رموز 2FA الاحتياطية: كيف تنسخ المصادقة الثنائية احتياطيًا كي لا تقصيك (أو عائلتك) أبدًا

ما هي رموز 2FA الاحتياطية ولماذا تهم؟

توقفت كلمات المرور عن الكفاية منذ زمن طويل. فهي تتسرب في الاختراقات، ويُعاد استخدامها عبر المواقع، ويمكن تخمينها أو اصطيادها أو شراؤها. والمصادقة الثنائية هي الحل الذي ينجح فعلًا: فحتى مع كلمة مرورك في يده، لا يزال المهاجم يحتاج إلى الرمز المكون من ستة أرقام الذي يولده هاتفك كل ثلاثين ثانية، أو مفتاح مادي لا تحمله سواك. وإن كان الحساب يهمك، فينبغي أن يكون عليه ذلك القفل الثاني.

لكن القفل الثاني يركّز كل شيء في جهاز واحد. فالمفاتيح السرية وراء تلك الرموز عادةً لا توجد إلا في تطبيق المصادقة على هاتفك. أضع الهاتف، أو اكسره، أو مت وهو مقفل، فتضيع الرموز. وحتى من يحمل كل كلمات مرورك لا يستطيع تجاوزه.

وهذا ما توجد الرموز الاحتياطية من أجله. فعند تفعيل المصادقة الثنائية، تسلمك معظم الخدمات مجموعة من رموز الاستعادة ذات الاستخدام الواحد. فـ Google مثلًا تصدر عشرة رموز من ثمانية أرقام؛ يعمل كل منها مرة واحدة، وتوليد مجموعة جديدة يلغي القديمة. وتستخدم خدمات أخرى نمطًا مشابهًا تحت أسماء مثل رموز الاستعادة أو رموز الطوارئ أو الرموز الاحتياطية. وأيًا كان الاسم، فهي الطريق الوحيد للعودة الذي لا يعتمد على جهاز قد لا يكون بحوزتك.

ما الأنواع الثلاثة للمصادقة الثنائية، وكيف يُنسخ كل منها احتياطيًا؟

لا تفشل كل العوامل الثانية بالطريقة نفسها، فلا تُنسخ كلها احتياطيًا بالطريقة نفسها. ويفيد أن تعرف أي نوع يستخدمه كل حساب من حساباتك.

• رموز الرسائل النصية والبريد الإلكتروني

  يصل الرمز برسالة نصية أو بريد إلكتروني. لا يوجد ما يُنسخ احتياطيًا بالمعنى الحرفي، لكن هناك الكثير مما يمكن فقدانه: فرقم الهاتف يمكن اختطافه وأنت حي، وبعد الوفاة يُلغى العقد عادةً ويُعاد تدوير الرقم في النهاية. اعتبر الرسائل النصية الخيار الأضعف، واحتفظ برموز استعادة الحساب على أي حال، وتأكد من أن من يتولى شؤونك يعرف إلى أي رقم وعنوان بريد تصل الرموز.

• تطبيقات المصادقة (TOTP)

  تخزن تطبيقات مثل Google Authenticator وAuthy وMicrosoft Authenticator و2FAS وAegis سرًا لكل حساب وتحوله إلى رمز جديد كل ثلاثين ثانية. والسر هو ما ينبغي نسخه احتياطيًا. يستطيع Google Authenticator مزامنة الرموز مع حساب Google وتصديرها كصور QR؛ ويزامن Authy نسخًا احتياطية مشفّرة محمية بكلمة مرور احتياطية لا يستطيع استعادتها لك. ويمكن لمديري كلمات المرور مثل 1Password وBitwarden الاحتفاظ بالأسرار نفسها بجانب كلمة المرور، فتحمل خزنة مشفّرة واحدة كلا العاملين (وهذه ميزة مدفوعة في بعض الخطط). وأيًا كان التطبيق الذي تستخدمه، تظل رموز الاستعادة ذات الاستخدام الواحد من الخدمة هي ملاذك إن فشل التطبيق ومزامنته معًا.

