مفاتيح الأمان، التغيير الوحيد الذي يوقف التصيّد

إذا كان عليك أن تفعل شيئاً واحداً في هذا الموقع بأكمله، فافعله. كل إجراء آخر هنا يقلل المخاطر على الهامش؛ هذا الإجراء يزيل فئة كاملة من الهجمات، وهي الفئة التي تحدث فعلاً للأشخاص الذين يقومون بهذا العمل. تكلفته أقل من ثمن حذاء ويستغرق فترة بعد الظهر.

01لماذا يمكن سرقة رمز ولا يمكن سرقة مفتاح

لقد رأيت الهجوم حتى لو لم ينجح معك. تقول رسالة بريد إلكتروني أو رسالة نصية إن هناك مشكلة في حسابك. يذهب الرابط إلى صفحة هي نسخة مطابقة بالبكسل لصفحة تسجيل الدخول الحقيقية. تدخل كلمة المرور. يطلب رمز المصادقة. تدخله أيضاً.

خلف الكواليس، يسجّل خادم المهاجم الدخول إلى الموقع الحقيقي في اللحظة نفسها، وينقل كل ما تكتبه، في الوقت الفعلي. كان رمزك حقيقياً. كان صالحاً لثلاثين ثانية. أنت فقط كتبته في النافذة الخاطئة، وثلاثون ثانية كافية تماماً.

الشيء الذي لا يستطيع تطبيق المصادقة فعله

يولّد التطبيق رقماً من سر مشترك وساعة. ليس لديه أي فكرة عن الموقع الذي تنظر إليه، لذا لا يمكنه التمييز بين صفحة تسجيل دخول حقيقية ونسخة. الرمز ليس نقطة الضعف، العين البشرية هي. أي دفاع يعتمد على اكتشافك لنطاق مزيف سيفشل في النهاية، لأن النسخ المزيفة جيدة جداً وستكون متعباً.

يعمل مفتاح الأمان بشكل مختلف. عند تسجيله في موقع ما، يخزّن سرًّا مرتبطًا بـالنطاق الحقيقي لذلك الموقع. عند تسجيل الدخول، يرسل الموقع تحديًا؛ يوقّع عليه المفتاح، ولكن فقط بعد التحقق من أن النطاق الطالب يطابق النطاق الذي سُجّل به. إذا طلب نطاق مشابه، فإن المفتاح ببساطة لا يجيب. لا يوجد شيء لإعادة توجيهه، ولا شيء لكتابته، ولا شيء يمكنك أن تخطئ فيه.

هذا ليس ادعاءً، بل نتيجة مقيسة

نقلت Google قوتها العاملة بأكملها — عشرات الآلاف من الأشخاص — إلى مفاتيح الأمان وأبلغت عن صفر عمليات استيلاء ناجحة عبر التصيّد على حسابات الموظفين بعد ذلك. هذا هو أقوى دليل في أمن المستهلك لأي إجراء منفرد، ولهذا يأتي هذا الدليل أولًا وليس خامسًا.

02ما يوجد على المفتاح

مفتاح YubiKey 5 ليس شيئًا واحدًا. إنه عدة أجهزة أمان مستقلة في نفس القطعة البلاستيكية، ومعظم الناس يستخدمون واحدًا منها ولا يعلمون أبدًا أن البقية موجودة. إليك كل ذلك، بعبارات واضحة.

