رمز الأمان

بطاقة تعريف بترددات الراديو تستخدم لفتح الباب.

رمز الأمان هو جهاز محيطي يستخدم للوصول إلى مورد مقيد إلكترونيًا. يُستخدم الرمز بالإضافة إلى كلمة المرور أو بدلاً منها.[1] تتضمن أمثلة رموز الأمان بطاقات المفاتيح اللاسلكية المستخدمة لفتح الأبواب المغلقة، أو رمز مصرفي يستخدم كمصادق رقمي لتسجيل الدخول إلى الخدمات المصرفية عبر الإنترنت، أو توقيع المعاملات مثل التحويلات البنكية.

يمكن استخدام رموز الأمان لتخزين المعلومات مثل كلمات المرور، أو المفاتيح التشفيرية المستخدمة لإنشاء التوقيعات الرقمية، أو البيانات البيومترية (مثل بصمات الأصابع). تتضمن بعض التصميمات عبوات مقاومة للتلاعب، في حين قد تتضمن تصميمات أخرى لوحات مفاتيح صغيرة للسماح بإدخال رقم التعريف الشخصي (PIN) أو زر بسيط لبدء روتين توليد مع بعض القدرة على العرض لإظهار رقم المفتاح الذي ولد. تستخدم الرموز المتصلة مجموعة متنوعة من الواجهات بما في ذلك USB، أو الاتصالات قريبة المدى (NFC)، أو تحديد الترددات الراديوية (RFID)، أو البلوتوث. تتمتع بعض الرموز بإمكانيات صوتية مصممة للأشخاص الذين يعانون من ضعف البصر.

أنواع كلمات المرور

مثال على لوحة المفاتيح الصادرة عن البنك.

تحتوي جميع الرموز على بعض المعلومات السرية المستخدمة لإثبات الهوية. هناك أربع طرق مختلفة يمكن من خلالها استخدام هذه المعلومات:

رمز كلمة المرور الثابتة
يحتوي الجهاز على كلمة مرور مخفية فعليًا (غير مرئية للمستخدم)، ولكن تُرسل لكل مصادقة. هذا النوع عرضة لهجمات الإعادة.
رمز كلمة المرور الديناميكي المتزامن
يُستخدم المؤقت لتدوير مجموعات مختلفة أُنتجت بواسطة خوارزمية تشفير. يجب أن يكون لدى الرمز وخادم المصادقة ساعات متزامنة.
رمز كلمة المرور غير المتزامن
تُنشئ كلمة مرور لمرة واحدة دون استخدام ساعة، إما من خلال لوحة لمرة واحدة أو خوارزمية تشفير.
رمز التحدي والاستجابة
باستخدام التشفير بالمفتاح العام، من الممكن إثبات امتلاك مفتاح خاص دون الكشف عن هذا المفتاح. يقوم خادم المصادقة بتشفير التحدي (عادةً رقم عشوائي، أو على الأقل بيانات تحتوي على بعض الأجزاء العشوائية) باستخدام مفتاح عام؛ ويثبت الجهاز أنه يمتلك نسخة من المفتاح الخاص المطابق من خلال توفير التحدي الذي فُك تشفيره.

