Skip to content

تعلّم

ما هي المصادقة الثنائية (2FA)؟ وكيف تعمل تلك الرموز المؤقتة كل 30 ثانية فعلًا؟

دليل شامل بلغة مبسطة: ما هي المصادقة الثنائية، والتشفير الذي يقف خلف رموز TOTP ذات الأرقام الستة، والعامل الذي تفعّله في كل حساب، وكيف لا تُقصي نفسك من حسابك أبدًا.

لماذا لا تكفي كلمات المرور وحدها

كل عملية تسجيل دخول تحتاج إلى كلمة مرور، وكلمات المرور تعاني ثلاث مشكلات بنيوية: تُعاد استخدامها، وتُخمَّن عبر هجمات credential stuffing على قواعد بيانات مسربة، وتُصطاد عبر فخاخ التصيّد. والمصادقة الثنائية (2FA) تقر بحقيقة بسيطة — أضعف حلقةٍ فيها هي الأشخاص — وتضيف شيئًا ثانيًا مستقلًا يجب أن يملكه المهاجم أيضًا. وبهذه المصادقة، لم تعد كلمة المرور المسربة وحدها تكفي لفتح حسابك.

معظم الخدمات الكبرى تقدم المصادقة الثنائية اليوم أو تفرضها: GitHub تطبقها منذ 2023، ومنصات تبادل العملات الرقمية (Binance وCoinbase وKraken) تذكّرك بها مع كل هبوط في السوق، ودمجتها Microsoft وGoogle وApple في أمن الحسابات كخيار افتراضي.

العوامل الثلاثة

تندرج عوامل المصادقة في ثلاث فئات:

  • شيء تعرفه — كلمات المرور وأرقام PIN. رخيصة التطبيق وسهلة التصيّد.
  • شيء تملكه — مصادق يولّد رموزًا، أو مفتاح أمان مادي أو مفتاح مرور (passkey)، أو هاتف يستقبل رسائل SMS. وهنا تسكن المصادقة الثنائية.
  • شيء تكونه — بصمات الأصابع وتعرّف الوجه. مريحة، لكنها تُسجَّل على الجهاز نفسه أكثر مما تشكّل عامل الدخول الرئيسي عن بُعد.

التحقق الثنائي الصحيح يجمع أساليب من فئتين مختلفتين. كلمة مرور مضافًا إليها نمط فتح قفل هاتفك ليست مصادقة ثنائية؛ أما كلمة مرور مضافًا إليها رمز مصادق متجدد فنعم.

كيف يعمل TOTP خطوة بخطوة

  1. التسجيل. عند تفعيل الخاصية في خدمة ما، تولّد الخدمة سرًا عشوائيًا وتشاركك إياه مرة واحدة — على شكل رمز QR أو مفتاح إعداد Base32. ومن حيث الأمن، تتكدس في تلك اللحظة الواحدة كل المخاطر؛ ولهذا لا ينبغي كشف المفتاح إلا في مكان تثق به ثقة حقيقية.
  2. يتقدم الزمن. يُقسَّم الوقت الحالي إلى «خطوات» مدتها 30 ثانية: step = floor(unixTime / 30). ولا شيء في الرقم 30 من الخصوصية: يتيح RFC 6238 للخدمة قبول 15 أو 30 أو 60 ثانية.
  3. HMAC. يحسب مصادقك بصمة HMAC (باستخدام SHA-1 في معظم الخدمات، وأحيانًا SHA-256/512) على قيمة الخطوة، مستخدمًا السر كمفتاح. وHMAC بناء أحادي الاتجاه: رؤية الناتج لا يكشف لك شيئًا عن السر.
  4. استخلاص الأرقام. تُنتقى أربعة بايتات من ناتج HMAC وفق آخر نيبِل، ويُصفَّر البت الأعلى، ويُحوَّل ناتج القسمة على 10n إلى رمزك — عادة n = 6، وأحيانًا 7 أو 8.
  5. نافذة التحقق. يعيد الخادم حساب القيمة نفسها للخطوة الجارية والسابقة (للتسامح مع الانحرافات الزمنية الصغيرة). فإن تطابقت البرهان، قُبل تسجيل الدخول.