الميزة	هل تستخدمها؟	ما الغرض منها
FIDO2 / WebAuthn	نعم، هذه هي المقصودة	المعيار الحديث. تسجيل دخول مقاوم للتصيّد، وأساس مفاتيح المرور. هذا ما ستستخدمه على Google وMicrosoft وGitHub وCloudflare وProton ومعظم الأشياء المهمة.
مفاتيح المرور (المفاتيح المقيمة)	نعم	نفس الشيء، لكن المفتاح يخزّن هوية الحساب أيضًا، بحيث يمكنك تسجيل الدخول دون كتابة اسم مستخدم أو كلمة مرور على الإطلاق. المساحة التخزينية محدودة — انظر الملاحظة أدناه.
U2F	تلقائي	النسخة الأقدم من الفكرة نفسها. لا تزال تستخدمها بعض المواقع؛ يتعامل معها المفتاح دون أن تختار.
OATH-TOTP	حسب الحالة	يخزّن رموزك العادية المكوّنة من ستة أرقام على المفتاح بدلًا من تطبيق على الهاتف، وتُقرأ عبر Yubico Authenticator. مفيد للمواقع التي لا تدعم FIDO2. لا يزال رمزًا ولا يزال قابلًا للتصيّد، فهو يحمي السر، لا تسجيل الدخول.
تحدٍّ واستجابة (HMAC-SHA1)	نعم، مع KeePassXC	يجعل قاعدة بيانات كلمات مرورك تتطلب المفتاح الفيزيائي لفتحها. مشروح في دليل KeePassXC، هذا هو الاقتران الذي يجعل كلا الأداتين أقوى بشكل ملحوظ.
PIV / بطاقة ذكية	متقدم	يحمل الشهادات. يُستخدم لمفاتيح SSH التي لا يمكن نسخها من الجهاز، ولبعض الأنظمة المؤسسية والحكومية.
OpenPGP	متقدم	يحتفظ بمفاتيح GPG على العتاد، لذا تحدث عملية التوقيع وفك التشفير على المفتاح ولا يلمس المفتاح الخاص جهاز الكمبيوتر الخاص بك أبدًا.
Yubico OTP	نادراً	نظام كلمة مرور لمرة واحدة قديم يسبق FIDO. تستخدمه بعض الخدمات الأقدم. اتركه كما هو ما لم يطلبه شيء ما.
كلمة المرور الثابتة	No	تكتب سلسلة ثابتة عند لمس المفتاح. ميزة تسهيلية من عصر آخر. لا تستخدمها لأي شيء مهم.

حد تخزين مفاتيح المرور، وهو ما يفاجئ الناس

المفاتيح المقيمة، تلك التي تتيح لك تسجيل الدخول بدون اسم مستخدم، تشغل خانات دائمة على الجهاز، وعددها ثابت. تحتوي البرامج الثابتة الأقدم لـ YubiKey 5 على حوالي 25 خانة؛ بينما تحتوي البرامج الثابتة الحديثة على عدد أكبر بكثير. تسجيلات FIDO2 العادية كعامل ثانٍ ليست محدودة بهذه الطريقة، لذا يمكنك إضافة مفتاح إلى مئات المواقع دون ملء أي شيء. إذا نفدت الخانات لديك، فسيكون السبب هو مفاتيح المرور (passkeys)، وليس المصادقة الثنائية (2FA).

03أي واحد تشتري

يتعلق القرار في الغالب بالقابس الموجود في الطرف وما إذا كنت تريد الميزات الإضافية. طابق الموصل مع هاتفك وجهاز الكمبيوتر الخاص بك، وإذا اختلفا، اشترِ واحدًا من كل نوع بدلًا من حمل محول ستفقده.

