسم الثاني، الشريك الطبيعي لهذه الأداة.

وإن أردنا أن نحوّل هذه الصفحة إلى عمل واحد: اذهب وعُدّ كم من هذه الفئات الست عندك الآن. وتجربتنا أن أكثر الناس عندهم أربع مفعّلة دون أن يدروا، وأن الغائبتين هما الاثنتان نفسهما دائما تقريبا: نسخة احتياطية لم يختبرها أحد، ورموز استرداد لم تُحفظ قط. والعدّ يسبق القراءة.