ما هي المصادقة الثنائية (2FA)، كيف أفعّلها وهل هي آمنة حقاً؟

2FA = كلمة مرور + كود، يجي بالرسائل النصية أو يظهر في تطبيق المصادقة. تطبيق المصادقة أكثر أماناً، الرسائل النصية ممكن تتخترق. احتفظ بأكواد النسخ الاحتياطي، وإلا الحساب راح يظل مقفل. أنا خلّيت الكل في الشركة يفعّل تطبيق المصادقة...

تنفيذ 2FA: معيار TOTP (RFC 6238)، نافذة 30 ثانية، كود من 6 أرقام. الأدوات: Google Authenticator، Microsoft Authenticator، Authy (نسخ احتياطي سحابي)، FreeOTP. 2FA العتادية: YubiKey (FIDO2/U2F)، 40-60 دولار، درجة مؤسسية، مقاومة للتصيّد. مخاطر 2FA عبر SMS: هجوم SS7 (تبديل الشريحة)، ما ينصح فيه للأمان العالي. إنتروبيا أكواد النسخ الاحتياطي: حد أدنى 40-بت (64 رقم سداسي عشري، 16 كلمة)، تُنتج وتُجزّأ (hash) على الخادم. استرجاع الحساب: بريد إلكتروني احتياطي، رسائل نصية احتياطية، أسئلة أمنية (غير موصى بها). تكامل MDM: Intune، MobileIron يفرض قفل 2FA.

لما تفعّل التحقق بخطوتين، متتنساش أكواد الاحتياط يا أخي، دي اللي بتلحقك. امسح كود QR في تطبيق المصادقة، واحفظ 10-15 كود (مش على السحابة)، وخلاص. لو ضاع تليفونك تقدر تسترجع الحساب بأكواد الاحتياط ومتفعّلش الرسائل النصية أبداً، الناس بتعمل تصيد احتيالي...

سير عمل التحقق بخطوتين: 1) فعّل TOTP (تطبيق المصادقة)، 2) أنشئ واحفظ أكواد الاحتياط، 3) اختبر تسجيل الدخول + التحقق بخطوتين، 4) خزّن أكواد الاحتياط دون اتصال (خزنة، طباعة)، 5) شارك إجراءات الاسترداد (الفريق). للمؤسسات: سياسة مركزية (الوصول المشروط)، قدرات حل إدارة الوصول، سجلات التدقيق. التحديات: تقبل المستخدمين (الاحتكاك)، فقدان الجهاز (عملية الاسترداد)، التكلفة (أجهزة التحقق المادية). التخفيف: التثقيف، أدلة الاسترداد، إدارة الأجهزة المحمولة + الوصول المشروط (التسجيل التلقائي).

لما تفعّل التحقق بخطوتين هتبقى آمن 10 مليون مرة أكتر!!! كلمة السر + الكود، حتى الهاكرز مش هيقدروا يمسكوا الاتنين مع بعض.. ثم اكتب أكواد الاحتياط على ورقة، وحطها في الخزنة، ونزّل الكود على تليفونك كمان، وهتنام مرتاح...

عند النظر إلى العملية ككل، تتغير الصورة. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

إذا كنت ستسلك هذا المسار، فحل هذه المشكلة من البداية... تقرير الفحص الآلي ليس نفس اختبار الاختراق.

دعني أتركها كملاحظة، قد تكون مفيدة.

شكراً لكتابة هذا، فهو صحيح تماماً. محاولة فعل هذا بمفردك هي أغلى الطرق.

لو كنت مكانك، لسلك هذا المسار.

ما كُتب هنا يطابق تماماً ما عشناه. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

دعني أوضح الجانب التقني قليلاً. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

لو كنت مكانك، لسلك هذا المسار.

ملخص سريع للجدد: إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

هذا كل شيء، أرجو المعذرة إذا أطالت.

سأكتب ما حدث لي، ربما يفيدكم. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أنا في نفس الوضع، لذلك أسأل. يعني تقرير الفحص الآلي ليس نفس اختبار الاختراق.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

صححوا لي إن أخطأت.

أتابع الموضوع. بصراحة وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

محاولة فعل هذا بمفردك هي أغلى الطرق. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أتفق جزئياً، وأختلف جزئياً. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

دعني أشارك تجربتي. فعل الجميع لشيء ما لا يعني أنه صحيح.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.