• مفاتيح الأمان المادية ومفاتيح المرور

  يحتفظ مفتاح الأمان مثل YubiKey بسره داخل العتاد، وهذه هي الغاية: لا يمكن قراءته أو نسخه. ونصيحة Yubico نفسها هي شراء مفتاح احتياطي وتسجيله مع كل حساب في الوقت نفسه مع الأساسي، لأن المفتاح الاحتياطي غير المسجل عديم الفائدة لاحقًا. ومفاتيح المرور مشابهة في الروح لكنها تعيش في البرمجيات؛ فمزامنة Apple عبر سلسلة مفاتيح iCloud، ونظيراتها من Google ومديري كلمات المرور، تنقلها بين أجهزتك أنت. ولا يمكن تسليم مفتاح أمان ولا مفتاح مرور لأحد أفراد العائلة كملف، فلهذه الحسابات تزداد أهمية رموز الاستعادة والمفتاح الاحتياطي المسجل.

كيف أنسخ رموز المصادقة الثنائية احتياطيًا اليوم؟

خصص ساعة. المهمة مملة، لكنها لا تحتاج إلا إلى إنجازها مرة واحدة كما ينبغي ثم تحديث سريع كلما أضفت حسابًا.

• اذكر الحسابات التي عليها مصادقة ثنائية

  افتح تطبيق المصادقة ودوّن كل حساب فيه، ثم أضف الحسابات التي تستخدم الرسائل النصية أو مفتاح أمان. البريد الإلكتروني، والبنك، وشركة الاتصالات، ومدير كلمات المرور، والتخزين السحابي أولًا؛ فهي الحسابات التي تعتمد عليها عمليات الاستعادة الأخرى.

• نزّل رموز الاستعادة لكل حساب

  في إعدادات الأمان لكل حساب، ابحث عن الرموز الاحتياطية أو رموز الاستعادة واحفظ المجموعة. وإن كنت قد استخدمت بعضها يومًا، فولّد مجموعة جديدة لتكون نسختك كاملة. ودوّن التاريخ بجانب كل مجموعة.

• صدّر أسرار تطبيق المصادقة

  تستطيع معظم التطبيقات تصدير حساباتها كصورة QR أو أكثر، أو مزامنتها مع حساب أو خزنة. وإن كان تطبيقك يوفر التصدير، فالتقط لقطة شاشة لكل صورة QR يعرضها، على الهاتف نفسه. وهي معًا نسخة كاملة قابلة للاستعادة من عاملك الثاني: تثبيت أي تطبيق مصادقة ومسحها يعيد كل رمز. وإن كان تطبيقك لا يوفر تصديرًا (Authy مثلًا)، فمزامنته المشفّرة هي أقرب بديل، فسجّل كلمة المرور الاحتياطية بجانب رموز الاستعادة الأخرى.

• عامل النسخة كمفاتيح حية

  صدّر فقط على عتاد تتحكم فيه. انقل لقطات الشاشة من ألبوم الكاميرا فورًا، واحذفها من المحذوفة مؤخرًا، وتأكد من أن مزامنة الصور السحابية لم تلتقطها بالفعل. فأي شخص يحمل تلك الصور يستطيع توليد رموزك.

أين أخزن رموز 2FA الاحتياطية بأمان؟

الأماكن المعتادة هي التي تفشل. لقطات شاشة في مجلد التنزيلات، ورموز مرسلة بالبريد إلى نفسك، وملف نصي على سطح المكتب: غير مشفّرة، ومتناثرة، ويستحيل على أي شخص آخر العثور عليها بعد سنوات. ينبغي أن تعيش الرموز الاحتياطية في مكان واحد مشفّر، تظل تملكه بعد ضياع هاتف، ويستطيع شخص تثق به الوصول إليه يومًا ما.

• خزنة مدير كلمات المرور

  الموطن الأكثر عملية لمعظم الناس. ضع رموز استعادة كل حساب في ملاحظات تسجيل الدخول المقابل، وخزّن سر TOTP هناك أيضًا إن كان مديرك يدعمه. خزنة واحدة، وكلمة مرور رئيسية واحدة، وكل شيء مقترن. ونقطة الضعف هي استعادة الخزنة نفسها: فملف PDF لطقم الطوارئ في 1Password (بمفتاحه السري) ورموز 2FA لمديرك نفسه تحتاج إلى موطن خارج الخزنة.

• ورقة في مكان آمن

  الرموز المطبوعة في ظرف مختوم، في خزنة منزلية أو صندوق أمانات، تنجو من كل أنواع أعطال الأجهزة. والثمن أن الورق يتقادم: فكل حساب جديد أو مجموعة مُعاد توليدها تعني إعادة الطباعة.

