في السنوات الأخيرة ، تصدّر مفهوم الأمان^{(security concept)} الجديد عناوين الأخبار - التحقق من خطوتين أو المصادقة الثنائية^{(verification or two-factor authentication)} (2FA). بدأ كل شيء بتمكين Google لمستخدميها ، ومنذ ذلك الحين ، اتبعت العديد من الشركات مثالهم ، بما في ذلك Microsoft و Apple و Facebook . حتى شركات الألعاب انضمت إلى هذا الاتجاه. إذا كنت ترغب في فهم ماهية المصادقة ذات العاملين^{(two-factor authentication)} ، وكيف تعمل ، ولماذا يجب عليك تمكينها وأين تقرأ هذه المقالة:

ما هي المصادقة المكونة من خطوتين أو التحقق^{(authentication or verification)} ؟

المصادقة الثنائية هي عملية أمنية^{(security process)} تتضمن مرحلتين للتحقق من هوية الشخص أو الكيان^{(person or entity)} الذي يحاول الوصول إلى خدمة من أي نوع (البريد الإلكتروني ، والشبكات الاجتماعية ، والخدمات المصرفية ، وما إلى ذلك). يُطلق على هذا المفهوم أيضًا اسم التحقق من خطوتين ، ويتطلب عاملين أو أكثر من عوامل المصادقة الثلاثة هذه: عامل المعرفة^{(knowledge factor)} ، وعامل الامتلاك^{(possession factor)} ، وعامل الميراث^{(inherence factor)} .

تتضمن المصادقة التقليدية واحدًا أو اثنين فقط من العوامل الثلاثة المذكورة سابقًا. على سبيل المثال ، إذا كنت ترغب في استخدام خدمة مثل البريد الإلكتروني ، فإن المصادقة التقليدية تتضمن معرفة اسم المستخدم وكلمة المرور الخاصة به. يمكن أن تُسرق المعرفة^(Knowledge) بعدة طرق ويمكن للأشخاص معرفة اسم المستخدم وكلمة المرور الخاصين^{(username and password)} بك ، ثم استخدام هذه المعلومات لتظهر وكأنك أنت ، أو لسرقة معلومات قيمة يمكن استخدامها لإلحاق الأذى بك.

في العالم الحقيقي ، قد يشمل التحقق التقليدي عامل المعرفة^{(knowledge factor)} وعامل الحيازة^{(possession factor)} . على سبيل المثال ، عندما تذهب إلى ماكينة الصراف الآلي^(ATM) للحصول على النقود ، فإنك تستخدم بطاقة الخصم أو الائتمان^{(debit or credit card)} الخاصة بك ( عامل الحيازة^{(possession factor)} ) ورقم التعريف الشخصي^(PIN) ( عامل المعرفة^{(knowledge factor)} ). ومع ذلك ، يمكن سرقة كل من رقم التعريف الشخصي^(PIN) أو المعلومات الموجودة على بطاقتك الائتمانية^{(credit card)} بطرق مختلفة ، ويمكن للأطراف غير المصرح لها إجراء معاملات عبر الإنترنت باستخدام أموالك. لهذا السبب تم تطوير مفهوم 3D Secure لتوفير طبقة أمان^{(security layer)} إضافية لمعاملات بطاقات الائتمان والخصم عبر الإنترنت.

عند استخدام التحقق من خطوتين في العالم الرقمي ، يتم إضافة عامل ثالث: عامل الحيازة^{(possession factor)} - عادة ما يكون هاتفك الذكي أو هاتفك المحمول. يستخدم هذا الجهاز في المرحلة الثانية للتحقق من هويتك. على سبيل المثال ، عندما تقوم بتسجيل الدخول إلى حساب البريد الإلكتروني^{(email account)} الخاص بك ، فإنك تقدم أولاً اسم المستخدم وكلمة المرور الخاصين^{(username and password)} بك . بعد ذلك ، يُطلب منك تقديم كلمة مرور مستندة إلى الوقت تنتهي صلاحيتها في غضون ثانيتين. يمكن إرسال كلمة المرور هذه إلى حساب بريدك الإلكتروني^{(email account)} أو هاتفك الذكي أو يمكن إنشاؤها بواسطة تطبيق مصدق^{(authenticator app)} مثل Google Authenticator أو Microsoft Authenticator .