الطراز	الأفضل لـ	ملاحظات
سلسلة Security Key (الزرقاء)	معظم الناس	FIDO2 وU2F فقط، وهو الجزء الذي تحتاجه. بنحو نصف سعر YubiKey 5. إذا كنت لن تستخدم PGP أو PIV أو الاقتران مع KeePassXC، فهذه هي التوصية الصادقة.
YubiKey 5 NFC	حاسوب USB-A + أي هاتف	المفتاح كامل الميزات. قرّبه من الهاتف لاستخدام NFC، ووصّله بالحاسوب المحمول عبر USB. الخيار الافتراضي إذا أردت كل ما في الجدول أعلاه.
YubiKey 5C NFC	حاسوب USB-C + أي هاتف	مطابق، مع قابس USB-C. الأرجح أنه الخيار المناسب إذا كان حاسوبك المحمول حديثاً.
YubiKey 5Ci	iPhone بمنفذ Lightning	يحتوي على USB-C وLightning معاً. لا يهم إلا مع أجهزة iPhone الأقدم؛ فالأحدث منها تستخدم USB-C ويمكنها استخدام NFC على أي حال.
YubiKey 5 Nano	اتركه في الحاسوب المحمول	صغير الحجم، يبقى مثبتاً في المنفذ بشكل دائم. مريح، لكنه يلغي ميزة الفصل المادي، فإذا أُخذ الحاسوب المحمول، أُخذ المفتاح معه.
سلسلة Bio	المساحات المشتركة	بصمة الإصبع بدلاً من رقم التعريف الشخصي. ميزة جيدة حقاً؛ لكنها أغلى ثمناً؛ فكّر بعناية فيما إذا كانت البيانات الحيوية هي وسيلة الفتح المناسبة في المكان الذي تعيش فيه، إذ يمكن في كثير من الولايات القضائية إجبارك على تقديم بصمة إصبعك بسهولة أكبر من رقم التعريف الشخصي.

اشترِ اثنين. هذا ليس عرضاً ترويجياً.

المفتاح الواحد يمثل نقطة فشل واحدة: إذا فقدته فقد تُقفل حساباتك الخاصة بشكل دائم، وهذه كارثة بحد ذاتها. سجّل كلا المفتاحين على كل حساب، واحمل أحدهما، واحتفظ بالثاني في مكان منفصل مادياً، كدرج في المنزل، أو خزنة، أو عند شخص تثق به. المفتاح الثاني هو خطة الاحتياط، وتكلفته أقل من تكلفة الاستعادة.

اشترِ من الشركة المصنّعة أو من موزّع معروف

ليس من قائمة في سوق إلكتروني، ولا من البيع المستعمل، ولا هدية من شخص لا تعرفه جيداً. مفتاح الأمان جهاز ستأتمنه على كل شيء؛ وسلسلة التوريد جزء من المنتج. برنامج Yubico الثابت غير قابل للتحديث عمداً، وهذا جيد لمقاومة العبث، ويعني أن المفتاح المخترق لا يمكن إصلاحه أبداً، بل استبداله فقط.

04إعداده، بالترتيب الصحيح

الترتيب مهم. ابدأ بالحساب الذي يمكنه إعادة تعيين جميع الحسابات الأخرى، وتأكد من أنك لا تستطيع إقفال نفسك خارجها أثناء ذلك.

ابدأ ببريدك الإلكتروني
كل حساب آخر تملكه يُستعاد من خلاله، مما يجعله الهدف الحقيقي. اذهب إلى إعدادات الأمان لدى مزوّد البريد الإلكتروني وأضف كلا المفتاحين قبل أن تلمس أي شيء آخر. إذا كان مزوّد البريد الإلكتروني لا يدعم مفاتيح الأمان، فهذا سبب لتغيير المزوّد، وليس سببًا لتخطي هذه الخطوة.
سجّل كلا المفتاحين في الوقت نفسه
افعل ذلك في جلسة واحدة، على كل حساب. نمط الفشل الذي يقع فيه الناس هو تسجيل مفتاح واحد الآن و"إضافة المفتاح الاحتياطي لاحقًا" — و"لاحقًا" لا يأتي أبدًا، ثم يمر المفتاح الأول عبر غسالة ملابس.
احفظ رموز الاسترداد بشكل صحيح
كل موقع يمنحك مجموعة من رموز الاسترداد لمرة واحدة. هذه الرموز تجاوز كامل لمفتاحك، لذا تستحق نفس العناية التي تستحقها المفتاح نفسه. ضعها في مدير كلمات المرور، أو اطبعها واحفظها في مكان آمن ماديًا. لا تصوّرها، ولا تتركها في مجلد التنزيلات.
راجع الآن الطرق الأضعف
إذا بقيت رموز SMS كخيار احتياطي، فإن تبديل بطاقة SIM يمكنه تجاوز المفتاح. بعد أن يعمل كلا المفتاحين، أوقف SMS حيثما يسمح لك الموقع بذلك. أبقِ رمز تطبيق المصادقة فقط حيث تحتاجه كمسار استرداد، واحمِ بذرته ورموز استرداده في مدير كلمات المرور، ولا تُزل أي طريقة حتى تجرّب الطرق المتبقية للدخول.
اعمل على القائمة بالترتيب
بعد البريد الإلكتروني: مدير كلمات المرور إذا كان يدعم المفاتيح، ثم التخزين السحابي، ثم الحسابات الاجتماعية التي تنشر منها، ثم أي شيء مرتبط بطريقة دفع، ثم استضافة الشيفرة. أي شيء متبقٍّ يمكنه الانتظار حتى أمسية هادئة.
جرّب المفتاح الاحتياطي قبل أن تضعه جانبًا
سجّل الخروج ثم سجّل الدخول باستخدام المفتاح الاحتياطي تحديدًا. نسخة احتياطية غير مجرَّبة هي مجرد تخمين.

