إذا كنت قد فعّلت مفاتيح المرور لحسابك على Google، فمن المحتمل أنك سمعت العرض الترويجي: لا كلمة مرور لكتابتها، ولا شيء يمكن التصيد به، ولا شيء قابع في قاعدة بيانات بانتظار أن يتسرّب. هذا العرض صحيح إلى حد كبير. لكن الباحثين وصفوا الآن تقنية — أطلقوا عليها اسم «Pass-ta-key» — تُظهر أن البرمجيات الخبيثة الموجودة على جهازك نفسه لا تزال قادرة على الوصول إلى مفاتيح المرور المخزنة في «مدير كلمات مرور Google». من المفيد فهم ما يعنيه ذلك بالضبط وما لا يعنيه، لأن الحل ليس «توقّف عن استخدام مفاتيح المرور».
مراجعة سريعة لكيفية عمل مفاتيح المرور فعليًا
مفتاح المرور هو زوج من المفاتيح، وليس سرًا تكتبه. من المفترض ألا يغادر الجزء الخاص جهازك مطلقًا؛ فالموقع أو التطبيق لا يرى إلا الجزء العام وتوقيعًا يثبت أنك تملك المفتاح الخاص. وهذا ما يجعل مفاتيح المرور مقاومة للتصيد التقليدي — فلا توجد كلمة مرور أو رمز لمرة واحدة يمكن لصفحة تسجيل دخول مزيفة سرقته، لأن المفتاح الخاص ليس شيئًا يمكن خداعك لكتابته في أي مكان.
المسألة الملتبسة هنا هي كلمة «متزامنة». لكي يعمل مفتاح المرور على هاتفك وحاسوبك المحمول وجهازك اللوحي، يشفّر «مدير كلمات مرور Google» مفاتيح المرور ويزامنها عبر حسابك على Google، بدلًا من ربط كل مفتاح منها بجهاز فعلي واحد. وهذه الراحة تعني أيضًا سطحًا أكبر للهجوم مقارنةً بمفتاح مرور مرتبط فعليًا بمفتاح أمان واحد أو جهاز واحد.
ما الذي يشير إليه بحث Pass-ta-key فعليًا
وفقًا للتقارير حول هذا البحث (عبر Malwarebytes)، تتمثل النتيجة في أن البرمجيات الخبيثة التي تعمل على جهاز يكون فيه «مدير كلمات مرور Google» غير مقفل يمكنها اختطاف الحسابات المحمية بمفاتيح المرور — ليس عبر كسر التشفير القائم على المفتاح العام، بل عبر إساءة استخدام طبقة البرمجيات التي تخزّن المفاتيح وتفتح قفلها وتزامنها. بعبارة أخرى: لم تُكسر الرياضيات الكامنة وراء مفاتيح المرور. إنما المستهدف هو كل ما هو حول الرياضيات — الخزنة المحلية، وآلية إلغاء القفل، وقناة المزامنة.
لم تُفصّل الآليات التقنية الدقيقة لسلسلة الاستغلال بالكامل في المعلومات المتاحة للعامة حتى الآن، لذا يجدر الحذر من المبالغة في تحويل ذلك إلى عبارة «مفاتيح المرور معطوبة». والواضح، والمتسق مع الطريقة التي تعمل بها هذه الأمور عادةً، هو الشكل العام للمخاطر: إذا حققت البرمجيات الخبيثة مستوىً مرتفعًا بما يكفي من الوصول إلى جهاز يحوي مخزنًا غير مقفل لمفاتيح المرور، فقد تتمكن من التصرّف بالنيابة عنك داخل ذلك المخزن، أو تصدير مواد تتيح للمهاجم المصادقة بوصفه أنت في مكان آخر.