كل هذا ينفذ في أجزاء من الميلي ثانية، بالكامل على الجهاز. ولهذا تستطيع أداة من طرف العميل مثل 2FA COUNTER أن تقوم بالعمل كله محليًا — حمّل الصفحة وافصل الإنترنت وستواصل الرموز التدفق كل 30 ثانية، إلى الأبد.

السر ورمز QR

سلسلة Base32 ليست مجرد صيغة وسيطة — إنها بايتات السر الخام مرمّزة بأبجدية ملائمة للوحات المفاتيح (من A إلى Z ثم 2 إلى 7، مع استبعاد مقصود للرقمين 0 و1 اللذين يلتبسان بسهولة، وهي آمنة على أي لوحة مفاتيح). وعندما تقدم المنصة رابط «لا تستطيع المسح؟»، فإن السلسلة التي تظهر تحملالمادة السرية نفسها بالضبط التي يرمّزها الـQR. يمكنك حفظ أي من الصيغتين؛ فالمعنى واحد:

otpauth://totp/GitHub:you%40example.com?secret=JBSWY3DPEHPK3PXP&issuer=GitHub
otpauth://totp/Binance:me?secret=JBSWY3DPEHPK3PXP&digits=6&period=30&algorithm=SHA1
otpauth://hotp/Steam:sda?secret=...&counter=5   ← الصيغة القائمة على العدّاد (HOTP)

المولّد الحديث يحترم كل معامل: عدد الأرقام، والفترة، وخوارزمية التجزئة، وعدّاد HOTP — لأن خدمة تشترط SHA-256 سترفض كذلك رمزًا افتراضيًا بخوارزمية SHA-1. أما مفتاح Base32 المجرد فيُفسَّر بستة أرقام و30 ثانية وSHA-1، وهي ما تستخدمه الغالبية العظمى من الخدمات.

TOTP مقابل SMS مقابل المفاتيح المادية

  • رموز SMS تسير عبر شبكة الاتصالات. وهجمات انتحال شريحة SIM تتيح للخصم سرقة رقمك واستلام جميع رموزك. وقد استُبعد SMS من المصادقة في المعايير الأمريكية (NIST SP 800-63B).
  • TOTP لا يبثّ شيئًا — يُحسب الرمز محليًا وينتهي نفاذُه بعد 30 ثانية. مجاني وقائم على المعايير ومتوافق في كل مكان. أضعف حلقاته: يمكن اصطياده خلال نافذة صلاحيته.
  • مفاتيح الأمان ومفاتيح المرور (WebAuthn/FIDO2) ترتبط تشفيريًا بالنطاق الدقيق، فتفشل الصفحات المزيفة التي تقلّد الأصل تلقائيًا. أقوى الخيارات؛ لكنها الأقل دعمًا وتكلفتها شراء مفتاح.

السُّلَّم العملي: SMS عند لا بُدّ فقط، وTOTP الخيار الافتراضي، ومفاتيح مادية أو مفاتيح مرور للحسابات الأثمن لديك.

للتعمق في بعض خياراتك الأفضل: TOTP مقابل مفاتيح المرور — أي عامل في أي مكان، كيف تُفشل هجمات انتحال شريحة SIM الرسائل النصية و ماذا تفعل المزامنة السحابية لتطبيقات المصادقة بمفاتيحك السرية.

