كلمة مرور لمرة واحدة

عادةً ما يرتبط نظام كلمة المرور لمرة واحدة المتزامن مع الوقت بجهاز يُسمى رمز الأمان (على سبيل المثال، يُمنح كل مستخدم رمزًا شخصيًا يُولّد كلمة مرور لمرة واحدة). قد يبدو هذا الرمز كآلة حاسبة صغيرة أو ميدالية مفاتيح، مزودًا بشاشة LCD تعرض رقمًا يتغير من حين لآخر. يحتوي الرمز على ساعة دقيقة مُزامنة مع ساعة خادم المصادقة . في أنظمة كلمة المرور لمرة واحدة هذه، يُعد الوقت عنصرًا أساسيًا في خوارزمية كلمة المرور، حيث يعتمد توليد كلمات المرور الجديدة على الوقت الحالي، إما بدلًا من كلمة المرور السابقة أو مفتاح سري ، أو بالإضافة إليهما . قد يكون هذا الرمز جهازًا خاصًا ، أو هاتفًا محمولًا أو جهازًا محمولًا مشابهًا يعمل ببرمجيات خاصة أو مجانية أو مفتوحة المصدر . من أمثلة معايير كلمة المرور لمرة واحدة المتزامنة مع الوقت ، كلمة المرور لمرة واحدة المستندة إلى الوقت (TOTP). يمكن استخدام بعض التطبيقات للحفاظ على تزامن كلمة المرور لمرة واحدة مع الوقت، مثل تطبيق Google Authenticator أو مدير كلمات المرور .

يمكن إنشاء كل رمز OTP جديد من رموز OTP السابقة المستخدمة. مثال على هذا النوع من الخوارزميات، والذي يُنسب إلى ليزلي لامبورت ، يستخدم دالة أحادية الاتجاه (لنسميها${\displaystyle f}$يعمل نظام كلمة المرور لمرة واحدة هذا على النحو التالي:

1. بذرة (قيمة ابتدائية )${\displaystyle s}$يتم اختياره.
2. دالة التجزئة${\displaystyle f(s)}$يتم تطبيقها بشكل متكرر (على سبيل المثال، 1000 مرة) على البذرة، مما يعطي قيمة:${\displaystyle f(f(f(\ldots f(s)\ldots )))}$هذه القيمة، التي سنسميها${\displaystyle f^{1000}(s)}$يتم تخزينها على النظام المستهدف.
3. يستخدم تسجيل دخول المستخدم الأول كلمة مرور${\displaystyle p}$مشتق من تطبيق${\displaystyle f}$999 مرة للبذرة، أي${\displaystyle f^{999}(s)}$يمكن للنظام المستهدف التحقق من صحة كلمة المرور هذه، لأن${\displaystyle f(p)}$يكون${\displaystyle f^{1000}(s)}$وهي القيمة المخزنة. ثم يتم استبدال القيمة المخزنة بـ${\displaystyle p}$ويُسمح للمستخدم بتسجيل الدخول.
4. يجب أن يكون تسجيل الدخول التالي مصحوبًا بـ${\displaystyle f^{998}(s)}$مرة أخرى، يمكن التحقق من ذلك لأن عملية التجزئة تعطي${\displaystyle f^{999}(s)}$وهو${\displaystyle p}$القيمة المخزنة بعد تسجيل الدخول السابق. مرة أخرى، تحل القيمة الجديدة محلها.${\displaystyle p}$ويتم التحقق من هوية المستخدم.
5. يمكن تكرار ذلك 997 مرة أخرى، وفي كل مرة ستكون كلمة المرور${\displaystyle f}$يتم تطبيقها مرة واحدة أقل، ويتم التحقق من صحتها بالتأكد من أنها عند تجزئتها تعطي القيمة المخزنة أثناء تسجيل الدخول السابق. صُممت دوال التجزئة بحيث يصعب للغاية عكسها، لذلك سيحتاج المهاجم إلى معرفة البذرة الأولية.${\displaystyle s}$لحساب كلمات المرور المحتملة، يمكن لنظام الكمبيوتر التأكد من صحة كلمة المرور في أي وقت عن طريق التحقق من أنها، عند تشفيرها، تعطي القيمة المستخدمة سابقًا لتسجيل الدخول. إذا رغبنا في سلسلة غير محددة من كلمات المرور، فيمكن اختيار قيمة أولية جديدة بعد تعيينها لـ${\displaystyle s}$منهك.
6. على الرغم من أن قيمة عداد الخادم لا تُزاد إلا بعد مصادقة ناجحة برمز OTP، فإن عداد الرمز المميز يُزاد في كل مرة يطلب فيها المستخدم كلمة مرور جديدة. ولهذا السبب، قد لا تتزامن قيم العداد على الخادم والرمز المميز. لذا يُنصح بتعيين مُعامل التوقع المسبق.${\displaystyle x}$على الخادم، الذي يحدد حجم نافذة التوقع. في حالة قيام المستخدم بإنشاء كلمة مرور عن طريق الخطأ، سيظل الخادم يتحقق من هوية العميل، لأنه يستطيع إعادة حساب التالي${\displaystyle x}$^{[ 3 ]} قيم خادم OTP، ومقارنتها بكلمة المرور المستلمة من العميل.