لماذا لا يقوّض هذا مبررات استخدام مفاتيح المرور
من المغري قراءة عنوان كهذا على أنه «فشلت مفاتيح المرور». لكنها لم تفشل — لقد أغلقت هجومًا محددًا وشائعًا للغاية: التصيد عن بُعد، حيث يخدعك مهاجم موجود في أي مكان في العالم لتكتب كلمة مرور أو رمزًا لمرة واحدة في موقع مزيف. ولا يزال هذا الهجوم غير فعّال ضد مفتاح مرور حقيقي. ما توضحه Pass-ta-key هو نموذج تهديد مختلف وأقدم: مهاجم لديه بالفعل تعليمات برمجية تعمل على جهازك. وهذا التهديد كان موجودًا دائمًا، بل كان أسوأ على الأرجح بالنسبة إلى كلمات المرور — إذ كان بوسع مسجّل ضغطات المفاتيح أو سارق المعلومات على جهاز مصاب الاستيلاء على كلمة مرور مكتوبة وملف تعريف ارتباط لجلسة بالسهولة نفسها. تقلّص مفاتيح المرور سطح الهجوم؛ لكنها لا تلغي فئة «جهازك مخترق».
ما الذي ينبغي التحقق منه وفعله فعليًا
بضع خطوات عملية قابلة للتحقق، مرتبة تقريبًا حسب التأثير:
- اعرف أي مفاتيح المرور لديك متزامنة وأيها مرتبطة بالجهاز. في «مدير كلمات مرور Google» (passwords.google.com، ضمن «مفاتيح المرور»)، يمكنك رؤية ما هو مخزّن ومتزامن مع حسابك. ومفتاح المرور الذي أُنشئ وأُكّد باستخدام مفتاح أمان فعلي (مثل YubiKey) ولم تقم بمزامنته يكون مرتبطًا بذلك الجهاز ولا يكون معرّضًا لهذه الفئة من الهجمات بالطريقة نفسها.
- بالنسبة إلى حساباتك الأعلى قيمة — البريد الإلكتروني الأساسي، والبنك، وتسجيل الدخول الموحّد للعمل — فضّل استخدام مفتاح أمان مادي بدلًا من مفتاح مرور متزامن. فهو أقل راحة قليلًا (إذ تحتاج إلى المفتاح الفعلي)، لكنه لا يلامس المزامنة السحابية مطلقًا، ما يزيل سطح الهجوم هذا بالكامل بالنسبة إلى ذلك الحساب.
- حافظ على نظافة الجهاز نفسه، لأنه ساحة المعركة الفعلية الآن. ثبّت تحديثات نظام التشغيل والمتصفح فور صدورها، وتجنّب تثبيت التطبيقات أو الإضافات من خارج المتاجر الرسمية، ولا تتجاهل تنبيهات مكافحة الفيروسات أو نقاط النهاية — فالإصابة ببرمجيات خبيثة شرط مسبق لهذا النوع من الهجمات، ولذلك تؤدي نظافة الجهاز مهمتين في آن واحد.
- فعّل «برنامج الحماية المتقدمة» من Google إذا كنت هدفًا محتملًا (كالصحفيين، والناشطين، والتنفيذيين، والمسؤولين، أو أي شخص سبق استهدافه). فهو يشدّد قواعد استرداد الحساب وتسجيل الدخول تحديدًا لمواجهة هذا النوع من سيناريوهات الاستيلاء على الحسابات.
- راجع دوريًا «نشاط الأمان الأخير» في حسابك على Google والأجهزة المتصلة به وأزل أي شيء لا تتعرف عليه أو لم تعد تستخدمه — بما في ذلك مفاتيح المرور المتزامنة القديمة الموجودة على أجهزة استبدلتها منذ ذلك الحين.
- لا تتخلَّ عن وسيلة المصادقة الاحتياطية. احتفظ بوسيلة للاسترداد (رموز احتياطية، أو مفتاح مرور ثانٍ على نوع مختلف من الأجهزة) لا تعتمد على الجهاز نفسه، حتى لا تُمنع من الدخول إذا اضطررت إلى مسح جهاز مصاب.
باختصار: لا تزال مفاتيح المرور تتفوق على كلمات المرور، ولا تزال كلمة «غير قابلة للتصيد» وصفًا دقيقًا لما تفعله في مواجهة التصيد عن بُعد. إن Pass-ta-key تذكير بأن «غير قابل للتصيد» لم يكن قط الادعاء نفسه الذي يعني «محصّن ضد جهاز مخترق» — ودفاعك ضد الحالة الثانية هو الأمور المملّة: حدّث أجهزتك، وانتبه إلى البرمجيات الخبيثة، وضع حساباتك الأهم خلف مفاتيح مرتبطة بالأجهزة ماديًا بدلًا من المفاتيح المتزامنة.