ما لا تعالجه المصادقة الثنائية

التحقق بخطوتين يعالج سرقة كلمات المرور. لكنه لا يوقف سرقة ملفات تعريف الجلسة (برمجيات خبيثة تعمل أصلًا على جهازك)، ولا إضافات المتصفح ذات الأذونات المفرطة، ولا بريد الاسترداد الذي فقدت السيطرة عليه، ولا الهندسة الاجتماعية التي يضغط فيها عليك مهاجم لقراءة رمز جديد خلال نافذته البالغة 30 ثانية. حافظ على تحديث المتصفحات، وقلّم الإضافات دون رحمة، واعتبر أي طلب عاجل لرمز جديد على أنه العَلَم الأحمر الذي هو عليه.

كيف لا تُقصي نفسك من حسابك أبدًا

  1. احفظ رموز الاسترداد. كل خدمة تطبع حزمة من رموز الاسترداد أحادية الاستخدام عند تفعيل المصادقة الثنائية. اطبعها أو احفظها مشفّرة ودون اتصال.
  2. احفظ السر، لا الأداة وحدها. مفتاح Base32 المكتوب في خزانة مدير كلمات المرور يمكّنك من إعادة توليد الرموز بأي مصادق — تطبيق هاتف أو مولّد المتصفح — على الجهاز الذي بين يديك ذلك اليوم.
  3. سجّل جهازين، لا جهازًا واحدًا. يمكن لمفتاح واحد أن يسكن بأمان في جهازين موثوقين معًا. فـTOTP حتمي: السر نفسه، والرموز نفسها.
  4. راقب ساعتك. إذا فشلت الرموز باستمرار، فصحّح أولًا مزامنة وقت الجهاز — فهي السبب الأكثر شيوعًا لأخطاء «رمز غير صالح»، ولا أداة تستطيع التحايل عليها.

الأسئلة الشائعة

ما هي المصادقة الثنائية (2FA)؟

المصادقة الثنائية (2FA) تعني إثبات هويتك بنوعين مختلفين من الأدلة: شيء تعرفه (كلمة المرور) إضافة إلى شيء تملكه (رمز يتغير كل 30 ثانية، أو مفتاح أمان، أو هاتفك). كلمة المرور وحدها قد تُسرب أو تُخمَّن؛ أما العامل الثاني فيجعل كلمة المرور المسربة بلا فائدة إن لم يقترن بها شيء آخر.

لماذا تكتسي المصادقة الثنائية أهمية بالغة؟

لأن كلمات المرور تفشل دائمًا بالطريقة نفسها. مليارات كلمات المرور الحقيقية أصبحت متاحة للعموم بسبب التسريبات، والمهاجمون يعيدون استخدامها بلا كلل لاختراق حسابات الآخرين (هجمات credential stuffing) في كل الأوقات. وتشير Microsoft إلى أن المصادقة الثنائية تحجب أكثر من 99.9% من هجمات الاستيلاء الآلي على الحسابات — فهي تحمي بريدك ومصرفك وشبكاتك الاجتماعية وألعابك وعملاتك الرقمية من التهديدات التي تحدث فعلًا.

ما فائدة المصادقة الثنائية (2FA)؟

تحمي أي عملية تسجيل دخول تستحق السرقة: البريد وحسابات السحابة (Google وMicrosoft وApple)، والخدمات المصرفية والمالية، ومنصات تبادل العملات الرقمية (Binance وCoinbase وKraken)، ومنصات المطوّرين (GitHub وAWS)، وألعاب الفيديو (Steam وDiscord وTwitch)، وشبكات التواصل الاجتماعي (X وInstagram). كما تستخدمها الشركات لحماية الشبكات الافتراضية الخاصة (VPN) والبريد ولوحات الإدارة. وحيثما توفرت خيار «تطبيق مصادقة»، هناك تقع أداة المصادقة الثنائية الصحيحة.

كيف تعمل المصادقة الثنائية (2FA)؟

بعد كلمة المرور، يطلب الخدمة دليلًا ثانيًا. في الطريقة الأكثر شيوعًا (TOTP) يشتق مصادقك رمزًا جديدًا من 6 أرقام انطلاقًا من مفتاح سري مشترك مضافًا إليه الوقت الحالي (المعيار RFC 6238)، بينما ينفذ الخادم الحسابَ نفسه ويقارن الناتجين. يتجدد الرمز كل 30 ثانية ولا يمكن إعادة استخدامه أبدًا، فلا يستطيع مهاجم يملك كلمة مرورك وحدها الدخول كذلك.