تتغير كلمات المرور المتزامنة مع الوقت والمستخدمة لمرة واحدة باستمرار عند فترة زمنية محددة؛ على سبيل المثال، مرة واحدة كل دقيقة. للقيام بذلك، يجب أن يكون هناك نوع من المزامنة بين رمز العميل وخادم المصادقة. بالنسبة للرموز غير المتصلة، تُجرى مزامنة الوقت هذه قبل توزيع الرمز على العميل. تقوم أنواع الرموز الأخرى بالمزامنة عند إدخال الرمز في جهاز الإدخال. المشكلة الرئيسية مع الرموز المتزامنة مع الوقت هي أنها قد تصبح غير متزامنة بمرور الوقت.[2] ومع ذلك، فإن بعض هذه الأنظمة، مثل SecurID من RSA، تسمح للمستخدم بإعادة مزامنة الخادم مع الرمز، في بعض الأحيان عن طريق إدخال العديد من رموز المرور المتتالية. كما أن معظمها لا يمكن أن تحتوي على بطاريات قابلة للاستبدال ولا تدوم أكثر من 5 سنوات قبل الحاجة إلى استبدالها - لذا فهناك تكلفة إضافية.[3] يستخدم نوع آخر من كلمات المرور لمرة واحدة خوارزمية رياضية معقدة، مثل سلسلة التجزئة، لتوليد سلسلة من كلمات المرور لمرة واحدة من مفتاح مشترك سري. تعتبر كل كلمة مرور فريدة من نوعها، حتى لو كانت كلمات المرور السابقة معروفة. خوارزمية OATH مفتوحة المصدر هي خوارزمية موحدة؛ تخضع الخوارزميات الأخرى لبراءات اختراع أمريكية. من الواضح أن كل كلمة مرور غير متوقعة ومستقلة عن الكلمات السابقة، حيث لن يتمكن الخصم من تخمين كلمة المرور التالية، حتى مع معرفة كل كلمات المرور السابقة.

الأنواع المادية

يمكن أن تحتوي الرموز على شرائح ذات وظائف تتراوح من البسيطة للغاية إلى المعقدة للغاية، بما في ذلك طرق المصادقة المتعددة.

لا تحتاج رموز الأمان البسيطة إلى أي اتصال بجهاز كمبيوتر. تحتوي الرموز على شاشة مادية؛ يقوم المستخدم المسجل ببساطة بإدخال الرقم المعروض لتسجيل الدخول. تتصل الرموز الأخرى بالكمبيوتر باستخدام تقنيات لاسلكية، مثل البلوتوث. تنقل هذه الرموز تسلسل المفاتيح إلى العميل المحلي أو إلى نقطة وصول قريبة.[4]

بدلاً من ذلك، هناك شكل آخر من الرموز المتاحة على نطاق واسع لسنوات عديدة وهو الجهاز المحمول الذي يتواصل باستخدام قناة خارج النطاق (مثل الصوت أو الرسائل القصيرة أو USSD).

هناك رموز أخرى تُوصل بالكمبيوتر وقد تتطلب رقم التعريف الشخصي (PIN). اعتمادًا على نوع الرمز، سيقوم نظام تشغيل الكمبيوتر بعد ذلك إما بقراءة المفتاح من الرمز وإجراء عملية تشفير عليه، أو يطلب من البرنامج الثابت للرمز إجراء هذه العملية.

ومن التطبيقات ذات الصلة جهاز الدونجل المطلوب من قبل بعض برامج الكمبيوتر لإثبات ملكية البرنامج . يُوضع الدونجل في جهاز الإدخال ويقوم البرنامج بالوصول إلى جهاز الإدخال/الإخراج المعني للسماح باستخدام البرنامج المعني.

توفر الحلول التجارية من قبل مجموعة متنوعة من البائعين، ولكل منهم تطبيق خاص به (وغالبًا ما يكون حاصلًا على براءة اختراع) لميزات أمان مستخدمة بشكل مختلف. أُعتمدت تصميمات الرموز التي تلبي معايير أمان معينة في الولايات المتحدة باعتبارها متوافقة مع FIPS 140، وهو معيار أمان فيدرالي.[5] في بعض الأحيان، يُنظر إلى الرموز التي لا تحتوي على أي نوع من الشهادات على أنها مشبوهة، لأنها غالبًا لا تلبي معايير الأمان الحكومية أو الصناعية المقبولة، ولم تخضع لاختبارات صارمة، ومن المرجح أنها لا تستطيع توفير نفس مستوى الأمان التشفيري مثل حلول الرموز التي دُققت تصميماتها بشكل مستقل من قبل وكالات خارجية.

الرموز المنفصلة

رمز غير متصل. يجب نسخ الرقم إلى حقل PASSCODE يدويًا.