للحصول على كلمة المرور التالية في السلسلة من كلمات المرور السابقة، يجب إيجاد طريقة لحساب الدالة العكسية.${\displaystyle f^{-1}}$. منذ${\displaystyle f}$إذا تم اختيار أن يكون الطريق باتجاه واحد، فسيكون ذلك صعباً للغاية.${\displaystyle f}$هي دالة تجزئة تشفيرية ، وهو ما يُفترض عمومًا أنه مهمة حسابية معقدة . قد يتمكن المتسلل الذي يرى كلمة مرور لمرة واحدة من الوصول لفترة زمنية محددة أو تسجيل دخول واحد، لكنها تصبح عديمة الفائدة بمجرد انتهاء تلك الفترة. يعتمد نظام كلمة المرور لمرة واحدة S/KEY ونظام OTP المشتق منه على مخطط لامبورت.

يتطلب استخدام كلمات المرور لمرة واحدة القائمة على التحدي والاستجابة من المستخدم تقديم استجابة للتحدي. على سبيل المثال، يمكن القيام بذلك عن طريق إدخال القيمة التي أنشأها الرمز المميز في الرمز المميز نفسه. لتجنب التكرار، يُستخدم عادةً عداد إضافي، لذا إذا صادف أن تلقى المستخدم نفس التحدي مرتين، فسيظل ذلك يؤدي إلى كلمات مرور مختلفة لمرة واحدة. ومع ذلك، لا تتضمن العملية الحسابية عادةً كلمة المرور السابقة لمرة واحدة؛ أي أنه عادةً ما يتم استخدام هذه الخوارزمية أو خوارزمية أخرى، بدلاً من استخدام كلتا الخوارزميتين.

تُعدّ الرسائل النصية تقنية شائعة الاستخدام لإرسال كلمات المرور لمرة واحدة (OTP) . ونظرًا لانتشارها الواسع، إذ تتوفر الرسائل النصية مباشرةً في جميع الهواتف المحمولة تقريبًا، ويمكن إرسالها عبر تحويل النص إلى كلام إلى أي هاتف محمول أو أرضي، فإنّها تتمتع بإمكانية كبيرة للوصول إلى جميع المستهلكين بتكلفة إجمالية منخفضة. ويمكن تشفير كلمات المرور لمرة واحدة عبر الرسائل النصية باستخدام معيار A5/x ، والذي أفادت العديد من مجموعات القرصنة بإمكانية فك تشفيره بنجاح في غضون دقائق أو ثوانٍ. ^{[ 4 ] [ 5 ] [ 6 ] [ 7 ]} إضافةً إلى ذلك، يمكن استغلال الثغرات الأمنية في بروتوكول توجيه SS7، وقد استُغلت بالفعل، لإعادة توجيه الرسائل النصية المرتبطة بها إلى المهاجمين؛ ففي عام 2017، تم اختراق حسابات العديد من عملاء شركة O2 في ألمانيا بهذه الطريقة للوصول إلى حساباتهم المصرفية عبر الهاتف المحمول . في يوليو 2016، أصدر المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST) مسودة منشور خاص يتضمن إرشادات حول ممارسات المصادقة، ويحذر من استخدام الرسائل النصية القصيرة (SMS) كوسيلة لتطبيق المصادقة الثنائية خارج النطاق، نظرًا لإمكانية اعتراض الرسائل النصية القصيرة على نطاق واسع. ^{[ 8 ] [ 9 ] [ 10 ]} كما أن الرسائل النصية عرضة لعمليات الاحتيال عبر تبديل شريحة SIM ، حيث يقوم المهاجم بنقل رقم هاتف الضحية بشكل احتيالي إلى شريحة SIM الخاصة به ، والتي يمكن استخدامها بعد ذلك للوصول إلى الرسائل المرسلة إليها. ^{[ 11 ] [ 12 ]}

