MFA اختصار لـ Multi-Factor Authentication، و2FA هي حالتها الأشهر باستخدام عاملين فقط. الفكرة أن كلمة المرور وحدها تُسرق بسهولة عبر التصيد أو التسريبات أو البرمجيات الخبيثة، لذا نطلب دليلاً إضافياً من نوع مختلف.
العوامل الثلاثة للمصادقة
- شيء تعرفه (Knowledge): كلمة مرور أو رقم PIN.
- شيء تملكه (Possession): هاتف عليه تطبيق مصادقة، أو مفتاح أمان فعلي، أو بطاقة ذكية.
- شيء أنت عليه (Inherence): بصمة الإصبع أو الوجه.
ملاحظة مهمة: كلمة مرور مع سؤال أمان لا تُعد MFA، لأن الاثنين من نفس العامل.
الأساليب من الأضعف إلى الأقوى
| الأسلوب | الملاحظات |
|---|---|
| SMS أو مكالمة | أفضل من لا شيء، لكنه عرضة لسرقة الشريحة (SIM Swapping) والتصيد. |
| تطبيقات TOTP | رموز من 6 أرقام تتغير كل 30 ثانية مثل Google Authenticator، لكنها قابلة للتصيد. |
| إشعارات Push | مريحة، ويجب تفعيل مطابقة الأرقام (Number Matching) لمواجهة هجمات الإرهاق. |
| FIDO2 / Passkeys | مقاومة للتصيد لأن المفتاح مرتبط بنطاق الموقع الحقيقي ولا يعمل على موقع مزيف. |
مثال واقعي: هجوم إرهاق MFA
في سبتمبر 2022 تعرضت شركة Uber لاختراق بدأ بحصول المهاجم على كلمة مرور موظف متعاقد، ثم أغرقه بطلبات موافقة Push متكررة، وتواصل معه منتحلاً صفة الدعم الفني حتى وافق على أحدها. يُعرف هذا الأسلوب بـ MFA Fatigue، وهو سبب انتقال الشركات إلى مطابقة الأرقام والمفاتيح المقاومة للتصيد.
أين تفعّل MFA أولاً؟
- البريد الإلكتروني وحسابات Microsoft 365 أو Google Workspace.
- كل وصول عن بعد: VPN و RDP Gateway وبوابات الإدارة السحابية.
- حسابات المسؤولين وواجهات إدارة جدران الحماية والسيرفرات.
- البنوك ومنصات الدفع وحسابات التسجيل للنطاقات والاستضافة.
واحفظ رموز الاسترداد (Backup Codes) في مكان آمن، وفكّر في تسجيل مفتاحين لحسابات المسؤولين.
الفرق بين 2FA و MFA
2FA تعني عاملين تحديداً، بينما MFA تعني عاملين أو أكثر. عملياً يُستخدم المصطلحان بالتبادل في أغلب الخدمات.