لا تحتوي الرموز المنفصلة على اتصال فعلي أو منطقي بجهاز الكمبيوتر العميل. إنها لا تتطلب عادةً جهاز إدخال خاص، وتستخدم بدلاً من ذلك شاشة مدمجة لعرض بيانات المصادقة المُولدة، والتي يدخلها المستخدم بنفسه يدويًا عبر لوحة المفاتيح أو لوحة المفاتيح الرقمية. الرموز المنفصلة هي النوع الأكثر شيوعًا من رموز الأمان المستخدمة (عادةً بالاشتراك مع كلمة مرور) في المصادقة الثنائية للتعريف عبر الإنترنت.[6]

الرموز المتصلة

الرموز المتصلة هي رموز يجب أن تكون متصلة فعليًا بالكمبيوتر الذي يستخدمه المستخدم للمصادقة. تنقل الرموز في هذه الفئة معلومات المصادقة تلقائيًا إلى كمبيوتر العميل بمجرد إجراء اتصال فعلي، مما يلغي الحاجة إلى قيام المستخدم بإدخال معلومات المصادقة يدويًا. ومع ذلك، لاستخدام رمز متصل، يجب تثبيت جهاز الإدخال المناسب. أكثر أنواع الرموز المادية شيوعًا هي البطاقات الذكية ورموز USB (وتسمى أيضًا مفاتيح الأمان )، والتي تتطلب قارئ بطاقات ذكية ومنفذ USB على التوالي. على نحو متزايد، أصبحت رموز FIDO2، المدعومة من قبل مجموعة المواصفات المفتوحة FIDO Alliance، شائعة لدى المستهلكين مع دعم المتصفحات السائدة بدءًا من عام 2015 وبدعم من مواقع الويب الشهيرة ومواقع التواصل الاجتماعي.

صُممت بطاقات الكمبيوتر القديمة للعمل بشكل أساسي مع أجهزة الكمبيوتر المحمولة. تُفضل بطاقات الكمبيوتر من النوع الثاني كرمز لأنها نصف سمك النوع الثالث.

يعد منفذ مقبس الصوت طريقة عملية نسبيًا لإنشاء اتصال بين الأجهزة المحمولة، مثل iPhone وiPad وAndroid، والملحقات الأخرى. الجهاز الأكثر شهرة هو ما يسمى بـ Square، وهو قارئ بطاقات الائتمان لأجهزة iOS وAndroid.

يستخدم البعض واجهة ذات غرض خاص (على سبيل المثال مفتاح التشغيل المشفر الذي نشرته وكالة الأمن القومي الأمريكية). يمكن أيضًا استخدام الرموز كبطاقة هوية تحتوي على صورة. يمكن أيضًا أن تعمل الهواتف المحمولة وأجهزة المساعد الرقمي الشخصي (PDA) كرموز أمان مع البرمجة المناسبة.

البطاقات الذكية

تستخدم العديد من الرموز المتصلة تقنية البطاقة الذكية. يمكن أن تكون البطاقات الذكية رخيصة جدًا (حوالي عشرة سنتات) وتحتوي على آليات أمنية مثبتة (كما تستخدمها المؤسسات المالية، مثل بطاقات النقد). ومع ذلك، فإن الأداء الحسابي للبطاقات الذكية غالبًا ما يكون محدودًا إلى حد ما بسبب استهلاك الطاقة المنخفض للغاية ومتطلبات عامل الشكل فائق النحافة.

توفر رموز USB المستندة إلى البطاقة الذكية والتي تحتوي على شريحة بطاقة ذكية في الداخل وظائف رموز USB والبطاقات الذكية. إنها تتيح مجموعة واسعة من حلول الأمان وتوفر قدرات وأمان البطاقة الذكية التقليدية دون الحاجة إلى جهاز إدخال فريد. من وجهة نظر نظام تشغيل الكمبيوتر، فإن هذا الرمز هو عبارة عن قارئ بطاقات ذكية متصل بمنفذ USB يحتوي على بطاقة ذكية واحدة غير قابلة للإزالة.[7]

