الرمز الذي عليك نسخه من هاتفك سيصبح قريبًا من الماضي. تمامًا مثل كلمة المرور التي يجب تذكّرها، والرسالة النصية القصيرة التي عليك انتظارها. بوابة EvoEX تدخل عصرًا جديدًا، وأساسه PASSKEY.
إذا سبق لك تسجيل الدخول إلى حسابك، وبعد إدخال كلمة المرور اضطررت إلى الإمساك بهاتفك على عجل لفتح Google Authenticator واللحاق بقراءة الرمز المكوّن من ستة أرقام، قبل أن يتغيّر، فأنت تعرف كم يمكن أن تكون عملية تسجيل الدخول “الآمنة” مزعجة. لهذا السبب بالتحديد نعتمد في بوابة EvoEX طريقة مصادقة جديدة لا تكتفي بتبسيط هذه العملية، بل تجعلها أكثر أمانًا بكثير من كل ما سبقها.
لماذا نفعل كل هذا
Passkey ليس سوى جزء واحد من صورة أكبر. لقد أنشأت EvoEX بوابتها خصيصًا لعملائها، وفي أساسها قاعدة ذكاء اصطناعي خاصة بها، والهدف بسيط: كل ما يحتاجه العميل موجود في مكان واحد، وسير العمل حوله يجري بأقل قدر ممكن من الإزعاج.
البوابة سهلة الاستخدام لدى موظفينا حاليًا، وستصبح متاحة للعملاء قريبًا جدًا. لقد أنهينا بنجاح اختبارات المستخدمين التجريبيين وحسّنّا النظام إلى أبعد حد ممكن في هذه المرحلة. وبالطبع، سيكون للعملاء أيضًا فرصة التأثير باستمرار في التغييرات المستقبلية، لكن البوابة نفسها تعمل منذ الآن بشكل مستقل وتفهم ما عليها فعله.
النظام متزامن مع البنك، ويتضمن وحدة محاسبة خاصة به تؤتمت معالجة المدفوعات والتذكيرات والعقود وتداول المستندات. لم يعد على العميل البحث عن المعلومات في أماكن متفرقة، فكل شيء في مكان واحد.
نعمل حاليًا بنشاط على دمج نظام الدفع. الهدف أن يكون في الفاتورة زر “ادفع”، يفتح للعميل البنك مع جميع البيانات المطلوبة مُدخلة مسبقًا، ولا يبقى سوى تأكيدها عبر Smart-ID أو وسيلة مصادقة أخرى بحسب البنك المعني. لن يكون هناك بعد الآن نسخ للبيانات ولا إدخال يدوي لأرقام الفواتير.
إضافة إلى ذلك، دُمج في البوابة روبوت محادثة أُنشئ أثناء مكالمات التحقق، وهناك عدة حلول أخرى قيد التنفيذ. نحن شركة تقنية صغيرة وفتية، ولهذا بالذات نستطيع أن نفكر بخطوة أبعد من كثير من الشركات الأكبر في المجال، فنحن لا نحتاج إلى تغيير عمليات قديمة، بل نبنيها من جديد.
وإحدى الخطوات في هذا الاتجاه هي passkey تحديدًا. إليك كيف ولماذا نعتمده.
كيف يعمل تسجيل الدخول حاليًا
في معظم البوابات، ومنها بوابتنا، اعتمدت عملية تسجيل الدخول حتى الآن على خطوتين. الأولى كلمة المرور، والثانية عادةً رمز يُستخدم مرة واحدة أو OTP (One-Time Password).
يمكن الحصول على هذا الرمز بطريقتين:
- عبر رسالة SMS – ترسل البوابة تركيبة من الأرقام إلى هاتفك.
- عبر تطبيق المصادقة – مثل Google Authenticator أو Microsoft Authenticator، الذي يولّد على الهاتف رمزًا جديدًا كل 30 ثانية.
يُعرف هذا النموذج بالمصادقة الثنائية (2FA)، وظل لفترة طويلة يُعدّ المعيار الذهبي. لكن المشكلة أنه هو أيضًا ليس منيعًا.
لماذا لم يعد OTP آمنًا بما يكفي
الرمز في حد ذاته مجرد سلسلة من الأرقام. وهذا يعني أنه يمكن سرقته مثل أي معلومة أخرى. غالبًا ما ينشئ المحتالون مواقع مزيفة تبدو تمامًا كالبوابة الأصلية (مثل صفحة تسجيل دخول مصرفية مزيفة)، فيُدخل المستخدم هناك، دون أن يشك بشيء، كلمة المرور ورمز OTP نفسه. ويستخدم المحتال هذا الرمز في اللحظة ذاتها لتسجيل الدخول إلى النظام الحقيقي.
بعبارة أخرى، يحميك OTP من أن يخمّن أحدهم كلمة مرورك ببساطة، لكنه لا يحميك من التصيّد الاحتيالي (phishing)، لأن المستخدم نفسه يُدخل الرمز طوعًا، لكن في المكان الخطأ.
