2023: عام انتهاء صلاحية استخدام كلمات المرور وفقاً لجوجل |إم آي تي تكنولوجي ريفيو

احتفل العالم في الخامس من شهر مايو الحالي باليوم العالمي لكلمات المرور، وبهذه المناسبة أعلنت شركة جوجل عن رؤيتها لمستقبل رقمي دون استخدام كلمات المرور، حيث تريد بحسب خططها المعلنة التخلي عن استخدام كلمات المرور بشكل نهائي في عام 2023. وهي رؤية تشاركها فيها أكثر من 200 شركة تكنولوجية وجهة حكومية ومؤسسة.

كل هؤلاء يجتمعون معاً تحت مظلة تعاون عالمي يضم تحالف "الهوية السريعة على الإنترنت" (Fast IDentity Online) -اختصاراً FIDO- و"اتحاد شبكة الويب العالمية" (World Wide Web Consortium) -اختصاراً WC3- اللذين أصبحت مهمتهما الأساسية هي تطوير وتعزيز معايير المصادقة التي تساعد في تقليل اعتماد المستخدمين على كلمات المرور.

بالإضافة إلى ذلك يعمل التحالف على تشجيع شركات التكنولوجيا على تقديم طرق جديدة لتسجيل الدخول إلى الحسابات دون كلمة مرور، للتقليل من المشكلات التي يواجهها المستخدمون في إنشاء وتذكر أسماء المستخدمين وكلمات المرور المتعددة.

ما هي سلبيات استخدام كلمة المرور؟

تعتبر عملية إعادة استخدام كلمات المرور نفسها للعديد من الحسابات أو استخدام كلمة مرور يسهل تذكرها أمراً شائعاً للكثير من مستخدمي الإنترنت، فغالباً ما يعتقدون أن كلمة المرور الخاصة بهم صعبة للغاية بحيث يمكنهم استخدامها مرة أخرى في حساباتهم الأخرى.

ولكن الحقيقة هي أن كلمة المرور سهلة الاختراق، فكل ما يحتاجه مجرمو الإنترنت لاختراق حساب في بضع دقائق هو البحث في منصات أخرى مثل منصات التواصل الاجتماعي لمعرفة بيانات شخصية عن المستخدم والتخمين، فإذا كان المستخدم يستخدم كلمة مرور واحدة للعديد من حساباته عبر الإنترنت، ستكون هذه الحسابات معرضة لخطر الاختراق بشكل كبير.

إذاً، لماذا أصبح التخلي عن كلمات المرور ضرورة ملحة؟

وفقاً للعديد من الدراسات فإن إجراءات الأمان المستندة إلى كلمة المرور قد فشلت لفترة طويلة في التحكم في وصول المستخدم إلى الموارد، ففي العام الماضي وجدت مراجعة أن هناك أكثر من 15 مليار كلمة مرور مسروقة في شبكة "الإنترنت المظلم" (Dark Web) معروضة للبيع لمن يدفع أكثر.

وهذا يعود إلى حقيقة أن القراصنة ومجرمي الإنترنت أصبحوا يجدون سهولة بالغة في سرقة كلمات مرور المستخدمين، من خلال جمع بيانات تفاصيل تسجيل الدخول باستخدام العديد من الطرق، وأشهرها عمليات التصيد الاحتيالي وعمليات "اختراق القوة الغاشمة" (Brute Force Attack).

يعتمد الأمان المستند إلى كلمة المرور على الوصول إلى الخدمات حول جزء من المعلومات التي يعرفها المخترق من نتائج عمليات البحث التي يقوم بها ويستخدمها لاحقاً في استراتيجيات التصيد المعلوماتي، والتي ارتفعت مواقعها وفقاً لتقرير حديث إلى أعلى مستوى لها على الإطلاق عند 2.02 مليون موقع في عام 2020 بنسبة زيادة وصلت إلى 19.91٪ عن عام 2019.

بالإضافة إلى ذلك، ارتفعت عمليات التصيد الاحتيالي إلى مستوى قياسي وصلت إلى 220٪ عن المتوسط السنوي لما كان قبل انتشار جائحة كورونا، وكان ما تصل نسبته إلى 29% من هذه العمليات عبارة عن اختراقات كلمات مرور تشمل استخدام تفاصيل دخول المستخدمين المسروقة.

