ما هو FIDO؟

بدلاً من الاعتماد على شيء يعرفه المستخدم ويمكن خداعه لإفشائه، تستخدم مصادقة FIDO بيانات اعتماد مشفرة مرتبطة بجهاز أو أداة مصادقة يتحكم فيها المستخدم. بالنسبة للمؤسسات التي تتخلى عن استخدام كلمات المرور، أصبحت تقنية FIDO أحد المعايير الأساسية التي تستند إليها المصادقة الحديثة بدون كلمات مرور، ومفاتيح المرور، والمصادقة متعددة العوامل المقاومة للتصيد الاحتيالي.

تعد «تحالف FIDO» جمعية صناعية مفتوحة تعمل على تطوير معايير المصادقة بهدف الحد من الاعتماد العالمي على كلمات المرور. ويضم أعضاؤها مزودي خدمات الهوية، ومصنعي الأجهزة، ومطوري المتصفحات، والمؤسسات المالية، والهيئات الحكومية، الذين يعملون جميعًا من أجل هدف مشترك، وهو جعل عمليات تسجيل الدخول أكثر أمانًا وسهولةً للمستخدمين.

FIDO ليس منتجًا، ولا يملكه أي مورد بعينه. إنه نهج قائم على المعايير يمكن تنفيذه عبر الأجهزة وأنظمة التشغيل والمتصفحات والتطبيقات وأجهزة المصادقة. وتشكل هذه الانفتاحية جزءًا مما يجعل FIDO مفيدًا للمؤسسات. فالمعيار نفسه الذي يعمل على مفتاح أمان من أحد المصنّعين يعمل أيضًا على أداة مصادقة منصة من مصنّع آخر، أو على جهاز محمول، أو داخل متصفح. والنتيجة هي أساس متسق يمكن للمؤسسات البناء عليه دون حصر أنفسها في نظام بيئي واحد.

تعد RSA عضوًا مؤسسًا في تحالف FIDO وهي عضو في مجلس إدارتها. كما أن RSA عضو في مجموعات العمل التالية التابعة لتحالف FIDO:

• فريق العمل المعني بنشر الحلول على مستوى المؤسسة
• مجموعة العمل المعنية بتجربة المستخدم
• مجموعة العمل المعنية بخدمة البيانات الوصفية
• فريق العمل الفني
• المجموعة الفرعية المعنية بتجربة المستخدم في المؤسسات
• المجموعة الفرعية المعنية بالمصادقة البرمجية غير التابعة لبرنامج CTAP

في الآونة الأخيرة، نشر تحالف FIDO تقريرًا دراسة حالة توضح بالتفصيل كيف طبقت شركة RSA نظام المصادقة بدون كلمة مرور لموظفيها في جميع أنحاء العالم.

يشير الاختصار FIDO إلى «Fast Identity Online». ويعكس هذا الاسم الهدف من وراء هذا المعيار: توفير مصادقة أسرع وأبسط وأكثر أمانًا من كلمات المرور. واليوم، يرتبط FIDO ارتباطًا وثيقًا بالمصادقة بدون كلمات مرور، ومفاتيح المرور، والمصادقة متعددة العوامل (MFA) المقاومة للتصيد الاحتيالي.

تستند مصادقة FIDO إلى تشفير المفتاح العام. في كل مرة يقوم فيها مستخدم بالتسجيل في خدمة عبر الإنترنت، يقوم جهاز المصادقة بإنشاء زوج مفاتيح فريد. ولا يغادر المفتاح الخاص جهاز المصادقة الخاص بالمستخدم أبدًا. أما المفتاح العام فهو ما تخزنه الخدمة. وعندما يقوم المستخدم بتسجيل الدخول، تصدر الخدمة استفزازًا لا يمكن الرد عليه إلا بالمفتاح الخاص المطابق، مما يثبت أن المستخدم يتحكم في بيانات الاعتماد دون الحاجة إلى إرسال كلمة مرور عبر الشبكة مطلقًا.

في الواقع، يبدو سير العمل كما يلي:

1. يقوم أحد المستخدمين بتسجيل أداة المصادقة: قد يكون ذلك جهازًا، أو عاملًا بيومتريًا، أو مفتاحًا أمنيًا، أو أي وسيلة مصادقة أخرى مدعومة من FIDO.
2. يقوم برنامج المصادقة بإنشاء زوج من المفاتيح: يُحتفظ بالمفتاح الخاص لدى جهاز المصادقة. أما المفتاح العام فيتم تسجيله لدى الخدمة عبر الإنترنت.
3. يقوم المستخدم بالتحقق محليًّا: يمكن للمستخدم إلغاء قفل أداة المصادقة باستخدام البيانات البيومترية أو رقم التعريف الشخصي (PIN) أو أي طريقة محلية أخرى.
4. تقوم الخدمة بالتحقق من صحة الاستجابة المشفرة: تؤكد الخدمة أن المستخدم يتحكم في المفتاح الخاص دون أن يتلقى المفتاح الخاص نفسه.
5. تتم المصادقة بنجاح دون إرسال كلمة مرور: وهذا يساعد على الحد من التعرض لعمليات التصيد الاحتيالي و سرقة بيانات الاعتماد.