يُعدّ SecurID من RSA Security مثالًا على نوع من الرموز المميزة التي تعتمد على مزامنة الوقت، إلى جانب حلول HID Global . وكما هو الحال مع جميع الرموز المميزة، قد تُفقد هذه الرموز أو تتلف أو تُسرق؛ إضافةً إلى ذلك، يُشكّل نفاد البطاريات مشكلةً، لا سيما بالنسبة للرموز التي لا تحتوي على منفذ لإعادة الشحن أو التي لا يُمكن استبدال بطاريتها. وقد اقترحت RSA في عام 2006 نسخةً مُعدّلة من الرمز المميز الخاص بها، ووصفته بأنه "مصادقة شاملة"، حيث ستتعاون RSA مع الشركات المصنّعة لإضافة رقائق SecurID مادية إلى أجهزة مثل الهواتف المحمولة.

أصبح من الممكن مؤخرًا دمج المكونات الإلكترونية المرتبطة برموز OTP التقليدية في بطاقات الائتمان. إلا أن رقة هذه البطاقات، التي تتراوح سماكتها بين 0.79 و0.84 ملم، تحول دون استخدام المكونات أو البطاريات القياسية. لذا، يجب استخدام بطاريات خاصة مصنوعة من البوليمر، والتي تتميز بعمر افتراضي أقصر بكثير من بطاريات الأزرار . كما يجب أن تكون مكونات أشباه الموصلات رقيقة جدًا، وأن تستهلك أقل قدر ممكن من الطاقة في وضع الاستعداد وأثناء التشغيل.

تقدم شركة Yubico جهازًا صغيرًا يعمل بمنفذ USB مزودًا بشريحة مدمجة تُنشئ رمز OTP عند الضغط على مفتاح، وتحاكي لوحة المفاتيح لتسهيل إدخال كلمات المرور الطويلة. ^{[ 13 ]} وبما أنه جهاز USB، فإنه يغني عن عناء استبدال البطارية.

تم تطوير نسخة جديدة من هذه التقنية، حيث تم دمج لوحة مفاتيح في بطاقة دفع ذات حجم وسماكة قياسيين. تحتوي البطاقة على لوحة مفاتيح وشاشة عرض ومعالج دقيق وشريحة تقارب مدمجة.

في الهواتف الذكية، يمكن أيضًا إرسال كلمات المرور لمرة واحدة مباشرةً عبر تطبيقات الهاتف ، بما في ذلك تطبيقات المصادقة المخصصة مثل Authy و Google Authenticator ، أو ضمن تطبيق الخدمة نفسه، كما هو الحال في Steam . لا تعاني هذه الأنظمة من نفس الثغرات الأمنية التي تعاني منها الرسائل النصية القصيرة، ولا تتطلب بالضرورة اتصالاً بشبكة الهاتف المحمول لاستخدامها. ^{[ 14 ] [ 10 ] [ 15 ]}

في بعض الدول، تُرسل البنوك للمستخدمين قائمة مرقمة من رموز التحقق لمرة واحدة (OTP) مطبوعة على ورق. بينما تُرسل بنوك أخرى بطاقات بلاستيكية تحتوي على رموز التحقق الفعلية مُغطاة بطبقة يجب على المستخدم كشطها للكشف عن رمز التحقق المرقم. في كل معاملة إلكترونية، يُطلب من المستخدم إدخال رمز تحقق محدد من تلك القائمة. بعض الأنظمة تطلب إدخال رموز التحقق بالتسلسل، بينما تختار أنظمة أخرى رمز تحقق عشوائيًا.