• ليس في الحساب الذي تحميه

  لا ينبغي أبدًا أن توجد رموز استعادة بريدك الإلكتروني في ذلك البريد وحده. ولا رموز مدير كلمات مرورك في تلك الخزنة وحدها. فكل مجموعة يجب أن تكون في المتناول دون الشيء الذي تفتحه.

ماذا يحدث لمصادقتي الثنائية عند وفاتي؟

لا شيء، وتلك هي المشكلة. يواصل تطبيق المصادقة توليد الرموز على هاتف لا يستطيع أحد فتحه. ويقبع مفتاح الأمان في درج، مسجلًا لحسابات لا يستطيع أحد تسميتها. وتذهب الرسائل النصية إلى رقم تغلقه شركة الاتصالات بعد بضعة أشهر. ويبقى كل حساب حميته بعناية محميًا، لكن الآن ضد الأشخاص الذين كنت تريدهم بداخله.

وقائمة كلمات المرور وحدها لا تحل هذا. فقد يعرف شريك حياتك كلمة مرور البريد تمامًا ويُوقف مع ذلك عند الخطوة الثانية؛ وينطبق الأمر نفسه على البنك وصور السحابة وتجديد النطاق. وتوجد إجراءات استعادة في المنصات لأقرب الأقارب، لكنها بطيئة، وتختلف باختلاف الشركة والبلد، وعادةً تمنح وصولًا محدودًا أو لا تمنحه. والطريق العملي هو نفسه الذي ستستخدمه بنفسك بعد ضياع هاتف: رموز الاستعادة والأسرار المصدّرة، في يد شخص يعرف بوجودها. ويغطي دليلنا عن كلمات المرور بعد الوفاة جانب كلمات المرور من السؤال نفسه.

كيف أمرر الوصول إلى المصادقة الثنائية للعائلة؟

أيًا كانت الطريقة التي تختارها، عليها أن تجتاز ثلاثة اختبارات: تبقى الرموز غير مقروءة للجميع اليوم، وتصل إلى الشخص المناسب لاحقًا، ويعرف ذلك الشخص كيف يستخدمها. والظرف المختوم يجتاز الأول ويفشل في الثالث ما لم تضف تعليمات. وأيًا كان ما تختاره، أضف فقرة لكل حساب: ما هو، وأي عامل ثانٍ يستخدم، وأين الرموز، وما الذي يُفعل أولًا.

• الوصول الطارئ في مدير كلمات المرور

  يتيح لك عدد من المديرين تسمية جهة اتصال موثوقة يمكنها طلب الوصول إلى خزنتك؛ ويمنحه الوصول الطارئ في Bitwarden بعد فترة انتظار تحددها أنت ما لم ترفض، وهو ميزة في خططه المدفوعة. وإن كانت رموز استعادتك وأسرار TOTP في الخزنة، فهذا يسلّم كلا العاملين في خطوة واحدة. ويعتمد على إبقاء ذلك الشخص حسابه نشطًا وعلى استمرار وجود المدير، فاجمعه مع نسخة ورقية من تفاصيل استعادة الخزنة نفسها.

• ملاحظة مختومة لدى شخص موثوق أو محامٍ

  رموز الاستعادة المطبوعة، وصور تصدير تطبيق المصادقة، وشرح قصير، مختومة ومتروكة لدى محامٍ أو منفذ وصية. موثوقة وبسيطة تقنيًا، لكنها تتقادم بسرعة، وعليك أن تثق بأن الظرف لن يُفتح مبكرًا أبدًا.

• مفتاح الرجل الميت

  خدمة تحتفظ برموزك مشفّرة ولا تُفرج عنها لأشخاص مختارين إلا إذا توقفت عن تسجيل الحضور. وهي تضيف الشيء الوحيد الذي يفتقر إليه الظرف المختوم: التسليم التلقائي عندما لا تكون موجودًا لتسلمه بنفسك. راجع كيف يقارن مفتاح الرجل الميت بمدير كلمات المرور لمعرفة المقايضات.

كيف يتعامل PostMortem مع رموز 2FA الاحتياطية؟

PostMortem تطبيق مجاني لنظامي iOS وAndroid مبني كـمفتاح رجل ميت. تنشئ صندوق رسائل، وتضيف الأشخاص الذين ينبغي أن يتلقوه، وتختار فترة تسجيل حضور من كل ساعة إلى اثني عشر شهرًا. تسجّل حضورك بنقرة واحدة في التطبيق؛ وتصلك التذكيرات بالبريد الإلكتروني والإشعارات مع انقضاء الفترة. وإن توقفت عن تسجيل الحضور وانقضت الفترة، يُفرج عن الصندوق لمستلميك.