الرموز غير التلامسية

على عكس الرموز المتصلة، تشكل الرموز غير التلامسية اتصالاً منطقيًا بجهاز الكمبيوتر العميل ولكنها لا تتطلب اتصالاً فعليًا. إن عدم الحاجة إلى الاتصال الجسدي يجعلها أكثر ملاءمة من الرموز المتصلة وغير المتصلة. ونتيجة لذلك، أصبحت الرموز غير التلامسية خيارًا شائعًا لأنظمة الدخول بدون مفتاح وحلول الدفع الإلكترونية مثل Mobil Speedpass، الذي يستخدم تقنية RFID لنقل معلومات المصادقة من رمز سلسلة المفاتيح. ومع ذلك، فقد أثيرت مخاوف أمنية مختلفة حول رموز RFID بعد أن اكتشف الباحثون في جامعة جونز هوبكنز ومختبرات RSA أن علامات RFID يمكن اختراقها واستنساخها بسهولة.[8]

هناك عيب آخر وهو أن عمر البطارية للرموز غير التلامسية قصير نسبيًا؛ عادةً ما يكون 5 إلى 6 سنوات فقط، وهو عمر منخفض مقارنة برموز USB التي قد تدوم لأكثر من 10 سنوات. ومع ذلك، تسمح بعض الرموز بتغيير البطاريات، مما يقلل التكاليف.

رموز البلوتوث

توفر بروتوكولات Bluetooth Low Energy دورة حياة بطارية طويلة الأمد للنقل اللاسلكي.

  • يعد نقل بيانات هوية البلوتوث المتأصلة هو الأقل جودة لدعم المصادقة.
  • يُستخدم الاتصال ثنائي الاتجاه لتبادل البيانات المعاملاتية لإجراءات المصادقة الأكثر تطوراً.

على الرغم من ذلك، فإن التحكم في قوة ناقل الحركة الأوتوماتيكي يحاول تقدير المسافة الشعاعية. يتوفر الهروب بعيدًا عن خوارزمية التحكم في طاقة البلوتوث القياسية لتوفير معايرة على الحد الأدنى المطلوب من طاقة النقل.[9]

غالبًا ما تُدمج رموز البلوتوث مع رمز USB، وبالتالي تعمل في حالة الاتصال وعدم الاتصال. تعمل مصادقة البلوتوث عند الاقتراب من مسافة أقل من 32 قدم (9.8 متر). عندما لا يعمل رابط البلوتوث بشكل صحيح، يمكن إدخال الرمز في جهاز إدخال USB ليعمل.

هناك مزيج آخر يتمثل في استخدام بطاقة ذكية لتخزين كميات أكبر من بيانات الهوية محليًا ومعالجة المعلومات أيضًا.[10] وهناك رمز آخر وهو رمز BLE بدون تلامس يجمع بين التخزين الآمن والإصدار الرمزي لبيانات اعتماد بصمة الإصبع.[11]

في وضع التشغيل USB، يتطلب تسجيل الخروج العناية بالرمز أثناء توصيله ميكانيكيًا بمقبس USB. الميزة في وضع التشغيل عبر البلوتوث هي خيار الجمع بين تسجيل الخروج ومقاييس المسافة. تُعد المنتجات المعنية، وفقًا لمفاهيم المقود الإلكتروني.

رموز NFC

يمكن أن تعمل رموز الاتصال قريب المدى (NFC) المدمجة مع رمز Bluetooth في أوضاع متعددة، وبالتالي تعمل في حالة الاتصال وعدم الاتصال. تعمل مصادقة NFC عند الاقتراب من مسافة أقل من 1 قدم (0.3 متر). يربط بروتوكول NFC المسافات القصيرة بالقارئ بينما يعمل اتصال Bluetooth على توفير البيانات باستخدام الرمز لتمكين المصادقة. بالإضافة إلى ذلك، عندما لا يكون رابط البلوتوث متصلاً، قد تقوم الرمز بخدمة معلومات المصادقة المخزنة محليًا في وضع تقريبي لقارئ NFC وتتحرر من الوضع الدقيق إلى موصل.

