مفاتيح المرور والمصادقة بلا كلمة مرور وMFA المقاومة للتصيد

1. مقدمة#

تُعد مصادقة المستخدمين أهم جزء من الأمن السيبراني لجميع الخدمات الرقمية. ومع اعتماد الشركات أكثر من أي وقت مضى على تطبيقات الويب والأجهزة المحمولة للتواصل مع عملائها، ازدادت الحاجة إلى حلول تسجيل دخول آمنة وسهلة الاستخدام بوتيرة متسارعة. وأصبحت كلمات المرور التقليدية مصدرًا للمخاطر، إذ يسهل سرقتها بالتصيد أو نسيانها أو إعادة استخدامها عبر الخدمات. وتتمثل النتيجة في تزايد الهجمات القائمة على بيانات الاعتماد واختراقات البيانات وتراجع ثقة المستهلكين.

ظهرت في السنوات الماضية طرق مصادقة جديدة تعد بأمان أكبر وتجربة مستخدم أفضل. تقارن هذه المقالة بين ثلاثة من هذه الأساليب: مفاتيح المرور، والمصادقة بلا كلمة مرور بوجه عام، والمصادقة متعددة العوامل المقاومة للتصيد (MFA). وتهدف المقارنة إلى توضيح اختلافاتها ونقاط قوتها وآثارها الاستراتيجية، وشرح المعنى الدقيق وراء هذه المصطلحات الرائجة.

تجيب المقالة عن الأسئلة التالية:

1. ما أبرز الاختلافات بين مفاتيح المرور والمصادقة بلا كلمة مرور وMFA المقاومة للتصيد؟
2. كيف تحسّن هذه الأساليب الأمان مقارنة بكلمات المرور التقليدية؟
3. كيف تؤثر المصادقة بلا كلمة مرور وMFA المقاومة للتصيد ومفاتيح المرور في تجربة المستخدم والتبني والتكاليف التشغيلية؟
4. ما حالات الاستخدام العملية والأمثلة الواقعية لمؤسسات نجحت في تطبيق هذه الأساليب؟

2. شرح المفاهيم الأساسية#

قبل المقارنة، من الضروري تعريف المصطلحات المستخدمة. تمثل المصادقة بلا كلمة مرور وMFA المقاومة للتصيد ومفاتيح المرور تحسينات مهمة مقارنة بالطرق القديمة، لكنها ليست مصطلحات مترادفة.

2.1 ما المصادقة بلا كلمة مرور؟#

تستغني طرق المصادقة بلا كلمة مرور عن كلمة المرور التقليدية تمامًا. وبدلًا منها، يثبت المستخدمون هويتهم من خلال:

• شيء يمتلكونه، مثل هاتف أو مفتاح أمان
• صفة حيوية لديهم، مثل العوامل البيومترية
• رمز مرور لمرة واحدة يُرسل عبر البريد الإلكتروني أو SMS، ويمكن اعتباره أيضًا شيئًا يمتلكونه، إذ يحتاجون مثلًا إلى هاتف لتلقي رسائل SMS

الفكرة هي تقليل الاعتماد على كلمة مرور ثابتة يسهل اختراقها ويصعب استخدامها.

تشمل الطرق الشائعة للمصادقة بلا كلمة مرور:

• روابط الدخول عبر البريد الإلكتروني
• رموز المرور المؤقتة لمرة واحدة (TOTP) باستخدام تطبيقات المصادقة، مثل Google Authenticator وAuthy وMicrosoft Authenticator
• الإشعارات الفورية، مثل الإشعارات في تطبيقات iOS وAndroid الأصلية
• القياسات الحيوية، مثل المستخدمة في مفاتيح المرور
• رموز المرور لمرة واحدة (OTP) عبر SMS
• رموز المرور لمرة واحدة (OTP) عبر البريد الإلكتروني
• تسجيل الدخول عبر الحسابات الاجتماعية، مثل «تسجيل الدخول باستخدام Google» أو «تسجيل الدخول باستخدام Facebook»

غالبًا ما تحسّن الأساليب بلا كلمة مرور تجربة المستخدم وتقلل احتمال هجمات القوة الغاشمة، لكنها ليست جميعًا مقاومة للتصيد بطبيعتها. فعلى سبيل المثال، قد يعترض موقع خبيث رابط دخول أو رمز SMS لمرة واحدة إذا خُدع المستخدم وأدخل الرمز في صفحة تصيد. وبذلك تحسّن هذه الطرق جوانب عديدة من الأمان وسهولة الاستخدام، لكن بعضها يظل عرضة للهندسة الاجتماعية.

