SQRL

SQRL (تُنطق "سكويرل") ^{[ 2 ]} أو تسجيل الدخول الآمن والسريع والموثوق (المعروف سابقًا باسم تسجيل الدخول الآمن عبر رمز الاستجابة السريعة ) هو معيار مفتوح مسودة لتسجيل الدخول الآمن إلى مواقع الويب والتحقق من الهوية . يستخدم البرنامج عادةً رابطًا من هذا النظام.جذرأو اختيارياً، رمز الاستجابة السريعة (QR code )، حيث يُعرّف المستخدم نفسه عبر إثبات معرفة صفرية مُستعار بدلاً من تقديم اسم المستخدم وكلمة المرور . يُعتقد أن هذه الطريقة محصنة ضد هجمات التخمين العشوائي لكلمات المرور أو اختراق البيانات . فهي تُحوّل عبء الأمان من الجهة الطالبة للمصادقة إلى نظام التشغيل الذي يُنفّذ ما هو مُتاح على الجهاز ، بالإضافة إلى المستخدم نفسه. اقترح ستيف جيبسون من شركة جيبسون للأبحاث بروتوكول SQRL في أكتوبر 2013 كوسيلة لتبسيط عملية المصادقة دون خطر كشف معلومات المعاملة لطرف ثالث .

ابتكر ستيف جيبسون اختصار SQRL، وقام هو ومجموعة من المتحمسين لأمن الإنترنت بصياغة البروتوكول ومناقشته وتحليله بشكل معمق .news.grc.comفي مجموعات الأخبار وخلال برنامجه الصوتي الأسبوعي ، "الأمن الآن!" ، في 2 أكتوبر 2013. وفي غضون يومين من بث هذا البرنامج الصوتي، أعرب اتحاد شبكة الويب العالمية (W3C) عن اهتمامه بالعمل على المعيار. ^{[ 3 ]}

أشار مطورو منصة جوجل السحابية، إيان مادوكس وكايل موسكيتو، إلى لغة SQRL في وثيقتهم بعنوان "أمان كلمات المرور الحديث لمصممي الأنظمة". ^{[ 4 ]}

حللت أطروحة حول SQRL وخلصت إلى أنها "تبدو نهجًا مثيرًا للاهتمام، سواء من حيث تجربة المستخدم المتوقعة أو التشفير الأساسي. تجمع SQRL في الغالب بين التشفير الراسخ بطريقة مبتكرة." ^{[ 5 ]}

يُعد هذا البروتوكول حلاً لمشكلة تشتت الهوية . وهو يتفوق على بروتوكولات مثل OAuth و OpenID من خلال عدم اشتراط وجود طرف ثالث للتوسط في المعاملة، وعدم إعطاء الخادم أي أسرار لحمايتها، مثل اسم المستخدم وكلمة المرور.

بالإضافة إلى ذلك، يوفر هذا المعيار إمكانية استخدامه بحرية لتبسيط عمليات تسجيل الدخول المتاحة لتطبيقات إدارة كلمات المرور . والأهم من ذلك، أن المعيار مفتوح المصدر، فلا يمكن لأي شركة الاستفادة من احتكار هذه التقنية. ووفقًا لموقع جيبسون الإلكتروني ^{[ 2 ]} ، ينبغي أن تكون هذه التقنية المتينة متاحة للجميع لضمان إمكانية التحقق من أمانها وتشفيرها، وعدم تقييدها عمدًا لأسباب تجارية أو غيرها.

لكي يُستخدم البروتوكول على موقع ويب، يلزم وجود مكونين: تطبيق ، وهو جزء من خدمة الويب التي يُصادق عليها التطبيق، ويعرض رمز الاستجابة السريعة أو عنوان URL مُصمم خصيصًا وفقًا لمواصفات البروتوكول، ومكون إضافي للمتصفح أو تطبيق جوال ، يمكنه قراءة هذا الرمز لتوفير مصادقة آمنة. ^{[ 8 ]}

يستخدم عميل SQRL وظائف أحادية الاتجاه وكلمة مرور المستخدم الرئيسية لفك تشفير مفتاح رئيسي سري، والذي يقوم من خلاله بإنشاء - بالاشتراك مع اسم نطاق الموقع ومعرف موقع فرعي إضافي اختياريًا: على سبيل المثال،example.com، أوexample.edu/chessclub– زوج من المفاتيح العامة/الخاصة بموقع (فرعي) . يقوم بتوقيع رموز المعاملات باستخدام المفتاح الخاص ويعطي المفتاح العام للموقع، حتى يتمكن من التحقق من البيانات المشفرة.

لا توجد " أسرار مشتركة " يمكن أن يكشفها اختراق الموقع للسماح بالهجمات على حسابات في مواقع أخرى. الشيء الوحيد الذي يمكن للمهاجم الناجح الحصول عليه، وهو المفتاح العام، سيقتصر استخدامه على التحقق من التوقيعات المستخدمة فقط في نفس الموقع. على الرغم من أن المستخدم يفتح المفتاح الرئيسي بكلمة مرور واحدة، إلا أنه لا يغادر عميل SQRL أبدًا؛ ولا تتلقى المواقع الفردية أي معلومات من عملية SQRL يمكن استخدامها في أي موقع آخر.

تم تنفيذ عدد من نماذج إثبات المفهوم لمنصات مختلفة.

يؤكد ستيف جيبسون أن بروتوكول SQRL "مفتوح ومجاني، كما ينبغي أن يكون"، وأن الحل "غير مقيد ببراءات اختراع". ^{[ 2 ]} بعد أن لفت بروتوكول SQRL الأنظار إلى آليات المصادقة القائمة على رمز الاستجابة السريعة، ذكر المدون مايكل بيتر أن البروتوكول المقترح كان قد حصل على براءة اختراع سابقًا، وبالتالي فهو غير متاح للاستخدام المجاني. ^{[ 25 ]} وقد تقدمت شركة GMV Soluciones Globales Internet SA الإسبانية (وهي قسم من شركة GMV Innovating Solutions، وهي شركة تكنولوجيا وطيران مقرها مدريد) بطلب للحصول على براءة الاختراع المذكورة (التي لا تنتهي صلاحيتها حتى عام 2030) ، وحصلت عليها بين عامي 2008 و2012 من مكاتب براءات الاختراع في الولايات المتحدة والاتحاد الأوروبي وإسبانيا والبرتغال. ^{[ 26 ]}

ردّ جيبسون قائلاً: "ما يفعله هؤلاء الأشخاص كما هو موضح في براءة الاختراع تلك يختلف تماماً عن طريقة عمل SQRL، لذا لن يكون هناك أي تعارض بين SQRL وبراءة اختراعهم. ظاهرياً، أي شيء يستخدم رمزاً ثنائي الأبعاد للمصادقة يبدو "متشابهاً"  ... وظاهرياً جميع هذه الحلول كذلك. لكن التفاصيل مهمة، وطريقة عمل SQRL مختلفة تماماً في التفاصيل." ^{[ 27 ]}

• SQRL homepage at GRC.com
• Brinkmann, Martin (October 9, 2013). "How SQRL may improve the website login and authentication process". GHacks.net. Retrieved March 7, 2021.
• Lambert, Patrick (2013). "SQRL: A new method of authentication with QR codes". Tech Republic. Archived from the original on June 18, 2021. Retrieved March 7, 2021.
• Holmlund, Daniel (January 3, 2014). "Authentication Without Passwords Implementing SQRL". 2014 HTML5 Developer Developer Conference. Silicon Valley International Game Developers Association. Retrieved March 8, 2021– via YouTube.