توفر بعض الشركات والخدمات أيضًا أجهزة المصادقة المادية التي تنشئ باستمرار الرموز التي تحتاج إلى استخدامها لإنهاء عملية التحقق^{(verification process)} . على سبيل المثال ، توفر العديد من البنوك أجهزة مادية للتحقق على خطوتين ، بحيث يمكنك الوصول إلى حسابك المصرفي عبر الإنترنت^{(bank account online)} . أيضًا ، يقوم PayPal بذلك لعدد من البلدان ، بما في ذلك الولايات المتحدة الأمريكية^(USA) .

كيف تعمل المصادقة ذات العاملين^{(authentication work)} ؟

إن تطبيقات المصادقة المكونة من خطوتين كثيرة ، ولا ندخل في تفاصيل عنها جميعًا لأن هذه المقالة ستصبح طويلة جدًا.

التطبيق الأكثر شيوعًا هو نهج Google الذي يعتمد على TOTP - خوارزمية كلمة المرور لمرة واحدة المستندة إلى الوقت^{(TOTP - Time-based One-time Password Algorithm)} . عند تمكين التحقق بخطوتين لحسابك ، يقوم خادم خاص بإنشاء كلمة مرور / رمز جديد مرة كل ثانيتين. يجب أن تتم مزامنة الجهاز الذي يشارك كلمة المرور معك مع الخادم بحيث يتطابق الرمز الذي تدخله أثناء خطوة المصادقة^{(authentication step)} الثانية مع الرمز الموجود على الخادم. إذا كان الجهاز الذي يشارك كلمة المرور غير متزامن ، فلا يمكنك إكمال التحقق من هويتك.

هذه الخوارزمية هي الأكثر شهرة على الإنترنت. تستخدمه العديد من الشركات ، بما في ذلك Google و Microsoft و Apple و Facebook و Evernote و Dropbox و WordPress و MailChimp و LastPass .

لتسهيل فهم كيفية عمل المصادقة الثنائية ، دعنا نأخذ على سبيل المثال Fortnite ، وهي ^(Fortnite)لعبة^{(online game)} شائعة على الإنترنت يلعبها كثير من الناس. بمجرد تكوين المصادقة الثنائية (2FA) لحساب Epic Games الخاص بك (منشئو Fortnite ) ، لم يعد يكفي مجرد تقديم اسم المستخدم وكلمة المرور^{(username and password)} لتسجيل الدخول. بل يتعين عليك أيضًا تقديم رمز مرور ثانوي لتتمكن من ذلك للقيام بذلك.

رمز المرور الإضافي مؤقت ، وأنت الوحيد الذي يعرفه. يجب ألا يتمكن أي شخص آخر من العثور عليه ، حيث يمكنك فقط الحصول على هذا الرمز من تطبيق مصدق^{(authenticator app)} (مثل Google Authenticator ) أو من رسالة بريد إلكتروني تتلقاها من Epic Games . تتغير رموز المصادقة ذات العاملين كل ثانيتين ، لذا من شبه المستحيل تخمينها.

إذا قدمت رمز المصادقة^{(authentication code)} الثنائي الصحيح ، فأنت مسجّل الدخول إلى حساب Fortnite^{(Fortnite account)} الخاص بك . خلال الثلاثين يومًا القادمة ، لا يتعين عليك تقديم رموز 2FA على الجهاز الذي قمت بتسجيل الدخول من خلاله بالفعل. ومع ذلك ، في نهاية الـ 30 يومًا أو إذا حاولت تسجيل الدخول من جهاز جديد ، يجب عليك تقديم رمز مرور 2FA صالح مرة أخرى.