05ما لا يحميك منه

مفتاح الأمان هو أقوى وسيلة تحكم منفردة متاحة لشخص عادي، وهو مع ذلك محدود. إنه يهزم التصيّد. لكنه لا يهزم هذه الأمور.

يوقف بشكل قاطع

صفحات التصيّد، مهما كانت مقنعة، بما في ذلك هجمات التمرير في الوقت الفعلي.
حشو بيانات الاعتماد، كلمة المرور الخاصة بك من اختراق موقع آخر أصبحت عديمة الفائدة بمفردها.
تخمين كلمات المرور ورشّها.
معظم هجمات تبديل بطاقة SIM، بمجرد إزالة الرسائل النصية القصيرة كخيار احتياطي.

لا يفعل شيئًا بشأن

البرمجيات الخبيثة الموجودة بالفعل على جهاز الكمبيوتر الخاص بك. إذا كان هناك شيء يراقب جلستك بعد تسجيل الدخول، فقد أدى المفتاح مهمته بالفعل وتم تجاوزه.
سرقة ملف تعريف ارتباط الجلسة. المهاجم الذي يسرق رمز جلسة نشط لا يحتاج إلى تسجيل الدخول على الإطلاق.
مسار الاسترداد. إذا أمكن إقناع موظفي الدعم بإعادة تعيين حسابك، يصبح مفتاحك غير ذي صلة. هذه الآن هي الطريقة الأكثر شيوعًا لسقوط الحسابات المحمية بالمفاتيح.
الاستيلاء المادي عليك وعلى المفتاح معًا.
الحسابات التي نسيت حمايتها، وهي المكان الذي سيتجه إليه المهاجمون بعد ذلك.

الخلاصة الصادقة

إنه يغلق الباب الأمامي تمامًا، وينتقل المهاجم إلى النوافذ. لا يزال هذا تحسنًا هائلًا، فالباب الأمامي هو المكان الذي كانت فيه حركة المرور بأكملها تقريبًا، لكنه سبب لمواصلة قراءة بقية هذا الموقع بدلًا من التوقف هنا.

06إذا كنت لا تريد YubiKey

YubiKey هو الخيار الافتراضي لأنه الأكثر دعمًا على نطاق واسع والأكثر مراجعةً بدقة، وليس لأنه الخيار الوحيد. نحن لا نتلقى أموالًا من أي من هؤلاء.

Nitrokey

ألماني، ببرمجيات مفتوحة المصدر وتصاميم عتاد مفتوحة، الخيار إذا كانت "أريد أن أكون قادرًا على فحصه" تهمك أكثر من أقصى توافق. مُغطى كبديل في قسم مفاتيح الأمان في الدليل.

nitrokey.com ↗

Token2

سويسري، غير مكلف، يركز على FIDO2. طريقة معقولة لشراء مفتاحين بميزانية محدودة دون اللجوء إلى علامة تجارية غير معروفة.

token2.com ↗

هاتفك كمفتاح مرور

يمكن للهواتف الحديثة أن تعمل كمصادق FIDO2، مما يمنحك نفس مقاومة التصيد الاحتيالي مجانًا. أضعف في ناحية واحدة محددة: الهاتف هو الجهاز الأكثر عرضة للاستيلاء عليه أو فتحه أو اختراقه. جيد كعامل ثانٍ، وليس كعامل وحيد.