ما هو Passkey ولماذا يُعدّ مستوى مختلفًا
Passkey هو طريقة تسجيل دخول جديدة تحل بالكامل محل كلمة المرور ورمز OTP معًا. فبدلًا من تذكّر أو إدخال أي شيء، يؤكد المستخدم هويته ببساطة باستخدام الأدوات المدمجة أصلًا في هاتفه أو حاسوبه، مثل التعرف على الوجه أو بصمة الإصبع أو رمز PIN الخاص بالجهاز.
من الناحية التقنية، يتكوّن كل passkey من جزأين: مفتاح عام يُخزَّن على خادم البوابة، ومفتاح خاص لا يغادر جهاز المستخدم أبدًا. ويعمل هذان الجزءان معًا لموقع واحد محدد فقط، وهذا بالضبط ما يغيّر قواعد اللعبة.
Passkey آمن تمامًا ضد التصيّد الاحتيالي
الحيلة المفضلة لدى المحتالين، أي الموقع المزيف الذي يحاكي الحقيقي، لا تنجح ببساطة ضد passkey. فالـ passkey مرتبط تشفيريًا بنطاق محدد. وإذا وصل المستخدم إلى صفحة مزيفة يختلف عنوانها ولو قليلًا عن العنوان الحقيقي، يتعرّف الجهاز على ذلك فورًا ولا يعرض خيار تسجيل الدخول بـ passkey أصلًا. من المستحيل فعليًا “ربط” الـ passkey الخاص بك بموقع خاطئ.
لم يعد هناك ما يمكن سرقته
تُخزَّن كلمات المرور التقليدية في قاعدة بيانات الموقع، ولذلك عندما ينجح المخترقون في الوصول إلى قاعدة البيانات في أي هجوم، تُسرق كلمات مرور جميع المستخدمين دفعة واحدة. أما مع passkey فيحفظ الخادم المفتاح العام فقط، وهو في حد ذاته عديم القيمة لأي مهاجم. أما المفتاح الخاص فيبقى حصريًا على هاتف المستخدم أو حاسوبه. وحتى لو تم اختراق الخادم بأقسى الطرق، فلن تنكشف أي بيانات دخول لأي مستخدم.
استبعاد العامل البشري
كم مرة سمعتَ عن شخص يستخدم كلمة المرور الضعيفة نفسها في خمسة حسابات مختلفة؟ يحل passkey هذه المشكلة تلقائيًا. فيُنشأ لكل موقع مفتاح فريد لا يضاهيه مفتاح في الطول والتعقيد، ولا يراه المستخدم أصلًا، ولذلك لا يمكنه نسيانه ولا الكشف عنه لأحد عن غير قصد.
هل لدى passkey نقاط ضعف أيضًا؟
بصراحة، نعم، نظريًا على الأقل. تتم مزامنة معظم مفاتيح passkey عبر حساب Apple iCloud أو حساب Google الخاص بالمستخدم، حتى لا يضيع الوصول عند تغيير الهاتف. وهذا يعني أن أمان passkey يعادل في قوته قوة حساب Google أو Apple الخاص بالمستخدم نفسه.
نقطة الضعف المحتملة الثانية هي عملية استرداد الحساب. إذا فقد المستخدم يومًا الوصول إلى جميع أجهزته، فعلى الموقع أن يوفر آلية استرداد، مثل رابط يُرسل إلى البريد الإلكتروني. ولهذا السبب تحديدًا، يجب أن تُبنى عملية استرداد الحساب من جانب الموقع بمستوى أمان مرتفع بالقدر نفسه، حتى لا تُنشئ ثغرة جديدة في المكان الذي كان passkey قد عالجها فيه.
كيف سيعمل على أجهزة Windows القديمة
يتكرر السؤال: هل سيعمل passkey على حاسوب لا يملك كاميرا للوجه أو قارئ بصمة؟ الجواب نعم، وهناك عدة حلول لذلك:
- رمز PIN أو كلمة مرور Windows – يُستخدم الرمز نفسه الذي يفتح به المستخدم حاسوبه.
- الهاتف كمفتاح – يعرض الموقع رمز QR، فيمسحه المستخدم بهاتفه (مثلًا باستخدام Face ID)، ويؤكد الجهازان عبر Bluetooth أنهما قريبان من بعضهما.
- محفظة المتصفح السحابية – مثل Google Password Manager، حيث يُحفظ passkey في حساب Google وليس في نظام Windows نفسه.
- مفتاح أمان مادي – أجهزة مثل YubiKey التي تعمل حتى على الحواسيب القديمة دون أي بيانات حيوية أو Bluetooth.
الخلاصة
passkey ليس مجرد طريقة أسهل قليلًا لتسجيل الدخول، بل هو نموذج مختلف جذريًا وأكثر أمانًا. فهو يعالج أنواع الهجمات نفسها التي ظلت كلمة المرور مع رمز OTP عاجزة أمامها. نحن في موقع EvoEX نسير في هذا الاتجاه عن وعي، لأن الأمان ليس مجالًا نوفّر فيه على حساب الراحة، ومع passkey لم تعد بحاجة إلى الاختيار بينهما.