2.2 ما MFA المقاومة للتصيد؟#

تمثل مفاتيح الأمان المادية القائمة على FIDO2، مثل YubiKeys، مثالًا على MFA المقاومة للتصيد. فمن خلال ربط عملية المصادقة بالمصدر الشرعي، أي نطاق الموقع الحقيقي، تضمن هذه المفاتيح عدم إمكانية إعادة توجيه مصادقة المستخدم أو إعادة تنفيذها على موقع مزيف. ولا يحصل المهاجم على المفتاح الخاص أو رمز سري يمكن إعادة استخدامه. وينطبق الأمر نفسه على مفاتيح المرور.

لكن من المهم ملاحظة أن مفاتيح الأمان المادية عملية بالدرجة الأولى للموظفين. ورغم أن المؤسسات تستطيع إتاحتها للعملاء، فإن فرضها عليهم ليس واقعيًا عادةً، لأن المستخدمين المتمرسين تقنيًا وحدهم يعرفون هذه الحلول. وقد يجد المستخدم العادي صعوبة في فهم المفاتيح المادية واستخدامها.

تضمن MFA المقاومة للتصيد ألا يسلّم المستخدم بيانات اعتماد صالحة دون قصد، حتى لو تفاعل مع موقع احتيالي. ويجعل تصميمها الأمني المعلومات المسروقة عديمة الفائدة للمهاجمين، أو يمنع سرقتها أصلًا. وهي تعتمد على فحوص تشفيرية تتحقق من أصالة الموقع، لا من هوية المستخدم وحدها.

تعترف الهيئات التنظيمية، مثل CISA وACSC، بأهمية MFA المقاومة للتصيد وتوصي بها على نحو متزايد لحماية الحسابات الحساسة. ويساعد تطبيق هذه المعايير المؤسسات على الامتثال للمتطلبات القانونية وتقليل المسؤولية وإثبات بذل العناية الواجبة في عمليات تدقيق الأمن السيبراني.

2.3 ما مفاتيح المرور؟#

مفاتيح المرور هي بيانات اعتماد حديثة للمصادقة تستند إلى معايير مفتوحة مثل FIDO2 وWebAuthn. وبدلًا من الاعتماد على سر مشترك مثل كلمة المرور، تستخدم التشفير غير المتماثل:

• مفتاح عام يُرسل إلى الخادم عند المصادقة
• مفتاح خاص لا يغادر جهاز المستخدم ولا يحتاج إلى كتابته أو تذكره

عندما يسجل المستخدم حسابًا باستخدام مفاتيح المرور، ينشئ جهازه زوجًا فريدًا من المفاتيح. يُرسل المفتاح العام إلى الخادم ويُربط بحساب المستخدم، بينما يبقى المفتاح الخاص آمنًا على جهازه. وللمصادقة، يرسل الخادم تحديًا ويستخدم الجهاز المفتاح الخاص لتوقيعه، ما يثبت هوية المستخدم دون كشف أي سر يمكن سرقته.

تعفي مفاتيح المرور المستخدمين من تذكر كلمات المرور المرهقة أو إدارتها. وغالبًا ما تقتصر المصادقة على تحقق بيومتري، مثل مسح الوجه أو بصمة الإصبع، يعرفه المستخدمون بالفعل من فتح هواتفهم. ولأن كل مفتاح مرور مرتبط بنطاق محدد، تفشل محاولات التصيد، فلا يستطيع المهاجم خداع المستخدم لتقديم بيانات اعتماد قابلة لإعادة الاستخدام. ويجعل الجمع بين الأمان العالي وسهولة الاستخدام مفاتيح المرور خيارًا مميزًا للعديد من الشركات، منها Google وPayPal وTikTok وKAYAK.

2.4 أبرز الاختلافات بإيجاز#

• المصادقة بلا كلمة مرور، وهي مصطلح شامل: تلغي كلمات المرور تمامًا، لكنها قد لا تكون دائمًا مقاومة للتصيد، حسب الطريقة المستخدمة.
• MFA المقاومة للتصيد، وهي مصطلح شامل: تضمن عادةً الربط بالمصدر، لكنها قد تتضمن كلمة مرور ضمن عملية متعددة العوامل، مثل استخدام كلمة مرور مع مفتاح أمان مادي.
• مفاتيح المرور: بلا كلمة مرور ومقاومة للتصيد في آن واحد، وتعتمد على تشفير غير متماثل مرتبط بالمصدر الشرعي.