ونظرًا لأن السر المشترك لا يغادر أبدًا جهاز المصادقة الخاص بالمستخدم، فإن المهاجم الذي يعترض حركة مرور الشبكة، أو يخترق قاعدة بيانات الخادم، أو ينشئ صفحة تسجيل دخول مزيفة مقنعة، لن يجد أي شيء مفيد يمكنه سرقته.

FIDO هي العائلة الأوسع نطاقًا لمعايير المصادقة المفتوحة. أما FIDO2 فهي المجموعة الحديثة من معايير FIDO التي تشمل WebAuthn وCTAP، وهي ما يشير إليه معظم الناس اليوم عندما يتحدثون عن عمليات تسجيل الدخول بدون كلمة مرور، ومفاتيح المرور، والمصادقة متعددة العوامل (MFA) المقاومة للتصيد الاحتيالي.

يحل نظام FIDO محل كلمة المرور ببيانات اعتماد مشفرة يتحكم فيها المستخدم. من وجهة نظر المستخدم، قد يعني تسجيل الدخول استخدام بصمة الإصبع، أو مسح الوجه، أو رقم التعريف الشخصي (PIN) للجهاز، أو النقر على مفتاح أمان، أو الموافقة عبر تطبيق مصادقة على الهاتف المحمول. ومن وجهة نظر الخدمة، فإن ما يثبت هوية المستخدم فعليًّا هو الدليل التشفيري المرتبط ببيانات الاعتماد تلك.

هذا تمييز مهم. فالمعلومات البيومترية أو رقم التعريف الشخصي (PIN) ليست ما تراه الخدمة. إنها الطريقة المحلية التي يستخدمها المستخدم لفتح تطبيق المصادقة الخاص به. أما عملية المصادقة نفسها فتعتمد على حيازة بيانات اعتماد FIDO والاستجابة التشفيرية التي تنتج عنها. وهذا ما يجعل FIDO مفيدًا لـ مصادقة بدون كلمة مرور. لا يتعين على المستخدم إدخال أي شيء، ولا يوجد ما يمكن للمهاجم استغلاله في عمليات التصيد الاحتيالي، ولا يوجد أي شيء قابل لإعادة الاستخدام يمكن سرقته. واعتمادًا على الطريقة التي تنشر بها المؤسسة هذه التقنية، يمكن لـ FIDO دعم عملية تسجيل دخول خالية تمامًا من كلمات المرور أو أن تعمل كعامل ثانٍ قوي ضمن عملية مصادقة متعددة العوامل (MFA) أوسع نطاقًا.

مفاتيح المرور هي بيانات اعتماد FIDO تستند إلى تشفير المفتاح العام، وهي الطريقة التي سيختبر بها معظم المستخدمين المصادقة القائمة على FIDO في حياتهم اليومية. يمكن أن توجد مفتاح المرور على جهاز واحد، أو تُزامن عبر أجهزة المستخدم من خلال مزود خدمات سحابية، أو تُربط بجهاز مصادقة مادي. وفي جميع الحالات، تكون الآلية الأساسية هي نفسها: مفتاح خاص لدى المستخدم، ومفتاح عام مسجل لدى الخدمة، وتحدي تشفير بدلاً من كلمة مرور.

بالنسبة للمؤسسات، تُعد مفاتيح المرور تقنية واعدة، لكنها لم تصل بعد إلى مرحلة النضج الكامل. تجربة المستخدم ممتازة، والتحسين الأمني مقارنةً بكلمات المرور كبير. لكن المؤسسات لا تزال بحاجة إلى التفكير بعناية في كيفية إصدار مفاتيح المرور، وأين يتم تخزينها، وكيف تتم مزامنتها، وكيف يتم استعادتها في حالة فقدان المستخدم لجهازه، وكيف يتم إدارتها طوال دورة حياة الهوية. والسؤال ليس ما إذا كان مفاتيح المرور العمل. بل يتعلق الأمر بما إذا كان نموذج النشر يتوافق مع متطلبات الضمان والرقابة الخاصة بالبيئة التي يتم إدخاله فيها.