المصادقة ذات العاملين في القطاع المصرفي^{(banking sector)}

نهج شائع آخر هو النهج المستخدم من قبل البنوك ومقدمي بطاقات الائتمان . ^{(credit card)}يطلق عليه اسم 3-D Secure ، ويستخدم للموافقة على المعاملات المالية التي تتم عبر الإنترنت. تتضمن طريقة التحقق من خطوتين هذه ثلاثة كيانات: مجال التاجر أو البنك الذي يتم دفع الأموال إليه ، ومجال البنك الذي يصدر البطاقة المستخدمة والبنية التحتية التي تدعم البروتوكول ثلاثي الأبعاد.

يستخدم هذا البروتوكول فقط اتصالات SSL الآمنة^(SSL) لإجراء المعاملات عبر الإنترنت ، وللموافقة على المعاملة ، تحتاج إلى كلمة مرور خاصة ، إلى جانب اسمك وتفاصيل بطاقة الائتمان^{(name and credit card details)} الخاصة بك . قد تكون كلمة المرور هذه مؤقتة وتستند إلى الوقت ، أو قد تكون دائمة وتعيينها أنت ، المستخدم. جانب آخر مهم هو أن كلمة المرور هذه لا يتم تخزينها من قبل التاجر أو البنك الذي يتم دفع الأموال إليه. لا تُعرف كلمة المرور إلا من خلال الخوادم التي توفر البنية التحتية للبروتوكول ثلاثي الأبعاد. لذلك ، إذا تم اختراق التاجر ، فلن يتمكن المتسللون من الحصول على كلمة المرور ثلاثية الأبعاد Secure^{(Secure password)} الخاصة بك .

لماذا تحتاج المصادقة ذات العاملين؟

السبب الرئيسي لاستخدام التحقق من خطوتين هو حماية نفسك. باستخدام طبقة الحماية الإضافية هذه ، فإنك تجعل من الصعب على الأطراف غير المرغوب فيها الوصول إلى هويتك عبر الإنترنت^{(identity online)} وسرقة البيانات الشخصية أو المالية.

عند استخدام 3-D Secure للمعاملات المالية ، فإنك تجعل من الصعب على المتسللين سرقة أموالك. من السهل عليهم نسخ تفاصيل بطاقتك ولكنهم سيواجهون صعوبة في الحصول على كلمة المرور ثلاثية الأبعاد الآمنة^{(Secure password)} .

متى يجب استخدام المصادقة ذات العاملين؟

تعد إضافة خطوة مصادقة^{(authentication step)} ثانوية مزعجة للجميع ولكنها ضرورية للحفاظ على خصوصية حساباتنا وبياناتنا. نوصي بشدة بتمكين التحقق من خطوتين واستخدامه على الأقل لأنواع الخدمات التالية:

• البريد الإلكتروني^(E-mail) - يخزن صندوق الوارد^(Inbox) الخاص بك أكبر قدر من البيانات الشخصية من بين جميع حساباتك على الإنترنت. يمكن للأشخاص التجسس على سجل بريدك الإلكتروني ، ومعرفة اسم المستخدم لحساباتك المصرفية و PayPal^{(banking and PayPal accounts)} ، ومعرفة المزيد عن عملك ، وعلاقاتك ، والعديد من التفاصيل المهمة الأخرى. تأمين بريدك الوارد هو أول شيء يجب عليك فعله.
• المعاملات المصرفية والمالية^{(Online banking & financial transactions)} عبر الإنترنت - إذا كنت تقوم بالخدمات المصرفية عبر الإنترنت ، أو إذا اشتريت أشياء من Amazon أو eBay أو غيرها من المتاجر عبر الإنترنت ، فيجب عليك تأمين بطاقة الائتمان أو الخصم الخاصة بك. اسأل البنك الذي تتعامل معه حول الأمان ثلاثي الأبعاد وخيارات التحقق المكونة من خطوتين التي يقدمونها ، وقم بتمكينها واستخدامها.
• تخزين كلمات المرور الخاصة بك^{(Storing your passwords)} - يستخدم العديد من الأشخاص المهتمين بالأمن خدمات مثل LastPass أو Roboform أو KeePass^{(Roboform or KeePass)} . تأمينهم أمر بالغ الأهمية. إذا تمت سرقة كلمة مرور حسابك^{(account password)} ، فإن الأطراف غير المصرح لها بالوصول إلى جميع كلمات المرور الخاصة بك ويمكن أن تلحق الكثير من الضرر بك.
• الشبكات الاجتماعية^{(Social Networking)} - نقوم جميعًا بتخزين الكثير من البيانات الشخصية على الشبكات الاجتماعية مثل Facebook أو Twitter أو Instagram . إذا تمكن الآخرون من الوصول إلى بياناتك ، فقد يجدون العديد من الأشياء التي تفضل الاحتفاظ بها خاصة. على سبيل المثال ، إذا كان لديك شريك غيور ، فقد يعرف بالفعل كلمة مرور Facebook^{(Facebook password)} الخاصة بك ويراقب ما تفعله. قم بحماية نفسك وتمكين المصادقة ذات العاملين.

كيفية تمكين المصادقة ذات العاملين لأهم حساباتك

بشكل عام ، يعني تمكين المصادقة الثنائية أنه يتعين عليك تسجيل الدخول إلى حسابك عبر الإنترنت والتوجه^{(account and head)} إلى كلمة المرور وإعدادات الأمان^{(password and security settings)} . بعد ذلك ، إذا كان بإمكانك استخدام المصادقة ذات العاملين لحسابك ، فيجب أن تجد خيارًا لذلك. إذا كان 2FA متاحًا ، فإن تمكينه يعني اتباع خطوتين تختار فيهما الطريقة التي تفضلها (عادةً ما تكون المصادقة عبر البريد الإلكتروني أو تطبيق المصادقة^{(email or authenticator app)} على الهاتف الذكي). لمساعدتك في تمكين المصادقة الثنائية واستخدامها ، قمنا بنشر بعض الأدلة التي تغطي بعض الخدمات الأكثر شيوعًا عبر الإنترنت:

• كيفية تمكين أو تعطيل التحقق بخطوتين لحساب Google الخاص بك^{(Google account)}
• قم بالموافقة^(Approve) أو رفض طلبات تسجيل الدخول إلى حساب Microsoft^{(Microsoft account)} الخاص بك باستخدام Android
• كيفية تنشيط التحقق من خطوتين لمعرف Apple^{(Apple ID)} الخاص بك ، على iPhone أو iPad^{(iPhone or iPad)}
• قم^(Set) بإعداد التحقق من خطوتين لحساب Microsoft^{(Microsoft account)} الخاص بك باستخدام Google Authenticator
• كيفية تمكين واستخدام 2FA^(Fortnite) في Fortnite (المصادقة الثنائية)
• تمكين واستخدام المصادقة الثنائية (2FA) لحساب Blizzard الخاص بك^{(Blizzard account)}

أيضًا ، إذا كنت تبحث عن طريقة سهلة لتنفيذ المصادقة ذات العاملين في شركتك الخاصة ، فإليك مقالة قصيرة حول فوائد حل ممتاز من هذا النوع: 7 أشياء يمكنك القيام بها باستخدام ESET Secure Authentication .

هل قمت بتمكين المصادقة الثنائية على جميع حساباتك؟

نأمل أن تكون قد وجدت هذا الدليل مفيدًا. إذا كانت لديك أي أسئلة أو مشكلات في فهم كيفية عمل التحقق على خطوتين ، فلا تتردد في ترك تعليق أدناه.

