الأمن التقني

مفاتيح المرور تتفوق على كلمات المرور لكنها لا تكفي وحدها

رغم أن مفاتيح المرور (Passkeys) تزيل نقاط الضعف التقليدية في كلمات المرور، إلا أنها لا تعالج مخاطر الهوية الشاملة.

نُشر: 30 أكتوبر 2026 · آخر تحديث: 30 أكتوبر 2026 · 5 دقائق قراءة

مفاتيح المرور تتفوق على كلمات المرور لكنها لا تكفي وحدها — الصورة: SecurityWeek

نهاية عصر كلمات المرور الضعيفة

لطالما كانت كلمات المرور من أضعف حلقات الأمن السيبراني؛ فالمستخدمون ينسونها أو يعيدون استخدامها أو يسلمونها لمواقع التصيد الاحتيالي. في المقابل، يطور المهاجمون أدوات أتمتة لاختراق الحسابات باستخدام بيانات مسربة، ويعتمدون بشكل متزايد على الذكاء الاصطناعي لتعزيز هجمات الهندسة الاجتماعية. هنا يأتي دور مفاتيح المرور (Passkeys) التي تعد بالقضاء على هذه المشاكل من جذورها. ويمكن الرجوع إلى SecurityWeek للاطلاع على التفاصيل الأصلية للمصدر.

تعتمد مفاتيح المرور على التشفير بمفتاح عام (Public-key cryptography)، حيث تستبدل الأسرار المشتركة بمؤهلات تشفيرية. لا توجد كلمة مرور يمكن للمهاجم سرقتها أو اعتراضها عبر التصيد أو إعادة استخدامها ضد خدمات أخرى. عند تطبيقها بشكل صحيح، تكون مفاتيح المرور مقاومة للتصيد لأن عملية المصادقة مرتبطة بالخدمة المشروعة فقط، مما يمثل تحسناً كبيراً مقارنة بكلمات المرور وأشكال المصادقة متعددة العوامل التقليدية. ويمكن الرجوع إلى phishing للاطلاع على التفاصيل الأصلية للمصدر.

المصادقة ليست هوية

رغم قوة مفاتيح المرور، فإنها لا تجيب عن سؤال جوهري: هل ينبغي لنا أن نثق بهذه الهوية بعد نجاح المصادقة؟ المصادقة تعزز آلية الدخول، لكنها لا تلغي مخاطر الهوية ذاتها. عندما تنجح عملية مصادقة مفتاح المرور، يملك النظام دليلاً تشفيرياً قوياً على أن المؤهل المرتبط بالحساب أكمل العملية، لكن هذا لا يضمن أن الحساب أُنشئ بشكل شرعي، أو أن الهوية الأساسية لم تُخترق، أو أن الجهاز موثوق.

إذا نجح مهاجم في إنشاء حساب أو السيطرة عليه قبل ربط مفتاح المرور به، فقد تقوم المنظمة لاحقاً بمصادقة آمنة للغاية لشخص خاطئ. كلما أصبحت أداة المصادقة أقوى، زادت أهمية سلامة عملية التسجيل (Enrollment). لا يمكن لأي آلية مصادقة مثالية أن تعوض عن هوية كان يجب ألا تثق بها المنظمة منذ البداية.

تحدي تغيير الأجهزة والاستعادة

لا يستخدم المستخدمون الشرعيون دائماً نفس الجهاز؛ فقد تفقد الهواتف أو تُسرق أو تتلف، أو يحصل الموظفون على أجهزة جديدة. تحل مزامنة مفاتيح المرور مع العديد من هذه السيناريوهات من خلال جعل المؤهلات متاحة عبر الأجهزة المدعومة. ومع ذلك، لا تزال المنظمات بحاجة إلى التعامل مع المستخدمين الشرعيين الذين يصلون دون إمكانية الوصول إلى مفتاح المرور المتوقع.

