المقاييس الحيوية والمصادقة القائمة على الرموز

تتحقق المصادقة بالقياسات الحيوية من الهوية بالاعتماد على خصائص جسدية أو سلوكية فريدة — «شيء يمثلك». وعلى خلاف كلمات المرور، لا يمكن نسيان القياسات الحيوية أو مشاركتها بسهولة أو فقدانها. لكنها لا يمكن تغييرها أيضًا عند اختراقها: فلا يمكنك الحصول على بصمة إصبع جديدة. تقيس أنظمة القياسات الحيوية سمة بيولوجية أو سلوكية وتقارنها بقالب مسجّل مخزّن أثناء الإعداد. وتُقاس جودة نظام القياسات الحيوية بمعدلات الخطأ فيه وبأمان طريقة تخزين القوالب. وتكون القياسات الحيوية أكثر فعالية عند دمجها مع عامل آخر (مثل بصمة الإصبع + PIN).

تعتمد القياسات الحيوية الفسيولوجية على الخصائص الجسدية للجسم. وتشمل الأنواع الرئيسية: بصمة الإصبع: الأكثر انتشارًا بسبب انخفاض تكلفتها وتقبل المستخدمين لها؛ وتُستخدم في الهواتف وأنظمة التحكم في الوصول وأمن الحدود. مسح شبكية العين: يمسح أنماط الأوعية الدموية في الجزء الخلفي من العين — وهو دقيق جدًا ويصعب تزويره، لكنه يتطلب تلامسًا قريبًا مع القارئ. مسح قزحية العين: يمسح الأنماط في الجزء الملوّن من العين — ويمكن إجراؤه من مسافة أكبر، ويُستخدم في المطارات. التعرف على الوجه: يحلل هندسة الوجه باستخدام كاميرا؛ وقد ازدادت دقته، لكنه قد يتأثر بالإضاءة والتقدم في العمر والتنكر. هندسة اليد: تقيس شكل اليد وطول الأصابع.

تحلل القياسات الحيوية السلوكية الأنماط في طريقة أداء الشخص لشيء ما، بدلًا من الخصائص الجسدية. ومن أمثلتها: ديناميكيات ضغطات المفاتيح — قياس إيقاع الكتابة وسرعتها ومدة البقاء على المفاتيح (أي المدة التي يُضغط فيها على كل مفتاح). ديناميكيات استخدام الفأرة — سرعة استخدام الفأرة وتسارعها وأنماط حركتها. التعرف على الصوت — تحليل أنماط الكلام ودرجة الصوت وإيقاعه (وهو يختلف عن الأوامر الصوتية). ديناميكيات التوقيع — ضغط التوقيع المكتوب بخط اليد وسرعته وإيقاعه، وليس شكله فحسب. وتتميز القياسات الحيوية السلوكية بقيمتها خصوصًا في المصادقة المستمرة — أي التحقق من الهوية طوال الجلسة، وليس عند تسجيل الدخول فقط.

يصف معدلا خطأ أداء نظام القياسات الحيوية. معدل القبول الخاطئ (FAR): احتمال أن يقبل النظام متطفلًا عن طريق الخطأ باعتباره مستخدمًا شرعيًا — وهو خطر أمني. معدل الرفض الخاطئ (FRR): احتمال أن يرفض النظام مستخدمًا شرعيًا عن طريق الخطأ — وهي مشكلة في الإتاحة وسهولة الاستخدام. ويرتبط المعدلان عكسيًا: فزيادة الحساسية تقلل FAR (قبول عدد أقل من المتطفلين)، لكنها تزيد FRR (رفض عدد أكبر من المستخدمين الشرعيين). أما معدل خطأ التقاطع (CER) — حيث يتساوى FAR وFRR — فهو الرقم الوحيد المستخدم لمقارنة دقة أنظمة القياسات الحيوية. وكلما انخفض CER كان النظام أدق.