بيانات اعتماد FIDO مرتبطة بنطاق الخدمة الشرعي. وهذا الارتباط هو ما يجعل هذا المعيار مقاومًا لعمليات التصيد الاحتيالي. فلا يمكن للمستخدم الذي يتم خداعه لزيارة موقع مقلد إكمال نفس عملية المصادقة هناك، لأن بيانات الاعتماد المشفرة لن تستجيب لنطاق لم يتم تسجيلها به.

هناك بعض التفاصيل المهمة:

• لا يقوم نظام FIDO بإرسال كلمات مرور قابلة لإعادة الاستخدام عبر الشبكة.
• تظل المفاتيح الخاصة بحوزة جهاز المصادقة ولا يتم الكشف عنها أبدًا للخدمة.
• تقتصر صلاحية بيانات اعتماد المفتاح العام على طرف معتمد أو مجال معين.
• يمكن لـ FIDO أن يقلل من المخاطر الناجمة عن التصيد الاحتيالي لبيانات الاعتماد، وإرهاق المستخدمين من استخدام المصادقة متعددة العوامل (MFA)، وبعض تقنيات التحايل على المصادقة متعددة العوامل.
• يكون نظام FIDO في أفضل حالاته عندما يقترن بعمليات تسجيل قوية، وعمليات استعادة، وإدارة فعالة للأجهزة.

هذه الخصائص هي السبب الذي يجعل المحللين وهيئات المعايير يشيرون بشكل متزايد إلى FIDO عندما يتحدثون عن المصادقة المقاومة للتصيد الاحتيالي. فهو يزيل الشروط التي تعتمد عليها معظم الهجمات القائمة على بيانات الاعتماد.

يُستخدم نموذج FIDO في مجموعة متنوعة من السيناريوهات المؤسسية، وعادةً ما يعتمد النمط الأمثل للنشر على فئة المستخدمين وملف المخاطر.

• تسجيل الدخول بدون كلمة مرور لموظفي الشركة: يستخدم الموظفون أجهزة المصادقة المدعومة بـ FIDO للوصول إلى تطبيقات العمل دون الحاجة إلى كلمات مرور.
• MFA المقاوم للتصيد الاحتيالي: تستخدم المؤسسات FIDO كعامل مصادقة أقوى للوصول عالي المخاطر.
• التحقق من الهوية في مجال الخدمات المصرفية والمالية: يمكن للبنوك استخدام ميزة تسجيل الدخول بدون كلمة مرور القائمة على FIDO للحد من عمليات التصيد الاحتيالي لاستخراج بيانات الاعتماد وتحسين أمن وصول العملاء أو الموظفين.
• وصول المستخدمين ذوي الصلاحيات الخاصة: يمكن للمسؤولين والمستخدمين المعرضين لمخاطر عالية استخدام بيانات اعتماد FIDO لضمان وصول أكثر أمانًا.
• الوصول إلى التطبيقات الهجينة وتلك المستندة إلى السحابة: يمكن لـ FIDO دعم الهوية الآمنة عبر البيئات السحابية والمختلطة والمحلية عند دمجها مع بنية إدارة الهوية والوصول (IAM) المناسبة.
• إدارة الهوية والوصول (IAM) القائمة على نموذج «الثقة الصفرية»: يمكن لـ FIDO دعم إدارة الهوية والوصول وفق نموذج «الثقة الصفرية» من خلال تعزيز عملية التحقق من هوية المستخدم قبل منحه حق الوصول.

تندرج مبررات اعتماد نموذج FIDO في ثلاثة جوانب: الأمن، وتجربة المستخدم، واستراتيجية الهوية على المدى الطويل. وتشمل المزايا الرئيسية ما يلي:

• يقلل من الهجمات التي تستهدف كلمات المرور: يساعد نظام FIDO في الحد من التعرض لسرقة بيانات الاعتماد، وإعادة استخدام كلمات المرور، والتصيد الاحتيالي.
• يدعم المصادقة متعددة العوامل (MFA) المقاومة لعمليات التصيد الاحتيالي: يمكن أن توفر مصادقة FIDO2 حماية أقوى من الرسائل النصية القصيرة (SMS) أو رموز OTP أو الإشعارات الفورية الأساسية وزارة الخارجية.
• يحسّن تجربة المستخدم: يمكن للمستخدمين تسجيل الدخول باستخدام جهاز أو تطبيق مصادقة أو فتح القفل باستخدام المعالم الحيوية أو مفتاح أمان بدلاً من كتابة كلمات المرور.
• يدعم أهداف الأمن القائم على نهج «الثقة الصفرية»: تعزز FIDO عملية التحقق من الهوية كجزء من الثقة الصفرية استراتيجية IAM.
• يساعد على تلبية متطلبات المصادقة الأكثر صرامة: يمكن لـ FIDO دعم المؤسسات في تلبية متطلبات المصادقة متعددة العوامل (MFA) ومعايير الأمن السيبراني الأكثر صرامة.
• يتكيف مع مختلف فئات المستخدمين: يمكن للمؤسسات استخدام أنواع مختلفة من أدوات المصادقة وفقًا لمستويات المخاطر والأدوار والبيئات المختلفة.