يمكن أن يكون الهاتف المحمول نفسه بمثابة رمز مصادقة محمول باليد . ^{[ 18 ]} تُعدّ الرسائل النصية عبر الهاتف المحمول إحدى طرق استقبال رمز مصادقة المستخدم (OTAC) من خلال الهاتف. بهذه الطريقة، يرسل مزود الخدمة رسالة نصية تتضمن رمز مصادقة المستخدم (OTAC) مشفرًا بشهادة رقمية إلى المستخدم للمصادقة. ووفقًا لتقرير، توفر الرسائل النصية عبر الهاتف المحمول مستوى عالٍ من الأمان عند استخدامها للبنية التحتية للمفتاح العام (PKI) لتوفير مصادقة ثنائية الاتجاه وعدم إنكار، وذلك وفقًا للتحليل النظري. ^{[ 19 ]}

تُستخدم الرسائل النصية القصيرة كوسيلة لاستلام رموز التحقق عبر الإنترنت (OTACs) على نطاق واسع في حياتنا اليومية لأغراض مثل الخدمات المصرفية وبطاقات الائتمان/الخصم والأمن. ^{[ 20 ] [ 21 ] [ 22 ]}

هناك طريقتان لاستخدام الهاتف للتحقق من هوية المستخدم.

في الطريقة الأولى، يعرض مزود الخدمة رمز OTAC على شاشة الكمبيوتر أو الهاتف الذكي، ثم يجري مكالمة هاتفية تلقائية إلى رقم تم التحقق منه مسبقًا. بعد ذلك، يُدخل المستخدم رمز OTAC الذي يظهر على شاشته في لوحة مفاتيح الهاتف. ^{[ 23 ]}

أما الطريقة الثانية، المستخدمة للتحقق من هوية المستخدم وتفعيل نظام التشغيل مايكروسوفت ويندوز ، فتتمثل في اتصال المستخدم برقم يوفره مزود الخدمة وإدخال رمز OTAC الذي يمنحه له نظام الهاتف. ^{[ 24 ]}

في مجال تكنولوجيا الحاسوب ، من المعروف أن استخدام رمز التفويض لمرة واحدة (OTAC) عبر البريد الإلكتروني ، بمعنى واسع، واستخدام رمز التفويض لمرة واحدة (OTAC) عبر تطبيق الويب ، بمعنى احترافي.

• يُعد البريد الإلكتروني أحد الطرق الشائعة لاستخدام رموز التحقق لمرة واحدة (OTACs). تُستخدم طريقتان رئيسيتان: في الطريقة الأولى، يُرسل مُزوّد ​​الخدمة رابطًا مخصصًا لمرة واحدة إلى عنوان بريد إلكتروني مُوثّق، مثل @ucl.ac.uk؛ وعندما ينقر المستخدم على الرابط، يتحقق الخادم من هويته. ^{[ 25 ]} أما في الطريقة الثانية، فيُرسل مُزوّد ​​الخدمة رمز OTAC مخصصًا (مثل رمز مُشفّر) إلى عنوان بريد إلكتروني مُوثّق؛ وعندما يُدخل المستخدم رمز OTAC في الموقع الإلكتروني، يتحقق الخادم من هويته.
• يمكن لتطبيق الويب إنشاء رقم تعريف شخصي فريد (PIN) يُدخله المستخدم في برنامج سطح المكتب، والذي بدوره يستخدم هذا الرقم للتحقق من هويته لدى تطبيق الويب . يُعد هذا النوع من التحقق مفيدًا بشكل خاص في تطبيقات الويب التي لا تحتوي على مخزن داخلي لاسم المستخدم/كلمة المرور، بل تستخدم بروتوكول SAML للتحقق. ولأن SAML يعمل فقط داخل المتصفح، لا يمكن لبرنامج سطح المكتب التحقق من هويته بنجاح باستخدام SAML . بدلاً من ذلك، يمكن لتطبيق العميل استخدام رمز التفويض لمرة واحدة (OTAC) للتحقق من هويته لدى تطبيق الويب . إضافةً إلى ذلك، من الممكن استخدام إطار عمل OAuth للتفويض عندما يحتاج تطبيق تابع لجهة خارجية إلى الحصول على وصول محدود إلى خدمة HTTP. ^{[ 26 ]}

يمكن إرسال رموز التحقق عبر الإنترنت (OTACs) إلى المستخدم عبر البريد العادي أو المسجل . عندما يطلب المستخدم رمز التحقق، يرسله مزود الخدمة عبر البريد العادي أو المسجل، ثم يمكن للمستخدم استخدامه للتحقق من هويته. على سبيل المثال، في المملكة المتحدة، ترسل بعض البنوك رموز التحقق الخاصة بها لتفويض الخدمات المصرفية عبر الإنترنت عبر البريد العادي أو المسجل . ^{[ 27 ]}