3. مقارنة المصادقة بلا كلمة مرور وMFA المقاومة للتصيد ومفاتيح المرور#

بعد تعريف المفاهيم الأساسية، لنقارن بين هذه الأساليب بمزيد من التفصيل. تساعد هذه المقارنة على تحديد الطريقة الأنسب لمتطلبات الأمان وتوقعات المستخدمين وأهداف المؤسسة طويلة الأجل. ونركز على العوامل الرئيسية التالية:

• الأمان
• تجربة المستخدم والتبني
• التنفيذ والتكاليف
• اللوائح والامتثال

3.1 الأمان: سرقة بيانات الاعتماد مقابل الربط بالمصدر#

الأمان أحد الأسباب الرئيسية للتخلي عن كلمات المرور التقليدية. لكن المفاهيم الثلاثة تختلف في طريقة الحماية من الهجمات القائمة على بيانات الاعتماد، مثل التصيد وهجمات القوة الغاشمة.

3.1.1 منع سرقة بيانات الاعتماد#

• المصادقة بلا كلمة مرور: يقلل إلغاء كلمات المرور احتمال هجمات القوة الغاشمة أو إعادة استخدام كلمات المرور بدرجة كبيرة. لكن حسب الطريقة، مثل رموز SMS أو روابط الدخول، قد تبقى بعض نقاط الضعف إذا خدع المهاجم المستخدم لإدخال رمز لمرة واحدة أو إعادة توجيهه على موقع تصيد.
• MFA المقاومة للتصيد: تستخدم طرقًا مثل مفاتيح أمان FIDO2 لضمان عدم مشاركة سر قابل لإعادة الاستخدام. وحتى لو حصل المهاجمون على معلومات جزئية، مثل مفتاح عام، فهي عديمة القيمة من الناحية التشفيرية دون المفتاح الخاص المحدد.
• مفاتيح المرور: بفضل التشفير غير المتماثل، لا تغادر أسرار مشتركة جهاز المستخدم. ولا يحصل من يسرق بيانات الخادم إلا على مفاتيح عامة عديمة الفائدة دون المفتاح الخاص المحمي محليًا.

3.1.2 منع التصيد#

• المصادقة بلا كلمة مرور: مصطلح شامل، لذا لا تضمن دائمًا منع التصيد. فقد يُعترض رابط دخول أو رمز SMS لمرة واحدة إذا أدخله المستخدم خطأً في موقع احتيالي. وهذا يجعل بعض الطرق بلا كلمة مرور أقل موثوقية في مواجهة التصيد المتطور.
• MFA المقاومة للتصيد: تتمثل إحدى وظائفها الأساسية في التحقق من النطاق الشرعي قبل مصادقة المستخدمين. تتحقق مفاتيح الأمان المادية أو مفاتيح المرور من أصالة الموقع، لأنها مرتبطة بالمصدر الذي استُخدمت معه في الأصل، ما يمنع المهاجمين من الحصول على سر صالح.
• مفاتيح المرور: تستند إلى FIDO2 وWebAuthn وترتبط بالمصدر بطبيعتها. إذا حاول المستخدم المصادقة على نطاق مزيف، فلن يكتمل التحقق التشفيري، ما يحبط هجمات التصيد بفعالية.

3.1.3 خلاصة الأمان#

توفر مفاتيح المرور وMFA المقاومة للتصيد حماية أفضل من سرقة بيانات الاعتماد والتصيد بفضل الربط التشفيري القوي بالمصدر وعدم كشف الأسرار الحساسة.

أما الطرق بلا كلمة مرور فهي أيضًا خطوة كبيرة إلى الأمام مقارنة بكلمات المرور العادية، لكن مقاومتها للتصيد تختلف إذا كانت تعتمد على رموز لمرة واحدة أو رموز مؤقتة أو أسرار قابلة للاعتراض، مثل الموجودة في روابط الدخول.

3.2 تجربة المستخدم والتبني#

لا تجدي أي طريقة أمان نفعًا إذا كانت مرهقة للغاية للمستخدمين النهائيين. يمكن لعملية تسجيل دخول سلسة وبديهية تقليل إحباط المستخدمين وتكاليف الدعم وتحسين التبني عمومًا. كما لن يحتاج المستخدمون إلى حلول التفافية لاستخدام طريقة الدخول.

