ما هي المصادقة دون كلمات مرور؟

إذا كنتم من مالكي المنتجات، فقد يبدو لكم هذا المفهوم محيّرًا بعض الشيء. فنحن نستخدم كلمات المرور لحماية مستخدمينا منذ ظهور التطبيقات. فكيف يمكن التحقّق من هوية شخص ما دون كلمة مرور؟ هناك عدة طرق لذلك: رسائل بريد إلكتروني برابط دخول سحري (Magic Link): تحتوي هذه الرسائل على رابط إلى تطبيقكم. ويتضمن الرابط token صالحًا لفترة قصيرة، يسجّل دخول المستخدم تلقائيًا عند فتحه. وبعد استخدام الرابط مرة واحدة يُعلَّم بأنه مستخدَم فلا يمكن استخدامه مجددًا. تعتمد هذه الآلية على معرفتنا بعنوان البريد الإلكتروني للمستخدم، أي أننا نستخدم بريده الإلكتروني وسيلةً لتعريفه.رموز التحقّق لمرة واحدة عبر SMS: إذا كان لدينا رقم هاتف المستخدم، يمكننا إرسال رسالة SMS إليه تحتوي على رمز قصير، يتكوّن عادةً من 6 أرقام. وإذا كنتم تبنون تطبيقات أصلية (native)، فهناك آليات تتيح التقاط هذه الرموز من رسائل SMS وتعبئة نموذج تسجيل الدخول تلقائيًا، ما يمنح المستخدم تجربة رائعة حقًا.

رموز التحقّق لمرة واحدة عبر البريد الإلكتروني: الفكرة نفسها، لكن عبر البريد الإلكتروني. ومن تجربتي، هذا الخيار أقل تفضيلًا بقليل من رموز SMS، لأن تكاملات التعبئة التلقائية للنماذج غير متاحة له. كما أن رسائل SMS تعرض الرمز في الإشعار فور وصول الرسالة، بينما لا تعرض رسائل البريد الإلكتروني عادةً سوى اسم المرسل والموضوع.

ما الفوائد الأمنية للمصادقة دون كلمات مرور؟

إزالة كلمات المرور من قاعدة البيانات تقلّل كثيرًا من خطر تعرّض خدمتكم للهجمات. فالمستخدمون كثيرًا ما يعيدون استخدام كلمة المرور نفسها في جميع تطبيقاتهم. وحتى لو كان أمانكم قويًا، فإن تسريب قاعدة بيانات خدمة أخرى قد يعرّض مستخدميكم للخطر أيضًا. كما أن المستخدمين معروفون بسوء اختيارهم لكلمات المرور، فأعداد كبيرة منهم تستخدم كلمات مرور ضعيفة جدًا. وقد كُشف مؤخرًا أن كلمة مرور حساب الرئيس ترامب على twitter كانت MAGA2020!. أي أن "المخترق" لم يبذل جهدًا يُذكر لاختراق حساب رئيس الولايات المتحدة الأمريكية. وعليكم أن تفترضوا أن مستخدميكم لا يقلّون عنه سوءًا في اختيار كلمات المرور. فكثير من المستخدمين يرون كلمات المرور إزعاجًا لا بد منه، لا وسيلة حماية. وتزيد كلمات المرور التكاليف في التطوير وDevOps على حد سواء، لأنكم تحتاجون باستمرار إلى ضمان أمان خدمتكم وبنيتكم التحتية. أما التحوّل إلى المصادقة دون كلمات مرور فيقلّل نقاط الضعف الأمنية. كما يصبح التصيّد الاحتيالي (Phishing) مشكلة أقل، إذ لا يوجد ما يمكن اصطياده. ومشاركة كلمات المرور شائعة أيضًا، وهي تُضعف أمان المستخدمين وتسمح غالبًا بالالتفاف على هيكل التسعير لديكم. ومع المصادقة دون كلمات مرور، تصبح مشاركة الحسابات صعبة إلى درجة أن معظم الناس لن يكلّفوا أنفسهم عناء المحاولة. كذلك تفتح المصادقة بكلمات المرور منافذ هجوم متعددة لا تتطلب أي تهاون من المستخدمين. فهجمات القوة الغاشمة (brute force) ورشّ كلمات المرور (password spraying) ممكنة دون معرفة أي شيء عن المستخدم. وحين لا توجد كلمة مرور لكسرها، لا تبقى أي فرصة لهذه الهجمات.

ما فوائد المصادقة دون كلمات مرور لتجربة المستخدم؟

يمكن تبسيط مسارات التسجيل عندما لا تكون كلمة المرور مطلوبة. فالمستخدمون غالبًا ما يجدون إنشاء كلمات المرور أمرًا مرهقًا. ومعظم المحترفين يستخدمون برامج إدارة كلمات المرور لإنشائها، لكن كثيرًا من مستخدمي الويب غير التقنيين لا يفعلون ذلك. وقد يسبّب هذا توترًا لا داعي له، أو ما هو أسوأ: كلمات مرور ضعيفة. وصحيح أننا نستطيع فرض قيود على أنواع كلمات المرور المسموح بها، لكن غياب كلمة المرور تمامًا أبسط بلا شك من وجهة نظر المستخدم. وغياب كلمات المرور يعني أن أحدًا لن يحتاج إلى إعادة تعيين كلمة مروره أبدًا. ويمكننا إزالة هذه الوظيفة من تطبيقاتنا كليًا، ما يقلّل وقت التطوير وتكاليفه. كما أن مستخدمي الإنترنت الشباب يستخدمون البريد الإلكتروني بشكل متناقص. ومنح المستخدمين فرصة التسجيل برقم الهاتف بدلًا من البريد الإلكتروني يزيد فرصتكم في الوصول إلى هذه الفئة.

التحديات التي تواجه المصادقة دون كلمات مرور

رغم الفوائد الكثيرة، تبقى هناك تحديات. فإذا فقد المستخدم الوصول إلى بريده الإلكتروني أو رقم هاتفه مثلًا، فستحتاجون على الأرجح إلى توفير آلية لاستعادة حسابه. وهذا التحدي موجود أيضًا في المصادقة بكلمات المرور، لكنه يختلف قليلًا، إذ يستطيع المستخدم تسجيل الدخول وتحديث بريده الإلكتروني أو رقم هاتفه ما دام لم يفقد كلمة مروره أيضًا. ولهذا تسمح كثير من التطبيقات للمستخدمين بإضافة البريد الإلكتروني ورقم الهاتف معًا لتقليل خطر فقدان الوصول.