في هذه الحالات، يتحول التحدي من المصادقة إلى الاستعادة وإعادة بناء الثقة. كيف تحدد المنظمة ما إذا كان الشخص الذي يطلب الوصول من جهاز غير مألوف هو المالك الشرعي؟ إذا اعتمدت آلية الاستعادة على كلمة مرور، أو رمز SMS، أو رابط بريد إلكتروني، فقد يستهدف المهاجمون هذه المسار الأضعف. في هذه الحالة، لم يُخترق مفتاح المرور، بل تم الالتفاف عليه.

المصادقة لحظة واحدة فقط

تظهر فجوة أخرى بعد اكتمال المصادقة. تعمل العديد من بنية هوية المستخدمين وفق تسلسل بسيط: مصادقة، منح وصول، ثم الثقة في الجلسة الناتجة. لكن هجمات الهوية الحديثة لا تتوقف عند شاشة تسجيل الدخول. يمكن للمهاجمين اختطاف جلسات مصادقة نشطة، أو اختراق أجهزة موثوقة، أو إساءة استخدام الامتيازات، أو تنفيذ معاملات غير طبيعية.

في مثل هذه الحالات، قد تكون آلية المصادقة قد عملت تماماً كما صُممت. السؤال لا يجب أن يكون فقط: 'هل صادَق هذا المستخدم بنجاح؟' بل يجب أن يشمل: 'هل لدينا ما يكفي من الأدلة للثقة في هذه الهوية وأنشطتها؟'. يجب على المنظمات الانتقال من نموذج 'صادق مرة واحدة وثق بعدها' إلى نموذج 'أثبت الثقة، قيّم المخاطر باستمرار، واستجب عند تغير الثقة'.

تكامل كشف تهديدات الهوية

هنا تكمل أنظمة كشف تهديدات الهوية (Identity Threat Detection) دور مفاتيح المرور. بدلاً من اعتبار المصادقة الناجحة إعلاناً دائماً عن الثقة، يمكن للمنظمات تقييم مخاطر الهوية بشكل مستمر. تساعد خصائص الجهاز، وسجلات الهوية، والسلوكيات الشاذة، وبيانات الشبكة، وتغييرات الحساب في تحديد ما إذا كانت الهوية لا تزال موثوقة.

لا يتطلب هذا النموذج إضافة احتكاك لكل تفاعل. يمكن لنموذج قائم على المخاطر السماح للمستخدمين الشرعيين بالمتابعة بشكل طبيعي، مع تصعيد ضوابط الأمان عندما تتغير المخاطر. قد لا يحتاج مستخدم معروف يصادق من جهاز مألوف إلى تدخل إضافي، بينما قد يحفز نفس الحساب عند محاولة الاستعادة من جهاز غريب أو تغيير سمات حساسة على تفعيل عمليات تحقق إضافية من الهوية.

مستقبل أمن الهوية يتجاوز المصادقة

تعالج مفاتيح المرور وكشف تهديدات الهوية أجزاءً مختلفة من سطح هجمات الهوية. تقلل مفاتيح المرور من مخاطر كلمات المرور وسرقة المؤهلات والتصيد، بينما يعالج كشف التهديدات مخاطر ما حول المصادقة، بما في ذلك التسجيل والاستعادة وتغيير الأجهزة واختطاف الجلسات. مع استبعاد المنظمات لكلمات المرور، سيقوم المهاجمون بالتكيف والبحث عن فرص حول أداة المصادقة نفسها.

هذا لا يعني فشل مفاتيح المرور، بل نجاحها في جعل جزءاً من سطح الهجوم أصعب. تجيب مفاتيح المرور عن سؤال: 'هل يملك هذا المستخدم مؤهلاً شرعياً؟' بينما يعالج كشف التهديدات السؤال الأهم على مدار دورة حياة الهوية: 'هل لا نزال نثق في هذه الهوية؟'. تحتاج المنظمات إلى الإجابة عن كلا السؤالين لبناء نظام هوية قوي.