3.2.1 التسجيل والإعداد الأولي#

• المصادقة بلا كلمة مرور: يكون التسجيل بهذه الطريقة عادةً أسهل من إنشاء كلمة مرور جديدة وحفظها. مثلًا، قد يبدو تلقي رابط دخول عبر البريد الإلكتروني أو التحقق برمز SMS مألوفًا، رغم أنه يسبب تأخيرًا بسيطًا.
• MFA المقاومة للتصيد: إذا تضمنت مفاتيح أمان مادية، فقد يتطلب التسجيل توزيع المفاتيح أو تثبيت برامج متخصصة. لكن بعد الإعداد، قد يكون تسجيل الدخول اليومي بسيطًا مثل لمس المفتاح عند توصيله بالجهاز أو تقريبه منه.
• مفاتيح المرور: غالبًا ما يكون الإعداد مبسطًا، ويسجل المستخدمون مفتاح المرور عادةً عبر طلب تحقق بيومتري سريع على الجهاز، مثل بصمة الإصبع أو مسح الوجه.

3.2.2 العوائق في تسجيل الدخول اليومي#

• المصادقة بلا كلمة مرور: يمثل إلغاء كلمات المرور تحسنًا كبيرًا في سهولة الاستخدام، فلا يحتاج المستخدمون إلى تذكرها أو استخراجها من مديري كلمات المرور أو كتابتها على ملاحظات لاصقة. لكن طرقًا مثل الرموز لمرة واحدة أو روابط الدخول قد تضيف عوائق إذا اضطر المستخدمون إلى تبديل التطبيقات للحصول عليها.
• MFA المقاومة للتصيد: يكون الاستخدام بسيطًا عند توصيل مفتاح الأمان المادي بالجهاز أو تقريبه منه. لكن غالبًا ما يلزم الضغط على زر و/أو تذكر رمز PIN وإدخاله. وإذا كانت MFA المقاومة للتصيد تستخدم مفتاح مرور، تصبح التجربة أكثر سلاسة.
• مفاتيح المرور: تكون العوائق ضئيلة عادةً؛ يفتح المستخدمون أجهزتهم بالقياسات الحيوية، مثل Face ID أو Touch ID أو Windows Hello، ويتولى مفتاح المرور الباقي. وهذه من أسهل تجارب تسجيل الدخول الممكنة.

3.2.3 التعقيد المتصور والثقة#

• المصادقة بلا كلمة مرور: تلقى فكرة الاستغناء عن كلمة المرور قبولًا لدى المستخدمين المحبطين من إعادة تعيينها.
• MFA المقاومة للتصيد: توفر أمانًا عاليًا، لكنها قد تبدو معقدة للمستخدمين الجدد إذا تطلبت مفاتيح أمان مادية.
• مفاتيح المرور: غالبًا ما يراها المستخدمون المعتادون على فتح هواتفهم بالقياسات الحيوية تقنية مألوفة. وتساعد الثقة في أنظمة Apple وGoogle وMicrosoft أيضًا على تعزيز تبنيها.

3.2.4 خلاصة تجربة المستخدم والتبني#

الطرق بلا كلمة مرور، ولا سيما القياسات الحيوية، سهلة الاستخدام. ويمكن أن تكون MFA المقاومة للتصيد سهلة الاستخدام بعد نشرها، لكن الحاجة إلى أجهزة مادية قد تبدو مرهقة في بعض السياقات. وتوفر مفاتيح المرور عادةً أفضل مستوى من الراحة للمستخدم.

3.3 التنفيذ والتكاليف#

إلى جانب الأمان وتجربة المستخدم، تؤثر اعتبارات عملية مثل تعقيد التكامل وأعباء الدعم والتكاليف المباشرة في جدوى الحل على نطاق واسع.

3.3.1 التكامل مع الأنظمة الحالية#

• المصادقة بلا كلمة مرور: يسهل نسبيًا تنفيذ طرق مثل رموز SMS لمرة واحدة أو روابط الدخول، لكن كل طريقة تتطلب بعض المنطق المخصص، مثل إنشاء الرموز والتحقق منها وإرسال البريد الإلكتروني أو رسائل SMS.
• MFA المقاومة للتصيد: قد يكون طرح مفاتيح الأمان المادية، مثل YubiKeys، أكثر تعقيدًا؛ إذ يجب التخطيط لتوزيع المفاتيح وعمليات الاسترداد وتدريب المستخدمين. لكن مجموعة التقنيات القائمة على FIDO راسخة عمومًا.
• مفاتيح المرور: قد يكون طرحها صعبًا بسبب الحاجة إلى دعم واسع في المنظومة، بما في ذلك توافق الأجهزة والتكامل مع المتصفحات وتوعية المستخدمين.