ليست أنظمة القياسات الحيوية محصّنة ضد الهجمات. تقدم هجمات الانتحال قياسًا حيويًا مزيفًا لخداع المستشعر: إذ يستخدم انتحال بصمة الإصبع نسخًا هلامية أو سيليكونية لبصمة متروكة؛ ويمكن خداع التعرف على الوجه باستخدام أقنعة ثلاثية الأبعاد عالية الجودة أو صور في الأنظمة الأقل جودة. هجمات قواعد بيانات القوالب: إذا سُرقت قوالب القياسات الحيوية المخزّنة، فلا يمكن إبطالها مثل كلمات المرور. وتخفف الأنظمة الحديثة من ذلك عبر حماية القوالب (تخزين قوالب مجزأة أو محوّلة بدلًا من البيانات الحيوية الخام) واكتشاف الحيوية (إثبات أن القياس الحيوي صادر عن شخص حي وليس نسخة).

تطبّق مفاتيح الأمان المادية مثل YubiKey وGoogle Titan Key وSoloKey معيار FIDO2/WebAuthn للمصادقة المقاومة للتصيد الاحتيالي. يحتوي المفتاح على مفتاح خاص محمي ماديًا يُجري العمليات التشفيرية من دون أن يغادر المفتاح الجهاز إطلاقًا. عند المصادقة، يوقّع المفتاح الخاص لمفتاح الأمان التحديَ الوارد من الموقع — ولأن العملية مرتبطة بأصل الموقع المحدد، لا يستطيع موقع تصيد احتيالي ينفّذ هجوم الوسيط (MITM) اعتراض المصادقة أو تمريرها. ويمكن أن تعمل المفاتيح المادية أيضًا كبطاقات PIV الذكية في بيئات المؤسسات التي تتطلب مصادقة قائمة على الشهادات.

البطاقات الذكية أجهزة بحجم بطاقات الائتمان، تحتوي على شريحة إلكترونية مدمجة تخزّن مفاتيح التشفير والشهادات. بطاقات PIV (التحقق من الهوية الشخصية) هي معيار البطاقات الذكية المفروض على موظفي الحكومة الفيدرالية الأمريكية (FIPS 201). تحتوي بطاقات PIV على: شهادة X.509 لحامل البطاقة، ومفتاحه الخاص (الذي لا يغادر البطاقة إطلاقًا)، وصورة رقمية، وبيانات حيوية. تتطلب المصادقة البطاقة المادية («شيء تملكه») ورمز PIN («شيء تعرفه»)، وبذلك توفّر مصادقة ثنائية العوامل. تُقرأ البطاقات الذكية بواسطة قارئات تلامسية أو غير تلامسية (NFC).

كلمات المرور لمرة واحدة (OTP) هي رموز مصادقة صالحة لاستخدام واحد فقط. يوجد معياران. HOTP (RFC 4226): كلمة مرور لمرة واحدة قائمة على HMAC، تزيد عدّادًا عند كل استخدام. يجب أن يظل جهاز المصادقة والخادم متزامنين؛ فإذا أُنشئت الرموز ولم تُستخدم، فقد يخرج الطرفان عن التزامن، مما يتطلب إعادة المزامنة. TOTP (RFC 6238): كلمة مرور لمرة واحدة قائمة على الوقت، تستخدم الوقت الحالي بوصفه العدّاد، وتتغير كل 30 ثانية. يحظى TOTP بشعبية أكبر لأنه يزامن نفسه تلقائيًا عبر الوقت؛ إذ لا يحتاج جهاز المصادقة والخادم إلا إلى الاتفاق على الوقت الحالي (ويساعد NTP في ذلك). تنتهي صلاحية رموز TOTP غير المستخدمة ببساطة.