كيف يُولَّد رمز TOTP؟

يمنحك الموقع مفتاحًا سريًا (غالبًا على شكل رمز QR أو سلسلة Base32). يحسب مصادقك بصمة HMAC (باستخدام SHA-1 أو SHA-256 أو SHA-512) على نافذة الـ30 ثانية الجارية باستخدام ذلك المفتاح، ثم يستخرج من الناتج 6 أرقام. وينفذ الموقع الحساب نفسه ويقارن. ولا حاجة إلى شبكة، لأن الطرفين يتقاسمان السر مسبقًا.

كيف أحصل على المصادقة الثنائية (2FA)؟

تحصل عليها من الحساب نفسه الذي تريد حمايته: افتح إعداداته، ثم انتقل إلى «الأمان» أو «تسجيل الدخول والأمان» وابحث عن «المصادقة الثنائية» أو «التحقق بخطوتين». اختر خيار تطبيق المصادقة، وامسح رمز QR (أو اعرض مفتاح الإعداد) وأدخل الرمز الذي يعرضه مصادقك للتأكيد. دليلنا خطوة بخطوة يشرح كيفية الحصول على رمز دون هاتف: /ar/how-to-get-2fa-code/.

كيف أفعّل المصادقة الثنائية (2FA)؟

أربع خطوات: 1) افتح إعدادات الحساب أو الأمان في الخدمة واختر «المصادقة الثنائية». 2) اختر «استخدام تطبيق مصادقة» (وتجنّب SMS إن استطعت). 3) امسح رمز QR بمصادقك — أو اضغط «لا تستطيع المسح؟» واحفظ مفتاح الإعداد. 4) أدخل الرمز الفوري لإنهاء العملية، ثم نزّل رموز الاسترداد التي يعرضها أو اطبعها. ننشر أدلة إعداد لكل خدمة تشمل Google وGitHub وDiscord وBinance وغيرها في /guides/.

ما مدى قوة المصادقة الثنائية؟

يعتمد ذلك كليًا على العامل الثاني الذي تستخدمه. رموز SMS هي الأضعف — فمع هجوم انتحال شريحة SIM يسرق المهاجم رقمك ويستلم الرموز بنفسه. أما رموز TOTP من المصادق — رموز الـ30 ثانية — فهي قوية حسابيًا: لا يمكن للمهاجم خارج الاتصال استنتاجها، وينتهي نفاذ كل رمز خلال ثوانٍ. ومفاتيح الأمان المادية ومفاتيح المرور (passkeys) هي الأقوى على الإطلاق، لأنها تصمد أمام التصيّد وترتبط تشفيريًا بالنطاق الحقيقي.

هل المصادقة الثنائية آمنة بنسبة 100%؟

لا يوجد إجراء أمني آمن بنسبة 100%، والأدلة الأمينة للمصادقة الثنائية تقر بذلك. المصادقة الثنائية تُفشل كلمات المرور المسروقة، لكن الرمز نفسه قد يقع فعلًا في فخ تصيّد إن كتبت رمزًا صالحًا في موقع مزيف خلال نافذته البالغة 30 ثانية؛ وبرمجيات خبيثة موجودة أصلًا في جهازك قد تسرق الجلسات؛ وإذا كان العامل الثاني لديك هو SMS فإن انتحال شريحة SIM تهديد حقيقي. ومع ذلك، فإن تفعيل المصادقة الثنائية يجعل اختراق حسابك أصعب بكثير من حساب محمي بكلمة مرور وحدها.