إن تفعيل FIDO لا يعني بالضرورة تطبيقه بشكل سليم. فمعظم القيمة تنبع من القرارات المرتبطة به بشأن وسائل المصادقة، والتسجيل، ومجموعات المستخدمين، والبنية التحتية، والحوكمة.

اختيار أداة المصادقة

تحتاج معظم المؤسسات إلى مزيج من الخيارات. تعمل أدوات المصادقة عبر الأجهزة المحمولة بشكل جيد لتوفير الوصول اليومي للموظفين. وغالبًا ما تكون بيانات الاعتماد المرتبطة بالأجهزة ورموز المصادقة المادية خيارًا أكثر ملاءمة للمستخدمين ذوي الصلاحيات الخاصة، أو البيئات الخاضعة للوائح التنظيمية، أو السيناريوهات التي تتطلب رقابة صارمة على قابلية نقل بيانات الاعتماد. أما أدوات المصادقة المدمجة في أجهزة الكمبيوتر المحمولة والهواتف، فهي توفر تجربة مستخدم قوية لمجموعات الموظفين العامة.

التسجيل والاسترداد

تتوقف قوة المصادقة القوية على مدى قوة العملية المستخدمة لتفعيلها. فإذا تمكن المستخدم من استعادة بيانات اعتماد FIDO من خلال إجراء ضعيف لمكتب الدعم الفني أو من خلال حل بديل يعتمد على كلمة المرور، فإن مزايا الضمان تتلاشى بسرعة. لذا، فإن عملية الاستعادة تستحق نفس القدر من الاهتمام التصميمي الذي يحظى به مسار المصادقة نفسه.

مجموعات المستخدمين ومستويات المخاطر

تنطوي الأدوار المختلفة على مخاطر مختلفة. غالبًا ما يحتاج المستخدمون ذوو الصلاحيات الخاصة والمقاولون والموردون والموظفون في سير العمل الخاضع للتنظيم إلى وسائل مصادقة توفر مستوى أعلى من الضمان. ويُعد ربط خيارات FIDO بمجموعات المستخدمين جزءًا من عملية النشر الصحيحة.

متطلبات السحابة، والأنظمة المختلطة، والأنظمة المحلية

يجب أن يعمل نظام FIDO في أي مكان تتطلب فيه الهوية العمل. وبالنسبة للعديد من المؤسسات، يعني ذلك العمل في بيئات سحابية ومختلطة ومحلية وذات مستوى أمان عالٍ في آن واحد، بما في ذلك عمليات النشر ذات السيادة أو المعزولة تمامًا عن الشبكة الخارجية، حيث قد لا تنطبق أنظمة مفاتيح المرور الخاصة بالمستهلكين.

الحوكمة والامتثال

يجب أن تندرج بيانات اعتماد FIDO ضمن دورة حياة الهوية، لا خارجها. وهذا يعني ربط إصدار أدوات المصادقة وإلغائها وأدلة التدقيق بسياسات الوصول وسير عمل الامتثال، بدلاً من التعامل مع FIDO كقدرة قائمة بذاتها.

يُعد FIDO أحد أقوى الأدوات المتاحة للمؤسسات للتخلص من نظام كلمات المرور وسد الثغرة التي استغلها التصيد الاحتيالي لبيانات الاعتماد لسنوات. لكن تحقيق هذه القيمة لا يقتصر على مجرد تفعيل مفاتيح المرور فحسب. بل يعتمد على كيفية إصدار أدوات المصادقة، وكيفية التعامل مع عمليات الاسترداد، وكيفية إدارة سياسات الوصول، وكيفية الحفاظ على ضمان الهوية عبر البيئات السحابية والمختلطة والمحلية وبيئات الضمان العالي.

تساعد RSA المؤسسات على دمج نهج FIDO في استراتيجية شاملة للهوية بدون كلمات مرور، مع توفير المرونة في أدوات المصادقة، والحوكمة، وخيارات النشر التي تحتاجها الشركات في البيئات المعقدة. لمعرفة كيف يتناسب ذلك مع مؤسستك، تفضل باستكشاف RSA مصادقة بدون كلمة مرور و مصادقة متعددة العوامل الحلول.