رموز برامج تسجيل الدخول مرة واحدة

تستخدم بعض أنواع حلول تسجيل الدخول الفردي (SSO)، مثل تسجيل الدخول الفردي للمؤسسات، الرمز لتخزين البرامج التي تسمح بالمصادقة السلسة وملء كلمة المرور. نظرًا لأن كلمات المرور مخزنة على الرمز، فلا يحتاج المستخدمون إلى تذكر كلمات المرور الخاصة بهم وبالتالي يمكنهم اختيار كلمات مرور أكثر أمانًا، أو تعيين كلمات مرور أكثر أمانًا لهم. عادةً ما تخزن معظم الرموز تجزئة تشفيرية لكلمة المرور بحيث تظل كلمة المرور محمية في حالة تعرض الرمز للخطر.[12]

الرموز القابلة للبرمجة

تُسوق الرموز القابلة للبرمجة كبديل "مباشر" لتطبيقات الهاتف المحمول مثل Google Authenticator (miniOTP). يمكن استخدامها كبديل لتطبيق الهاتف المحمول، وكذلك بالتوازي كنسخة احتياطية.

نقاط الضعف

الخسارة والسرقة

أبسط نقطة ضعف في أي حاوية كلمة مرور هي سرقة الجهاز أو فقدانه. يمكن تقليل فرص حدوث ذلك، أو حدوثه دون علم، من خلال تدابير أمنية مادية مثل الأقفال أو المقود الإلكتروني أو مستشعر الجسم والإنذار. يمكن جعل الرموز المسروقة عديمة الفائدة باستخدام المصادقة الثنائية. بشكل عام، من أجل المصادقة، يجب إدخال رقم التعريف الشخصي (PIN) مع المعلومات التي يوفرها الرمز في نفس وقت إخراج الرمز.

مهاجمة

أي نظام يسمح للمستخدمين بالمصادقة عبر شبكة غير موثوقة (مثل الإنترنت) يكون عرضة لهجمات الرجل في المنتصف. في هذا النوع من الهجمات، يعمل المهاجم بمثابة "وسيط" بين المستخدم والنظام الشرعي، ويطلب إخراج الرمز المميز من المستخدم الشرعي ثم يقدمه إلى نظام المصادقة نفسه. نظرًا لأن قيمة الرمز صحيحة رياضيًا، تنجح عملية المصادقة ويُمنح المحتال حق الوصول. في عام 2006، كان سيتي بنك ضحية لهجوم عندما أصبح مستخدمو الأعمال المجهزون برموز الأجهزة ضحايا لعملية تصيد احتيالي كبيرة مقرها أوكرانيا.[13][14]

خرق القواعد

في عام 2012، قام فريق البحث في Prosecco في INRIA Paris-Rocquencourt بتطوير طريقة فعالة لاستخراج المفتاح السري من العديد من أجهزة التشفير PKCS #11.[15][16] وثقت هذه النتائج في التقرير الفني INRIA RR-7944، المعرف hal-00691958،[17] ونشرت في CRYPTO 2012.[18]

التوقيع الرقمي

يُعد التوقيع الرقمي بمثابة نظير إلكتروني للتوقيع بخط اليد، ويجب إنشاؤه باستخدام مفتاح خاص لا يعرفه إلا الشخص المخول بالتوقيع، مما يضمن أصالة الهوية وسلامة البيانات. تتيح الرموز التي تسمح بإنشاء وتخزين مفاتيح خاصة بشكل آمن على متن الطائرة إمكانية التوقيعات الرقمية الآمنة، ويمكن استخدامها أيضًا لمصادقة المستخدم، حيث يعمل المفتاح الخاص أيضًا كدليل على هوية المستخدم.

لكي تتمكن الرموز من تحديد هوية المستخدم، يجب أن تحتوي جميع الرموز على نوع ما من الأرقام الفريدة. لا تُعد جميع الأساليب مؤهلة تمامًا لتكون توقيعات رقمية وفقًا لبعض القوانين الوطنية. لا يمكن استخدام الرموز التي لا تحتوي على لوحة مفاتيح مدمجة أو واجهة مستخدم أخرى في بعض سيناريوهات التوقيع، مثل تأكيد معاملة مصرفية بناءً على رقم الحساب المصرفي الذي سيحول الأموال إليه.