وفي دراسة أخرى وجد الباحثون أن متوسط تكلفة انتهاك البيانات في الولايات المتحدة تصل إلى نحو ثمانية ملايين دولار، وحتى في حالة عدم سرقة كلمات المرور، يمكن أن تخسر الشركات الكثير من المال عند إعادة تعيينها. على سبيل المثال ذكرت شركة مايكروسوفت في عام 2018 أن الشركة تنفق أكثر من 2 مليون دولار شهرياً من أجل مساعدة الأشخاص على تغيير كلمات المرور الخاصة بهم.

والآن، مع وجود الكثير من التفاصيل الشخصية والمهنية بشكل متزايد في العالم الرقمي من المرجح أن تزداد هذه التكاليف بشكل كبير، حيث تعتبر عملية إعادة تعيين كلمة المرور أكثر تعقيداً، بحسب دراسة حديثة وجدت أن متوسط إعادة تعيين كلمة المرور يُكلف ما يصل إلى 70 دولاراً لكل مستخدم.

كيف تعمل شركة جوجل وشركاؤها على إلغاء كلمات المرور للأبد؟

وفقاً لمدير إدارة مشروع أمن المصادقة في شركة جوجل ورئيس تحالف FIDO "سام سرينيفاس" (Sam Srinivas)، تخطط الشركة بحلول عام 2023 لتمكين المستخدمين من تسجيل الدخول إلى التطبيقات أو مواقع الويب عبر هواتفهم المحمولة عن طريق إلغاء قفل أجهزتهم، أو الموافقة على عمليات تسجيل الدخول عبر نافذة منبثقة على هواتفهم لمستخدمي أجهزة سطح المكتب.

بمجرد القيام بذلك لن يحتاج المستخدم إلى هاتفه مرة أخرى، وحتى إذا فقد هاتفه ستتم مزامنة مفاتيح المرور الخاصة به بشكل آمن مع هاتفه الجديد عبر عملية النسخ الاحتياطي السحابي، ما يتيح له المتابعة من حيث توقف هاتفه القديم.

وفي هذا الصدد يذكر سام سرينيفاس: "نريد أن يتمتع جميع مستخدمينا بأفضل وسائل الحماية الأمنية -افتراضياً- عبر أجهزتهم وحساباتهم. نحن نعلم أن كلمات المرور لم تعد شكلاً كافياً من أشكال المصادقة، وهذا هو السبب في أننا نبذل قصارى جهدنا لإبعاد المستخدمين عن الحاجة إليها".

ويضيف: "سيتطلب هذا من المستخدمين استخدام جهاز مادي للمصادقة بدلاً من استخدام شيء يعرفونه. وعلى الرغم من أن مجرمي الإنترنت سيجدون دائماً طريقة لكشف ما يعرفه الشخص باستخدام وسائل متقدمة مثل التصيد الاحتيالي، لكن لا يمكنهم إزالة شيء مادي عبر الإنترنت".

وبشكل عام، يعمل تحالف FIDO على تطوير معايير مصادقة مفتوحة ومجانية بحيث يمكن اعتمادها بسهولة أكبر لمنح المستخدمين إمكانات جديدة لتسجيل الدخول بدون كلمة مرور بشكل أكثر سلاسة وأماناً، وهي تطمح بشكل رئيسي إلى تحقيق الأهداف التالية:

السماح للمستخدمين بالوصول تلقائياً إلى بيانات اعتماد تسجيل الدخول إلى FIDO –يشار إليها أحياناً باسم مفتاح المرور- على العديد من أجهزتهم، حتى الأجهزة الجديدة دون الحاجة إلى إعادة تسجيل الدخول إلى كل حساب.
تمكين المستخدمين من استخدام مصادقة FIDO على أجهزتهم المحمولة لتسجيل الدخول إلى تطبيق أو موقع ويب على جهاز قريب بغض النظر عن نظام التشغيل الأساسي أو المتصفح الذي يقومون باستخدامه.
تسهيل تجربة مستخدم أفضل، حيث إن الدعم الواسع لنهج إلغاء كلمات المرور سيمكن مقدمي الخدمات من تقديم بيانات اعتماد FIDO دون الحاجة إلى كلمات مرور كطريقة بديلة لتسجيل الدخول أو استعادة الحساب.