3.3.2 التكاليف والعائد على الاستثمار (ROI)#

• المصادقة بلا كلمة مرور: قد يوفر إلغاء كلمات المرور تكاليف مكتب الدعم، لكن بعض الطرق، خاصة SMS، قد تفرض رسومًا لكل معاملة. وتتطلب عمليات روابط الدخول بنية تحتية موثوقة للبريد الإلكتروني. كما تتطلب تطبيقات المصادقة التي تستخدم TOTP والإشعارات الفورية تثبيت تطبيقات مخصصة وتطويرها.
• MFA المقاومة للتصيد: تكون تكلفتها الأولية عادةً الأعلى عند استخدام أجهزة مادية، لكنها توفر حماية قوية من التصيد. وبالنسبة إلى الحسابات عالية القيمة، قد تتجاوز تكلفة اختراق واحد للبيانات بكثير تكلفة مفاتيح الأمان المادية.
• مفاتيح المرور: بعد التطوير الأولي، يمكنها تقليل طلبات إعادة تعيين كلمات المرور، وهي من أكبر التكاليف الخفية لدعم تقنية المعلومات. كما تقلل حوادث الاستيلاء على الحسابات، ما يحسّن النتائج المالية مباشرةً. ويمكنها أيضًا استبدال الغالبية العظمى من رموز SMS المكلفة.

3.3.3 خلاصة التنفيذ والتكاليف#

غالبًا ما تكون الطرق بلا كلمة مرور أبسط من كلمات المرور، لكن تكاليفها المستمرة تختلف كثيرًا. وقد يكون نشر MFA المقاومة للتصيد على نطاق واسع أكثر تكلفة وتعقيدًا، خاصة عند استخدام مفاتيح أمان مادية تتطلب شراء أجهزة خاصة وتوزيعها. أما تنفيذ مفاتيح المرور فيمثل تحديًا بسبب المتطلبات التقنية المعقدة والحاجة إلى التوافق بين المنصات.

3.4 اللوائح والامتثال#

توصي العديد من اللوائح الآن صراحةً بمصادقة قوية ومقاومة للتصيد أو تفرضها، مثل PSD2 في القطاع المالي الأوروبي وHIPAA في الرعاية الصحية.

• المصادقة بلا كلمة مرور: قد تلبي بعض متطلبات الامتثال، مثل اشتراط 2FA أو MFA، لكنها قد لا تكون مقاومة للتصيد حسب الطريقة المحددة.
• MFA المقاومة للتصيد: تميل إلى توفير أعلى درجات الضمان للمدققين والجهات التنظيمية، وتلبي المتطلبات الصارمة لتسجيل الدخول الآمن.
• مفاتيح المرور: تتوافق بالفعل مع معايير FIDO2 التي تلبي متطلبات الأمان في معظم القطاعات الخاضعة للتنظيم أو تتجاوزها.

3.5 جدول المقارنة#

4. أمثلة عملية وحالات استخدام#

4.1 شركة التجارة الإلكترونية Mercari ترفع معدلات نجاح الدخول بمفاتيح المرور مقارنة برموز SMS#

اعتمدت Mercari سابقًا على رموز المرور لمرة واحدة عبر SMS لتأمين تسجيل دخول المستخدمين والتحقق من المعاملات. وقد ترتبت على ذلك رسوم كبيرة لإرسال الرسائل حول العالم، وشكاوى عرضية من تأخر الرموز أو عدم وصولها.

النتائج:

• خفض كبير للتكاليف: أدى الاستغناء عن معظم رسائل SMS إلى خفض Mercari تكاليف الرسائل المرتبطة بالرموز لمرة واحدة.
• أمان أفضل: تقاوم مفاتيح المرور هجمات تبديل شريحة SIM والتصيد لأنها تستخدم تشفيرًا غير متماثل مرتبطًا بالنطاق الشرعي لـشركة الطيران.
• عمليات دخول أكثر نجاحًا: حقق استخدام مفاتيح المرور معدل نجاح في تسجيل الدخول بلغ 82.5%، مقابل 67.7% لرموز SMS لمرة واحدة.

