ما هو YubiKey وكيف يحمي حساباتك من التصيد؟
الكاتب: فريق تحرير Domeny.ForSale تاريخ النشر
باختصار: YubiKey مفتاح أمان مادي صغير من شركة Yubico، يُستخدم لتأكيد تسجيل الدخول إلى الحسابات والخدمات. عند استخدامه مع FIDO2 أو U2F، يوفر حماية من التصيد الاحتيالي أكثر فاعلية من الرموز التي تُدخل يدويًا، لأنه يتحقق من ارتباط عملية الدخول بالموقع الصحيح. لا يلزمك امتلاك مفتاحين، لكن وجود مفتاح احتياطي يقلل بوضوح من خطر فقدان الوصول إذا ضاع المفتاح الأساسي أو تلف.
ما هو YubiKey ومن أي مخاطر يحميك؟
يشبه YubiKey وحدة ذاكرة USB صغيرة، لكنه ليس مخصصًا لتخزين المستندات. بحسب الطراز، توصله بمنفذ USB المناسب أو تقرّبه من الهاتف لاستخدام NFC، وهي تقنية اتصال قصير المدى. ينبغي التحقق من الموصلات والوظائف المدعومة بدقة قبل الشراء.
يمكن استخدام المفتاح عاملًا ثانيًا للمصادقة، أي دليلًا إضافيًا على الهوية إلى جانب كلمة المرور: فلا يكفي أن يعرف من يحاول تسجيل الدخول كلمة المرور، بل يجب أيضًا أن يكون الجهاز المادي في حوزته. وتتيح بعض الخدمات استخدام المفتاح لتسجيل الدخول دون كلمة مرور.
أهم مزاياه الحماية من الاستيلاء على الحساب، وخصوصًا عبر التصيد الاحتيالي، أي انتحال صفحة تسجيل الدخول الحقيقية. لكن ذلك لا يعني حماية الحاسوب بالكامل: فمفتاح YubiKey ليس برنامجًا لمكافحة الفيروسات، ولا يحمي تلقائيًا من البرمجيات الخبيثة أو سرقة جلسة دخول نشطة بالفعل.
كيف يعمل تسجيل الدخول باستخدام YubiKey؟
في الاستخدام الشائع، يعتمد المفتاح على FIDO2 أو المعيار الأقدم U2F، وهما معياران للتحقق من الهوية باستخدام التشفير. عند إضافة المفتاح إلى الحساب، يُنشأ زوج من مفاتيح التشفير. تحصل الخدمة على المفتاح العام، بينما يبقى المفتاح الخاص على الجهاز.
عند تسجيل الدخول، يرسل الموقع تحديًا يُعِدّ له YubiKey استجابة موقّعة. ويربط المتصفح ومفتاح الأمان هذه العملية بالموقع الصحيح. لذلك لا تستطيع صفحة مزيفة ببساطة اعتراض الاستجابة واستخدامها لتسجيل الدخول إلى الخدمة الحقيقية.
بالنسبة إلى المستخدم، تجري العملية عادةً كما يلي:
- تفتح موقع الخدمة وتبدأ تسجيل الدخول.
- تُدخل كلمة المرور إذا كانت الإعدادات تتطلب ذلك.
- توصل YubiKey أو تقرّبه من الهاتف.
- تُدخل رمز PIN الخاص بالمفتاح عند طلبه، وتلمس منطقة التلامس فيه.
عادةً ما يؤكد اللمس وجود المستخدم فعليًا، ولا يتحقق من هويته ببصمة الإصبع. فالمصادقة بالقياسات الحيوية متاحة في طرازات محددة، وليست ميزة في كل مفتاح YubiKey.
يتيح FIDO2 أيضًا تخزين بيانات اعتماد passkey على مفتاح متوافق، وهي مفاتيح وصول تسمح بتسجيل الدخول دون كلمة مرور تقليدية. ويعتمد توفر هذا الخيار على الطراز والخدمة وطريقة الإعداد.