وللنسخ الاحتياطية للمصادقة الثنائية، يمكن للصندوق أن يحمل بيانات تسجيل دخولك مع رموز الاستعادة مكتوبة بجانب كل كلمة مرور، ورسالة نصية تشرح أي حساب يستخدم أي عامل ثانٍ، وما يصل إلى خمسة مرفقات بحجم 20 ميغابايت لكل منها، وهو ما يكفي لصور QR المصدّرة من تطبيق المصادقة. وتُشفَّر الرسائل وكلمات المرور وأسماء الملفات ومحتوياتها على هاتفك بتشفير AES-256 قبل الرفع ويُفكّ تشفيرها في متصفح المستلم؛ ولا ترى خوادم PostMortem المحتويات الصريحة أبدًا. ويبقى اسم الصندوق وعناوين المستلمين وجدول تسجيل الحضور مقروءة ليعمل التذكير والتسليم.

ويحتاج فك التشفير إلى بطاقة مفتاح الوصول، وهي صورة على نمط رمز QR تشاركها مع كل مستلم وأنت حي. تلك البطاقة هي ما يحوّل الصندوق المُفرج عنه إلى رموز مقروءة، فينبغي تخزينها بالعناية نفسها التي تخزن بها الرموز. ولأن الصندوق صندوقك، فالنسخة نفسها موجودة لك في اليوم الذي تجهز فيه هاتفًا بديلًا. والمزيد عن النموذج في كيف يعمل وصفحة الأمان.

الأسئلة الشائعة

• ما هو رمز 2FA الاحتياطي؟

  رمز ذو استخدام واحد تعطيك إياه الخدمة عند تفعيل المصادقة الثنائية. يحل محل الرمز المعتاد من هاتفك أو مفتاحك إن ضاع ذلك الجهاز. يعمل كل منها مرة واحدة؛ وتتيح لك معظم الخدمات توليد مجموعة جديدة في أي وقت، مما يلغي المجموعة القديمة.

• فقدت هاتفي ومعه تطبيق المصادقة. كيف أعود إلى حساباتي؟

  استخدم رموز الاستعادة التي حفظتها عند إعداد المصادقة الثنائية، أو استعد التطبيق من مزامنته السحابية أو من تصدير على هاتف جديد. وإن لم يكن لديك أي منها، فلكل خدمة إجراء استعادة حساب خاص بها، قد يستغرق أيامًا وقد يتطلب إثبات هوية.

• ماذا يحدث للمصادقة الثنائية عند وفاة شخص؟

  يواصل العامل الثاني العمل ضد الجميع، بما في ذلك العائلة التي تحمل كلمات المرور. وما لم تكن رموز الاستعادة أو تصدير تطبيق المصادقة قد حُفظت ومُررت، فالطريق الوحيد هو إجراء أقرب الأقارب في كل منصة، وهو يختلف باختلاف الشركة والبلد وغالبًا بطيء أو محدود. هذه معلومات عامة لا مشورة قانونية.

• هل من الآمن تخزين رموز المصادقة الثنائية في مدير كلمات المرور؟

  لمعظم الناس، نعم: الخزنة المشفّرة أكثر أمانًا من لقطات الشاشة وتبقي الرموز بجانب كلمات المرور المقترنة بها. والقاعدة الوحيدة أن تفاصيل استعادة الخزنة نفسها ورموز 2FA الخاصة بها يجب أن توجد خارج الخزنة.

• كيف أمنح عائلتي الوصول إلى مصادقتي الثنائية دون مشاركتها الآن؟

  استخدم شيئًا يبقى مختومًا حتى تدعو الحاجة إليه: الوصول الطارئ في مدير كلمات المرور بفترة انتظار، أو ملاحظة مختومة لدى محامٍ، أو مفتاح رجل ميت لا يُفرج عن الرموز المشفّرة إلا إذا توقفت عن تسجيل الحضور. وأضف تعليمات مكتوبة في كل الحالات.

• كم مرة ينبغي أن أحدّث نسخ المصادقة الثنائية الاحتياطية؟

  كلما أضفت حسابًا إلى تطبيق المصادقة، أو استخدمت رمز استعادة، أو أعدت توليد مجموعة. والفحص السنوي حد أدنى معقول؛ وقائمة التحقق للإرث الرقمي وقت مناسب لفعل ذلك.