الخلاصة:
قد يُحدث الانتقال إلى مفاتيح المرور فرقًا كبيرًا للمؤسسات التي تشهد أعدادًا ضخمة من عمليات تسجيل الدخول. وإضافة إلى تحسين الأمان، يمكن للوفورات في رموز SMS أن تؤثر بدرجة كبيرة في النتائج المالية.

4.2 شركات SaaS الناشئة تستخدم روابط الدخول لتسجيل سلس بلا كلمة مرور#

تعتمد شركات SaaS الناشئة غالبًا على روابط الدخول، لأن طريقة المصادقة هذه تتيح تسجيل المستخدمين بسرعة وتقلل طلبات الدعم المتعلقة بكلمات المرور المنسية بدرجة كبيرة.

النتائج:

• تقليل عوائق التسجيل: انخفض معدل انسحاب المستخدمين أثناء التسجيل بأكثر من 30%، ما عزز التحويلات.
• طلبات دعم أقل: تراجعت استفسارات إعادة تعيين كلمات المرور بشدة، ما أتاح لفريق الدعم الصغير التركيز على الأسئلة المتعلقة بالمنتج.
• تحسينات مرنة: نظرًا إلى سهولة تنفيذ روابط الدخول وتحسينها نسبيًا، يسهل تعديل العملية، ما يحسّن الرضا العام عن تجربة التسجيل.

الخلاصة:
لا تقتصر فائدة الحلول بلا كلمة مرور، مثل روابط الدخول، لشركات SaaS الناشئة على تبسيط تسجيل المستخدمين، بل تقلل أيضًا العبء التشغيلي لإدارة كلمات المرور، وهي ميزة مهمة في مراحل النمو المبكرة.

4.3 MyGov تعزز الأمان وتمنع التصيد في حسابات المواطنين#

توفر MyGov، وهي بوابة حكومية أسترالية، إمكانية الوصول إلى خدمات حكومية متعددة، مثل Medicare وCentrelink ومكتب الضرائب الأسترالي. ويخضع تعامل MyGov مع البيانات الشخصية الحساسة للوائح صارمة وتدقيق عام متزايد.

النتائج:

• تزايد تبني المستخدمين: طُرحت مفاتيح المرور لـ200,000 مستخدم خلال 3 أشهر.
• امتثال قوي: باستخدام الربط التشفيري بالمصدر عبر رموز مادية وحلول آمنة قائمة على التطبيقات، استجابت MyGov لتوجيهات ASD Essential Eight وغيرها من توجيهات الأمن السيبراني الوطنية.
• انخفاض حوادث التصيد: أصبحت إعادة استخدام بيانات الاعتماد المسروقة أصعب بكثير دون الرمز المادي الشرعي أو المفتاح المرتبط بالجهاز.
• تعزيز ثقة الجمهور: ساعد إبراز حلول MFA القوية على تعزيز ثقة المستخدمين في ظل تزايد القلق بشأن اختراقات البيانات.

الخلاصة:
يعد تطبيق MFA المقاومة للتصيد أمرًا بالغ الأهمية للجهات الحكومية ومؤسسات القطاع العام، أو المؤسسات في القطاعات شديدة التنظيم، ليس للأمان فقط بل أيضًا للحفاظ على الامتثال للمعايير المتطورة.

5. كيف تساعد Corbado#

يقيّم الجدول في القسم 3.5 ثلاثة خيارات بصورة مجردة. أما النسخة التي تساعد فعليًا في اتخاذ القرار، فتُبنى على عمليات تسجيل الدخول لديك، حيث تمثل الصفوف الطرق التي يستخدمها المستخدمون فعلًا، وتمثل الدرجات معدلات إكمال الدخول بدلًا من مقياس من خمس نقاط. ويُنتج Corbado Observe، وهو طبقة لمراقبة المصادقة، هذه النسخة.