إلغاء كلمات المرور لتسجيل الدخول للحسابات صناعة تنمو بقوة

يتوقع الباحثون أن سوق المصادقة العالمية بدون كلمة مرور سوف ينمو من 12.79 مليار دولار في عام 2021 إلى 53.64 مليار دولار بحلول عام 2030، وهذا يعود إلى المزايا التي تقدمها، ليس فقط لتخفيف المخاوف الرقمية الأمنية، ولكن أيضاً لتحسين تجربة المستخدم من خلال تبسيط خيار تسجيل الدخول السلس.

ونتيجة لذلك، تقوم شركة جوجل ومعها شركات مثل آبل ومايكروسوفت، ضمن تحالف FIDO بتجربة نهجها الخاص بالتخلص التدريجي من كلمات المرور كُلٍ بطريقته الخاصة. على سبيل المثال أصدرت شركة آبل مؤخراً حلاً يُسمى "باس كيز" (Passkeys) يلغي الحاجة إلى كلمات المرور ويسمح للمستخدمين باستخدام أنظمة المقاييس الحيوية لتسجيل الدخول إلى حساباتهم عبر الإنترنت.

كما أن شركة مايكروسوفت بدأت بتطبيق نهجها بالفعل في التخلص من كلمات المرور، حيث أطلقت تطبيق "مصادقة مايكروسوفت" (Microsoft Authenticator) الذي يتم ربطه بحساب مايكروسوفت واختيار تشغيل المصادقة بدون كلمة مرور لتسجيل الدخول إلى حساب مايكروسوفت بدون الحاجة إلى إدخال كلمة مرور.

كما قام اتحاد شبكة الويب العالميةا باعتماد مواصفات معيار "WebAuthN" والتي هي عبارة عن واجهة برمجة تطبيقات تعتمد على المتصفح، وتسمح لتطبيقات الويب بتبسيط وتأمين مصادقة المستخدم باستخدام الأجهزة المسجلة -مثل الهواتف الذكية وأجهزة الحواسيب المحمولة- كعوامل من خلال استخدام تشفير المفتاح العام لحماية المستخدمين من هجمات التصيد الاحتيالي المتقدمة.

أبرز تحديات إنشاء عالم رقمي بدون كلمات المرور

على الرغم من التوقعات العالية والمستقبل الباهر لعالم رقمي بدون كلمة مرور، والرؤية الواثقة لعمالقة ومزودي الخدمات عبر الإنترنت في التخلص أخيراً من مشكلات كلمات المرور المتنامية، إلا أن هذه الرؤية لا يزال أمامها تحديان رئيسيان يجب حلهما أولاً، وهما:

يتوقع من هذا النهج ليس فقط أن يكون سهلاً ومريحاً وبسيطاً ويوفر أعلى مستوى من الأمان للمعلومات الخاصة للمستخدم فحسب، بل يجب أن يكون أيضاً مجانياً وقياسياً بحيث يتوفر لجميع مقدمي الخدمات عبر الإنترنت بشكل شامل وشفاف.
التحدي الثاني هو سلوك المستخدمين، حيث أن السبب الذي يجعل معظم الناس لا يزالون يفضلون كلمة المرور على الطرق الأخرى هو أن كلمة المرور يمكن استخدامها بسهولة من قبل أي شخص، ولا توجد قيود ولا توجد متطلبات للأجهزة، لذا فإنه حتى وإن كانت التكنولوجيا الجديدة متاحة لهم، فقد يستمر البعض في استخدام كلمات المرور.

وأخيراً، نجد أنه في حال قيام مزودي الخدمات بتوفير أشكال المصادقة بدون كلمة مرور كُلٍ بحسب طريقته، من المتوقع أن يتبناها المستخدمون تدريجياً ويتخلوا عن عاداتهم في استخدام كلمات المرور. ومع ذلك فإن الرحلة للوصول إلى هذه المرحلة لا تزال طويلة جداً، ما يعني أيضاً أن خطر حدوث الانتهاكات سيستمر ولن يتوقف.