مصادقة متعددة العوامل

يستند استخدام عوامل الاستيثاق المتعددة لإثبات هوية الشخص إلى افتراض أنه من غير المحتمل أن تكون الجهة الفاعلة غير المصرَّح لها قادرة على توفير العوامل المطلوبة للوصول. في حال عدم وجود أحد المكونات على الأقل أو توفيرها بشكل غير صحيح في محاولة الاستيثاق، لا تُثبت هوية المستخدم بقدر كافٍ من اليقين، ويبقى الولوج إلى الأصول (على سبيل المثال، مبنى أو بيانات) المحمي بالاستيثاق بعوامل عدة محظورًا بعد ذلك. قد تتضمن عوامل الاستيثاق لنظام الاستيثاق بعوامل عدة ما يلي:

• شيء ما تمتلكه: بعض الأشياء المادية التي يمتلكها المستخدم، مثل وحدة ذاكرة فلاشية ذات رمز سري أو بطاقة مصرفية أو مفتاح، إلخ.
• شيء ما تعرفه: بعض المعرفة التي لا يعلمها سوى المستخدم فقط، مثل كلمة المرور ورقم التعريف الشخصي وأرقام توثيق المعاملات، إلخ.
• شيء ما أنت عليه: بعض الخصائص الجسدية للمستخدم (المقاييس الحيوية)، مثل بصمة الإصبع، وبصمة العين، والصوت، وسرعة الكتابة، ونمط فترات ضغط المفاتيح، إلخ.
• مكان ما أنت فيه: بعض الاتصالات بشبكة كمبيوتر معينة أو توظيف إشارة نظام التموضع العالمي لتحديد الموقع.[3]

توفر العديد من الجهات البائعة للاستيثاق بعوامل عدة وسائل استيثاق قائمة على الهاتف المحمول. تتضمن بعض الأساليب الاستيثاق القائم على الإخطار بالأحداث الجديدة، والاستيثاق القائم على رمز الاستجابة السريعة، واستيثاق كلمة المرور لمرة واحدة (القائمة على الأحداث والوقت) والتحقق القائم على الرسائل القصيرة. يشكو التحقق عبر الرسائل القصيرة من بعض المخاوف الأمنية. يمكن استنساخ الهواتف، ويمكن تشغيل التطبيقات على العديد من الهواتف ويمكن لموظفي صيانة الهاتف النقال قراءة الرسائل النصية القصيرة. لا سيما أنه يمكن اختراق الهواتف النقالة عمومًا، ما يعني أن الهاتف لم يعد شيئًا يمتلكه المستخدم فقط.

يتمثل الخلل الرئيس في عملية الاستيثاق بما في ذلك ما يملكه المستخدم هو أنه يجب على المستخدم أن يحمل الرمز المادي معه (وحدة الذاكرة الفلاشية أو بطاقة البنك أو المفتاح أو ما شابه ذلك)، فعليًا في جميع الأوقات. يُعد الفقدان والسرقة من مخاطر هذه العملية. تمنع العديد من المؤسسات حمل أجهزة وحدة الذاكرة الفلاشية والأجهزة الإلكترونية إلى أماكن العمل أو خارجها بسبب مخاطر البرمجيات الخبيثة وسرقة البيانات، ولا تحتوي أهم الأجهزة منافذ لوحدة الذاكرة الفلاشية لنفس السبب. لا ترتقي الرموز المادية، ما يتطلب عادة رمزًا جديدًا لكل حساب ونظام جديدين. ينطوي شراء رموز من هذا النوع أو استبدالها على تكاليف. بالإضافة إلى ذلك، هناك صراعات متأصلة ومقايضات لا يمكن تجنبها بين قابلية الاستخدام والأمان.

يوفر الاستيثاق بعاملين والذي يتضمن الهواتف النقالة والهواتف الذكية بديلًا للأجهزة المادية المخصصة. بالنسبة لعملية الاستيثاق، يمكن للأشخاص استخدام رموز الوصول الشخصية الخاصة بهم إلى الجهاز (ما يعرفه المستخدم الفردي فقط) بالإضافة إلى رمز مرور دينامي صالح لمرة واحدة، وعادة ما يتكون من 4 إلى 6 أرقام. يمكن إرسال رمز المرور إلى أجهزتهم النقالة عبر خدمة الرسائل القصيرة أو يمكن إنشاؤه بواسطة تطبيق مولد لرمز المرور لمرة واحدة. في الحالتين، تتمثل ميزة استخدام الهاتف النقال في عدم الحاجة إلى رمز مخصص إضافي، إذ يتجه المستخدمون إلى حمل أجهزتهم النقالة في كل الأوقات.

ابتداءً من عام 2018، اعتُبرت خدمة الرسائل القصيرة أسلوب الاستيثاق بعدة عوامل أكثر اعتمادًا على نطاق واسع لحسابات العملاء. بصرف النظر عن شيوع التحقق بالرسائل القصيرة، انتقد المدافعون عن الأمن هذه الطريقة، وفي يوليو 2016، اقترح مشروع المبدأ التوجيهي للمعهد الوطني للمعايير والتقنية في الولايات المتحدة إلغاء اعتبارها وسيلة من وسائل الاستيثاق. بعد مرور عام، أعاد المعهد الوطني للمعايير والتقنية التحقق من الرسائل القصيرة بصفتها وسيلة استيثاق صالحة في التوجيهات النهائية.

في عامي 2016 و2017 على التوالي، بدأت شركتا غوغل وأبّل بتوفير عملية الاستيثاق بخطوتين لمستخدميها مع الإخطار بالأحداث الجديدة بصفتها وسيلة بديلة.

يعتمد أمن الرموز الأمنية التي يجري إيصالها عبر الهاتف النقال تمامًا على الأمن التشغيلي لنظام تشغيل الهاتف ويمكن اختراقه بسهولة عبر تجسس وكالات الأمن القومية على المكالمات الهاتفية أو استنساخ شريحة الهاتف.

• المعامل الثاني الشامل

• بوابة أمن المعلومات