ما ميزته مقارنةً برسائل SMS وتطبيق المصادقة؟
يمكن إدخال رمز SMS أو رمز تطبيق المصادقة في صفحة مزيفة، ثم يستخدمه المهاجم فورًا. أما YubiKey عند استخدامه مع FIDO2 أو U2F فلا يعتمد على إدخال رمز من هذا النوع يدويًا، ولذلك يوفر حماية أفضل من هذا السيناريو.
مثلًا: تصلك رسالة تزعم أن بريدك الإلكتروني قد حُظر. يقودك الرابط إلى نسخة مقنعة من صفحة تسجيل الدخول. إذا أدخلت فيها كلمة المرور والرمز الحالي من التطبيق، فقد يحاول المحتال الاستيلاء على الحساب. لن تعمل مصادقة FIDO على هذه النسخة كما تعمل على الموقع الحقيقي، لأن عنوانها مختلف.
لكن ليست كل وظائف YubiKey متساوية في مستوى الحماية. فبعض الطرازات تدعم أيضًا رموز الاستخدام لمرة واحدة وآليات أخرى. مقاومة التصيد المذكورة أعلاه تخص تسجيل الدخول عبر FIDO2 أو U2F، وليس كل استخدام للجهاز.
يفيد المفتاح خصوصًا في حماية البريد الإلكتروني الرئيسي، ومدير كلمات المرور، وحسابات المسؤول، ولوحة تحكم مسجّل أسماء النطاقات. فقد يتيح الاستيلاء على البريد إعادة تعيين كلمات المرور في خدمات أخرى، بينما قد يتيح الاستيلاء على حساب إدارة النطاق تغيير الإعدادات التي توجه حركة الاتصال إلى الموقع والبريد.
هل تحتاج إلى مفتاحين؟
عادةً ما يكفي مفتاح واحد لاستخدام الخدمة، لكن امتلاك مفتاحين ترتيب احتياطي معقول. تستخدم الأول يوميًا، وتحتفظ بالثاني في مكان آخر آمن. أما حملهما معًا في سلسلة مفاتيح واحدة فلا يحميك من فقدانهما في الوقت نفسه.
يجب إضافة المفتاح الاحتياطي إلى كل حساب على حدة. فهو لا يصبح تلقائيًا نسخة من الأول، وشراء مفتاح ثانٍ بعد فقدان الوصول لن يعيد تسجيلات المفتاح السابقة لدى الخدمات. تحقّق أيضًا من أن الخدمة تسمح بتسجيل عدة مفاتيح.
إذا كان لديك مفتاح YubiKey واحد فقط، فاحرص على توفير مسار بديل لاسترداد الحساب. قد يكون ذلك رموز استرداد محفوظة خارج هذا الحساب، أو طريقة أخرى تسمح بها الخدمة. لكن طريقة احتياطية أضعف قد تقلل من حماية الحساب بأكمله.
إذا فقدت المفتاح، فسجّل الدخول بالطريقة الاحتياطية واحذف الجهاز المفقود من إعدادات الأمان. فقدان المفتاح وحده لا يعني بالضرورة الاستيلاء على الحساب، لكن ينبغي ألا تتركه وسيلة نشطة لتسجيل الدخول.
كيف تختار YubiKey وتبدأ استخدامه بأمان؟
تحقّق أولًا من الوثائق الرسمية لأهم الخدمات التي تستخدمها: هل تدعم مفاتيح الأمان، وهل تتيح تسجيل الدخول دون كلمة مرور إذا كنت ترغب في ذلك؟ ثم راجع وثائق Yubico للمقارنة بين الموصلات ودعم NFC والمعايير، وللتحقق من توافق الطراز المختار مع هاتفك وحاسوبك. فمجرد ملاءمة الموصل للجهاز لا يضمن دعم جميع الوظائف.
ابدأ الإعداد بحساب واحد مهم. أضف المفتاح الأساسي، وسجّل المفتاح الاحتياطي، واحتفظ برموز الاسترداد المتاحة. وقبل تعطيل طرق الدخول الأخرى، اختبر في نافذة متصفح منفصلة قدرتك على تسجيل الدخول بكل مفتاح واستخدام مسار الاسترداد الاحتياطي المخصص.
اقرأ أيضًا
