ما المقصود بالمصادقة متعددة العوامل (MFA)؟

تطلب المصادقة متعددة العوامل من المستخدم عند التسجيل عدة وسائل لإثبات الهوية. يخزن النظام معلومات الهوية ومعلومات المستخدم للتحقق منها في عملية تسجيل الدخول اللاحقة. تسجيل الدخول هي عملية متعددة الخطوات تتحقق من كلمة المرور ومن معلومات الهوية الأخرى.

نوضح أدناه الخطوات التي تشتمل عليها عملية المصادقة متعددة العوامل:

يقوم المستخدم بإنشاء الحساب باسم مستخدم وكلمة مرور. وبعد ذلك يربط حسابه بعناصر أخرى، مثل جهاز هاتف خلوي أو جهاز مادي. وأيضًا ربما يكون العنصر الآخر عنصرًا افتراضيًا، مثل عنوان بريد إلكتروني أو رقم هاتف محمول أو رمز تطبيق مُصدِّق. تساعد كل هذه العناصر في التعرف على المستخدم بطريقة فريدة ودقيقة ويجب عدم مشاركتها مع الآخرين.

عندما يقوم المستخدم من خلال المصادقة متعددة العوامل (MFA) بتسجيل الدخول إلى موقع ويب، يُطلب منه اسم المستخدم وكلمة المرور (العامل الأول – الذي يعرفه)، وكذلك يُطلب منه الاستجابة للمصادقة من جهاز المصادقة متعددة العوامل (MFA) (العامل الثاني – الذي لديه).

إذا تحقق النظام من كلمة المرور، فإنه يتصل بالعناصر الأخرى. على سبيل المثال، قد يصدر النظام رمزًا مكونًا من أرقام للجهاز أو يرسل رمزًا عبر رسالة نصية قصيرة إلى الجهاز المحمول الذي لدى المستخدم.

يُكمل المستخدم عملية المصادقة عن طريق تأكيد العناصر الأخرى. على سبيل المثال، ربما يُدخل الرمز الذي حصل عليه أو يضغط على زر بالجهاز. لا يحصل المستخدم على إمكانية الوصول إلى النظام إلا إذا تم التحقق من جميع المعلومات الأخرى.

تتنوع طرق تنفيذ المصادقة متعددة العوامل. فيما يلي بعض الأمثلة:

• يطلب النظام كلمة المرور ومعرّفًا آخر فقط، وفي هذه الحالة تسمى المصادقة ثنائية العوامل أو المصادقة المكونة من خطوتين.
• بدلاً من النظام، يتحقق تطبيق تابع لجهة خارجية يسمى التطبيق المُصدِّق من هوية المستخدم. يقوم المستخدم بإدخال رمز المرور في المُصدِّق، ويؤكد المُصدِّق هوية المستخدم على النظام.
• أثناء عملية التحقق، يقوم المستخدم بإدخال المعلومات الحيوية عن طريق المسح الضوئي لبصمة إصبع أو شبكية العين أو أي جزء آخر من الجسم.
• قد يطلب النظام عدة أنواع من المصادقة عند الوصول إليه لأول مرة على جهاز جديد. بعد ذلك، يتذكر الجهاز ويطلب كلمة المرور فقط.

تعتمد طرق المصادقة متعددة العوامل (MFA) على شيء تعرفه، و/أو شيء تحوزه، و/أو شيء ملازم لك. نوضح أدناه بعض عوامل المصادقة الشائعة:

في الطريقة "عامل المعرفة"، يتعين على المستخدمين إثبات هويتهم من خلال الكشف عن معلومات لا يعرفها أحد غيرهم. من الأمثلة النموذجية على "عامل المعرفة" الأسئلة السرية التي تحتوي على إجابات لا يعرفها سوى المستخدم، مثل اسم أول حيوان أليف أو اسم والدته قبل الزواج. قد تطلب التطبيقات أيضًا الوصول إلى رمز تعريف شخصي (رمز pin) مكون من أربعة أرقام.

تظل هذه الطرق آمنةً طالما لم يكتشف أي شخص آخر المعلومات السرية. قد يبحث المجرمون في التاريخ الشخصي للمستخدم أو يخدعونه للكشف عن هذه المعلومات. يمكن أيضًا اختراق رموز Pin باستخدام طريقة القوة الغاشمة التي تخمّن المجموعات المكونة من أربعة أرقام.

في الطريقة "عامل الحيازة"، يُعرّف المستخدمون أنفسهم بشيء يتفردون في امتلاكه. إليك بعض الأمثلة:

• الأجهزة المادية مثل الهواتف المحمولة، ورموز الأمان، وبطاقات العرض، وسلاسل الأجهزة، ومفاتيح الأمان.
• الأصول الرقمية مثل حسابات البريد الإلكتروني وتطبيقات المُصدِّق

يرسل النظام رمزًا سريًا في شكل رسالة رقمية إلى هذه الأجهزة أو الأصول، ثم يعيد المستخدم إدخالها في النظام. يمكن اختراق الحساب في حالة فقد الجهاز أو سرقته. تتحايل بعض رموز الأمان على هذه المشكلة من خلال الاتصال مباشرةً بالنظام وبالتالي لا يمكن الوصول إليها رقميًا.

تستخدم طريقة "العامل المتأصل أو الملازم" معلومات ملازمة ومتأصلة للمستخدم. إليك بعض الأمثلة على عوامل المصادقة هذه:

• عمليات المسح الضوئي لبصمات أصابع
• عمليات المسح الضوئي لشبكية العين
• التعرف على الصوت
• التعرف على الوجه
• المقاييس الحيوية السلوكية مثل ديناميكية ضغط المفاتيح 

من المفترض أن يجمع التطبيق هذه المعلومات ويخزنها مع كلمة المرور أثناء التسجيل. يتعين على الشركة التي تدير التطبيق أن تحمي المقاييس الحيوية بجانب حماية كلمات المرور.