هل المصادقة الثنائية إلزامية؟

ليست إلزامية بقانون، لكن خدمات أكثر فكثر تفرضها: GitHub تشترطها على من يساهمون بالشيفرة منذ 2023، وكثير من المصارف ومنصات تبادل العملات الرقمية تفرضها على الدوام، وأصحاب العمل يطلبونها عادة للوصول إلى أنظمة العمل. وفي بقية الحالات فهي اختيارية لكنها شديدة التوصية بها. عمليًا، عامِلها كإلزامية في أثمن حساباتك: البريد أولًا، فمن يسيطر على صندوق بريدك يستطيع استعادة كل ما عداه.

لماذا يعتمد الجميع المصادقة الثنائية الآن؟

لأن عصر كلمة المرور المجردة انهار. فقد كشفت التسريبات الواسعة مليارات من بيانات الاعتماد، وامتلأ العالم بهجمات إعادة استخدام بيانات الاعتماد الآلية التي قلّت كلفتها، والمنصات أصبحت تتحمل عبء الحسابات المختطفة. ثم جاءت الهيئات الرقابية: فمؤسسة NIST استبعدت SMS من معايير المصادقة في الولايات المتحدة، ويتطلب نظام PSD2 الأوروبي مصادقة قوية للعميل. وعندما أدخلَ عددٌ قليل من العمالقة المصادقةَ الثنائية إلى التيار العام، سارت خلفهم بقية الخدمات جميعًا.

ما الفرق بين TOTP وHOTP وOTP؟

OTP تعني ببساطة «كلمة مرور تُستخدم مرة واحدة». أما TOTP (OTP القائم على الوقت، RFC 6238) فيشتق الرمز من الوقت الحالي، لذا يتغير كل 30 ثانية. وHOTP (RFC 4226) قائم على عدّاد: كل رمز يُستخدم مرة واحدة ثم يتزايد العدّاد. وكل خدمات «تطبيق المصادقة» تقريبًا — Google وMicrosoft وDiscord وGitHub — تستخدم TOTP.

لماذا TOTP أفضل من SMS؟

رموز SMS تسير عبر شبكة الهاتف، حيث يستطيع هجوم انتحال شريحة SIM اعتراضها أو سرقتها — وتسليم الرسائل النصية في نهاية المطاف قد يفشل ببساطة. أما رموز TOTP فتُحسب على جهازك ولا تُبثّ أبدًا وتنتهي صلاحيتها خلال ثوانٍ. كما أن هيئات أمنية مثل NIST استبعدت SMS من المصادقة.

هل يستطيع موقع تصيّد سرقة رموز TOTP؟

نعم — إذا كتبت رمزًا مولّدًا حديثًا في صفحة مزيفة أثناء صلاحيته (30 ثانية)، فسيحصل المهاجم على تسجيل دخول فعلي. ولهذا فإن العوامل المقاومة للتصيّد (مفاتيح الأمان المادية ومفاتيح المرور passkeys، المرتبطة تشفيريًا بالنطاق الحقيقي) هي الخيار الأقوى حيثما توفر. TOTP يتفوق على SMS وعلى كلمات المرور، لكنه لا يتفوق على المفاتيح المادية.

أين ينبغي أن أحفظ مفتاح 2FA السري؟

في خزانة مدير كلمات مرور مشفّر، كنسخة رئيسية. وبذلك تستطيع إعادة توليد الرموز على أي جهاز موثوق — حتى في متصفح بأداة مثل 2facounter.com — إن لم يكن هاتفك متاحًا. واحفظ أيضًا رموز الاستدخال أو الاسترداد التي يطبعها كل خدمة عند تفعيل المصادقة الثنائية؛ فهي حصنك الحقيقي الأخير.

طبّقها عمليًا

الصق مفتاحًا سريًا في المولّد وشاهد رمز 2FA الفوري يظهر — يعمل دون اتصال، وبلا حساب، ولا يُرسل شيء أبدًا إلى أي خادم.

افتح المولّد