ترسل المصادقة الفورية (المستخدمة في Duo Security وMicrosoft Authenticator وOkta Verify) إشعارًا فوريًا إلى هاتف المستخدم الذكي عند اكتشاف محاولة تسجيل دخول. يوافق المستخدم على الطلب أو يرفضه بلمسة واحدة — وهذا أبسط بكثير من إدخال رمز مكوّن من 6 أرقام. تعرض بعض التطبيقات سياق تسجيل الدخول (عنوان IP والموقع والتطبيق) كي يتمكن المستخدم من اتخاذ قرار مستنير. وتتمثل نقطة الضعف الأمنية في هجمات إرهاق MFA — إذ يغمر المهاجمون المستخدم بطلبات فورية متتالية، على أمل أن يوافق المستخدم على أحدها عن طريق الخطأ، أو يوافق لمجرد إيقاف الإشعارات. تشمل التدابير المضادة مطابقة الأرقام (حيث يجب على المستخدم إدخال رمز ظاهر في صفحة تسجيل الدخول) وإضافة سياق إضافي إلى الإشعار الفوري.

تضبط المصادقة التكيفية مستوى قوة المصادقة المطلوب استنادًا إلى إشارات السياق. فإذا سجّل المستخدم الدخول من جهازه المعتاد، وعلى شبكة الشركة، خلال ساعات العمل — يكون الخطر منخفضًا، وقد تكفي كلمة المرور وحدها. أما إذا سجّل المستخدم نفسه الدخول من جهاز جديد في بلد غير معروف عند الساعة 3 صباحًا — فيكون الخطر مرتفعًا، وتُفعّل مصادقة تصعيدية (تتطلب MFA أو موافقة المدير). تشمل إشارات السياق: بصمة الجهاز (معروف/غير معروف)، والتحديد الجغرافي لعنوان IP، ووقت اليوم، والسفر المستحيل (عمليات تسجيل دخول من موقعين يستحيل الانتقال بينهما خلال الوقت المنقضي)، والأنماط السلوكية. ويقلل ذلك الاحتكاك الناتج عن MFA في عمليات تسجيل الدخول منخفضة المخاطر، مع زيادته حيث تكون الحاجة إليه أكبر.

تلغي المصادقة من دون كلمة مرور كلمة المرور تمامًا، وتستخدم عوامل مقاومة للتصيد الاحتيالي بدلًا منها. وتشمل الأساليب الشائعة: FIDO2/WebAuthn باستخدام القياسات الحيوية (Windows Hello وTouch ID) أو المفاتيح المادية؛ والروابط السحرية (عنوان URL يُرسل لمرة واحدة إلى بريد المستخدم الإلكتروني أو هاتفه، وتكون فعّالة عندما يكون الوصول إلى البريد الإلكتروني موثوقًا)؛ ومفاتيح المرور (معيار FIDO Alliance الذي اعتمدته Apple وGoogle وMicrosoft، حيث يُخزَّن المفتاح الخاص في بيئة الجهاز الآمنة وتتم مزامنته مع السحابة عبر حساب الجهة المورّدة). تجمع مفاتيح المرور بين سهولة الاستخدام ومقاومة التصيد الاحتيالي، ويجري اعتمادها سريعًا بوصفها البديل اللاحق لكلمات المرور.

اختبر مدى فهمك لمفاهيم CompTIA Security+ (SY0-701) الواردة في هذا الدرس.

تعلّمتم في هذا الدرس أن المصادقة الحيوية تستخدم سمات فسيولوجية (بصمة الإصبع والقزحية) أو سلوكية (ضغطات المفاتيح والصوت)؛ وأن FAR وFRR يقيسان دقة نظام القياسات الحيوية، مع كون CER نقطة التوازن؛ وأن مفاتيح الأمان المادية (FIDO2/WebAuthn) توفّر مصادقة قائمة على الرموز ومقاومة للتصيد الاحتيالي؛ وأن المصادقة التكيفية تضبط مستوى الاحتكاك استنادًا إلى مخاطر السياق. بعد ذلك، سنستكشف نماذج التفويض: RBAC وMAC وDAC.