07أسئلة يطرحها الناس فعلاً

ماذا يحدث إذا فقدت المفتاح؟

لا شيء، إذا فعلت هذا بشكل صحيح: تستخدم المفتاح الثاني، ثم تزيل المفقود من كل حساب وتسجل بديلًا. هذا بالضبط سبب إصرار الدليل على شراء اثنين. إذا لم تفعل، تعود إلى رموز الاسترداد الخاصة بك، وإذا لم تكن تملكها أيضًا، فأنت تعتمد على عملية استرداد الحساب لدى المزود، والتي قد تستغرق أسابيع وأحيانًا تفشل.

هل يمكن لشخص يسرق مفتاحي أن يدخل إلى حساباتي؟

ليس بمفرده. المفتاح هو عامل ثانٍ، ولا يزال بحاجة إلى كلمة المرور الخاصة بك، وفي معظم الإعدادات يحتاج أيضًا إلى رقم التعريف الشخصي (PIN) الخاص بالمفتاح، الذي يقفل الجهاز بعد عدد قليل من المحاولات الخاطئة. المفتاح المسروق يمثل إزعاجًا لك، وليس اختراقًا. ومع ذلك، أزله من حساباتك.

هل يجب أن أحملها معي في كل مكان؟

فقط عند تسجيل الدخول إلى مكان جديد. تتيح معظم المواقع وضع علامة على الجهاز كموثوق، لذا في حياتك اليومية لن تلمس المفتاح إلا نادرًا — عادةً عند إعداد جهاز جديد أو بعد مسح ملفات تعريف الارتباط. تعمل طرازات NFC بالنقر على الهاتف، مما يزيل معظم العوائق التي يتخيلها الناس.

هل مفتاح المرور (passkey) هو الشيء نفسه؟

مفتاح المرور هو نفس التشفير مع نفس مقاومة التصيد الاحتيالي. الفرق هو مكان وجوده. مفتاح المرور في هاتفك أو في حساب متصفح تتم مزامنته عبر سحابة شركة، وهو أمر مريح ويعني أن قوة ذلك الحساب تصبح قوة مفتاح المرور الخاص بك. أما مفتاح المرور على مفتاح عتاد فلا يمكن مزامنته أو نسخه أو استخراجه. بالنسبة للحسابات المهمة، ضعه على عتاد.

أي الحسابات يجب أن تحصل على واحد أولاً؟

البريد الإلكتروني، دائمًا. ثم مدير كلمات المرور، ثم أي شيء تنشر منه، ثم أي شيء يحتفظ بالمال. إذا كنت توثق أو تقدم تقارير عن هذا الموضوع، فإن الحساب الذي تنشر منه أكثر قيمة للخصم من بنكك — ففقدانه يعني أن شخصًا آخر يتحدث باسمك، وهو أمر لا يمكن التراجع عنه عبر استرداد المبالغ.

08المصادر وقراءات إضافية

Yubico — الموقع الرسمي ومقارنة الطرازات yubico.com
تحالف FIDO، معيار FIDO2 / WebAuthn fidoalliance.org
Nitrokey — بديل مفتوح المصدر للعتاد والبرامج الثابتة nitrokey.com
الدفاع الذاتي ضد المراقبة من EFF — أمان الحساب ssd.eff.org
Privacy Guides — المصادقة متعددة العوامل privacyguides.org

آخر مراجعة: 25 سبتمبر 2026

مفاتيح الأمان: التغيير الوحيد الذي يوقف التصيّد