انظر أيضا

مراجع

  1. ↑ Schink، Marc؛ Wagner، Alexander؛ Unterstein، Florian؛ Heyszl، Johann (9 يوليو 2021). "Security and Trust in Open Source Security Tokens". IACR Transactions on Cryptographic Hardware and Embedded Systems: 176–201. DOI:10.46586/tches.v2021.i3.176-201. ISSN:2569-2925. S2CID:235349083. مؤرشف من الأصل في 2024-12-11.
  2. ↑ RD, Token2 (7 Jan 2019). "Time drift: a major downside of TOTP hardware tokens". Medium (بالإنجليزية). Retrieved 2020-11-21.{{استشهاد ويب}}: صيانة الاستشهاد: أسماء عددية: قائمة المؤلفين (link)
  3. ↑ "Time Drift in TOTP Hardware Tokens Explained and Solved - Protectimus Solutions". Protectimus (بالإنجليزية البريطانية). 3 Jun 2019. Retrieved 2020-11-21.
  4. ↑ "2.3.3: Authentication Methods - Security Tokens". Engineering LibreTexts (بالإنجليزية). 15 Jan 2021. Retrieved 2023-05-08.
  5. ↑ National Institute of Standards and Technology (أبريل 2019). Security requirements for cryptographic modules (PDF) (Report). Gaithersburg, MD: National Institute of Standards and Technology. DOI:10.6028/nist.fips.140-3. مؤرشف من الأصل (PDF) في 2025-05-08.
  6. ↑ de Borde، Duncan (28 يونيو 2007). "Two-factor authentication" (PDF). Siemens Insight Consulting. مؤرشف من الأصل (PDF) في 2012-01-12. اطلع عليه بتاريخ 2009-01-14.
  7. ↑ Specification for Integrated Circuit(s) Cards Interface Devices نسخة محفوظة 2005-12-29 على موقع واي باك مشين., usb.org
  8. ↑ Biba، Erin (14 فبراير 2005). "Does Your Car Key Pose a Security Risk?". PC World. مؤرشف من الأصل في 2011-06-05. اطلع عليه بتاريخ 2009-01-14.
  9. ↑ "Verfahren zum Steuern der Freigabe einer Einrichtung oder eines Dienstes, als Master ausgebildete Sendeempfangseinrichtung sowie System mit derartiger Einrichtung". dpma.de. اطلع عليه بتاريخ 2018-04-16.
  10. ↑ "cgToken | certgate". www.certgate.com. مؤرشف من الأصل في 2013-10-09.
  11. ↑ "Biometric U2F OTP Token - HYPR". HYPR Corp. اطلع عليه بتاريخ 2018-04-16.
  12. ↑ "2.3.3: Authentication Methods - Security Tokens". Engineering LibreTexts (بالإنجليزية). 15 Jan 2021. Retrieved 2024-11-21.
  13. ↑ Leyden, John (13 Jul 2006). "Phishers rip into two-factor authentication". The Register (بالإنجليزية). Archived from the original on 2019-07-12. Retrieved 2018-09-25.
  14. ↑ Krebs، Brian (10 يوليو 2006). "Citibank Phish Spoofs 2-Factor Authentication". The Washington Post. مؤرشف من الأصل في 2021-05-08. اطلع عليه بتاريخ 2018-09-25.
  15. ↑ Sengupta، Somini (25 يونيو 2012). "Computer Scientists Break Security Token Key in Record Time". New York Times. مؤرشف من الأصل في 2022-03-19. اطلع عليه بتاريخ 2012-06-25.
  16. ↑ Owano، Nancy (27 يونيو 2012). "Team Prosecco dismantles security tokens". فيز (موقع). مؤرشف من الأصل في 2025-03-19. اطلع عليه بتاريخ 2014-03-29.
  17. ↑ "Prosecco :: Publications". اطلع عليه بتاريخ 2014-03-29.
  18. ↑ "Accepted Papers CRYPTO 2012". اطلع عليه بتاريخ 2014-03-29.
    المراجع العامة 

    روابط خارجية

    هذه المقالة صادرة عن Wikipedia. النص متاح تحت رخصة المشاع الإبداعي - الإسناد - الترخيص بالمثل. قد تُطبَّق شروط إضافية على ملفات الوسائط.