• مزيج الطرق الفعلي: تُصنف كل عملية دخول إلى مسارات فرعية: كلمة المرور، ومفتاح المرور، والدخول الاجتماعي، ورمز SMS لمرة واحدة، ورمز البريد الإلكتروني لمرة واحدة، وTOTP، والتأكيد عبر التطبيق. وتشكل حصة كل طريقة من عمليات الدخول ومعدل نجاحها نقطة انطلاق واقعية للاختيار بين الفئات الثلاث في هذه المقالة.
• مواضع فقدان المستخدمين في كل طريقة: يقسم Login Friction كل عملية دخول بدأها المستخدم إلى فئات تشمل الاسترداد، والانتقال إلى طريقة بديلة، والإلغاء، والخطأ، وإعادة التعيين، والدخول دون عوائق، ويفصلها حسب الطريقة. وهكذا تصبح عبارة «المصادقة بلا كلمة مرور تقلل العوائق» قابلة للقياس في حركة الدخول الفعلية.
• قيمة الخيار المقاوم للتصيد مقارنة بالبدائل: يصنف Method Uplift مسارات الدخول حسب الطرق المتاحة في كل منها، مثل كلمة المرور وحدها، أو مع مفتاح مرور، أو مع الدخول الاجتماعي، أو الطرق الثلاث معًا، ويقيّم كل مجموعة مقارنة بخط أساس يعتمد على كلمة المرور وحدها. وتُقرأ جميع المجموعات خلال الفترة نفسها، ما يتيح حسم مسألة التبني الواردة في القسم 3.2 لمنتجك دون انتظار موعد التحول للمقارنة بين الفترات.
• لا حاجة إلى برنامج لمفاتيح المرور: يعمل Observe مع نظام الدخول الحالي. فإذا كان يستخدم كلمة مرور ورمز SMS، فإنه يقيس كليهما، وهي نقطة البداية الفعلية لمعظم القرارات في هذه المقالة.

See Login Methods in Corbado Observe →

عندما يقع الاختيار على مفاتيح المرور، يتولى Corbado Connect جانب التنفيذ. وتساعد مطالبات العرض المشروطة وPasskey Intelligence على تحويل ميزة تجربة المستخدم الموضحة في القسم 3.2 إلى زيادة في تبني مفاتيح المرور تصل إلى 10 أضعاف، من خلال التحكم في المستخدمين الذين يرون العرض وتوقيت ظهوره.

6. الخلاصة#

بعد استعراض كلمات المرور التقليدية ومفاتيح المرور والخيارات بلا كلمة مرور وMFA المقاومة للتصيد، حان وقت جمع هذه النتائج.

رأينا أن لكل طريقة مزايا مميزة:

• المصادقة بلا كلمة مرور: تحسن كبير مقارنة بكلمات المرور، إذ تقلل عوائق المستخدم وتكاليف الدعم، لكنها ليست دائمًا محصنة ضد التصيد.
• MFA المقاومة للتصيد: توفر مستوى عاليًا من الأمان للبيئات عالية المخاطر، وتضمن عدم تمكن المهاجمين من استغلال الخطأ البشري.
• مفاتيح المرور: تحقق التوازن المناسب؛ فهي بلا كلمة مرور، وتمثل MFA مقاومة للتصيد بطبيعتها، وتحظى بدعم رواد الصناعة. وتوفر أمانًا من الدرجة الأولى دون المساس بتجربة المستخدم.

إن اتخاذ خطوات الآن لتحديث المصادقة لا يحسّن الأمان فحسب، بل يضع شركتك في موقع مؤسسة تتطلع إلى المستقبل وتركز على المستخدم، ومستعدة للتميز في الاقتصاد الرقمي.

حول Corbado

Corbado هي Passkey Intelligence Platform لفِرَق CIAM التي تُدير المصادقة الاستهلاكية على نطاق واسع. نُمكّنك من رؤية ما لا تستطيع سجلات IDP وأدوات التحليل العامة إظهاره: أي الأجهزة وإصدارات أنظمة التشغيل والمتصفحات ومديري بيانات الاعتماد تدعم passkeys، ولماذا لا تتحوّل عمليات التسجيل إلى عمليات دخول، وأين يفشل تدفق WebAuthn، ومتى يُعطّل تحديث نظام التشغيل أو المتصفح تسجيل الدخول بصمت، كل ذلك دون استبدال Okta أو Auth0 أو Ping أو Cognito أو IDP الداخلي لديك. منتجان: Corbado Observe يُضيف observability للـ passkeys وأي طريقة دخول أخرى. Corbado Connect يُقدّم managed passkeys مع تحليلات مدمجة (إلى جانب IDP الخاص بك). تُشغّل VicRoads passkeys لأكثر من 5 ملايين مستخدم مع Corbado (تفعيل passkey بنسبة 80%+). تحدث مع خبير Passkey →