Simple questions: What is two-factor authentication or two-step verification?

In recent years a new seсurity concept has made the headlinеs - two-step verification or two-factor authenticatіon (2FA). It all startеd with Google enabling it for its users, and since then, many cоmpanies followed their example, inclυding Microsoft, Apple, and Facebook. Even gаming companies joined this trend. If you would lіke to undеrstand what two-factor authenticаtion is, how it works, why you should enable it and where reаd this article:

What is two-step authentication or verification?

Two-factor authentication is a security process that involves two stages for verifying the identity of a person or entity that is trying to access a service of any kind (e-mail, social networking, banking, etc.). This concept is also named two-step verification, and it requires two or more of these three authentication factors: a knowledge factor, a possession factor, and an inherence factor.

Traditional authentication involves only one or two of the three factors mentioned earlier. For example, if you want to use a service like e-mail, traditional authentication involves knowing a username and its password. Knowledge can be stolen in a variety of ways and people can find out both your username and password, and then use that information to pose as you, or steal valuable information that can be used to harm you.

In the real world, traditional verification may involve the knowledge factor and the possession factor. For example, when you go to an ATM to get cash, you use your debit or credit card (possession factor) and the PIN (a knowledge factor). However, both the PIN or the information on your credit card can be stolen in various ways, and unauthorized parties can make online transactions using your money. That's why the 3D Secure concept has been developed to provide an additional security layer for online credit and debit card transactions.

When using two-step verification in the digital world, a third factor is added: the possession factor - usually your smartphone or mobile phone. This device is used for the second stage of verifying your identity. For example, when you sign-in to your email account, you first provide your username and password. Then, you are asked to provide a time-based password that expires in a couple of seconds. This password can be sent to your email account, to your smartphone, or it can be generated by an authenticator app such as Google Authenticator or Microsoft Authenticator.

Some companies and services also provide physical authentication devices that continuously generate the codes you need to use to finalize the verification process. For example, many banks provide physical devices for two-step verification, so that you can access your bank account online. Also, PayPal does this for a number of countries, including the USA.

How does two-factor authentication work?

The implementations for two-step authentication are many, and we do not go into details about all of them because this article would become very long.

The most popular implementation is Google's approach based on the TOTP - Time-based One-time Password Algorithm. When two-step verification is enabled for your account, a special server generates a new password/code once every couple of seconds. The device sharing the password with you needs to be synchronized with the server so that the code you enter during the second authentication step matches the one on the server. If the device sharing the password is out of sync, you cannot complete the verification of your identity.

This algorithm is the most popular one found online. Many companies use it, including Google, Microsoft, Apple, Facebook, Evernote, Dropbox, WordPress, MailChimp, and LastPass.

To make it easier for you to understand how two-factor authentication works, let's take for example Fortnite, a popular online game that many people play. Once you have configured two-factor authentication (2FA) for your Epic Games account (the creators of Fortnite), it is no longer enough just to provide your username and password to log in. You also have to provide a secondary passcode to be able to do that.

The additional passcode is temporary, and you are the only one who knows it. No one else should be able to find it, as you can only get this code from an authenticator app (such as Google Authenticator) or from an email message you receive from Epic Games. The two-factor authentication codes change every couple of seconds, so they should be almost impossible to guess.

If you provide the correct two-factor authentication code, you are signed into your Fortnite account. For the next 30 days, you do not have to provide 2FA codes on the device on which you already signed in. However, at the end of the 30 days or if you try to log in from a new device, you have to provide a valid 2FA passcode again.

Two-factor authentication in the banking sector

Another popular approach is the one used by banks and credit card providers. It is named 3-D Secure, and it is used for approving financial transactions that are made online. This method of two-step verification involves three entities: the domain of the merchant or the bank to which the money is being paid, the domain of the bank which issues the card being used and the infrastructure that supports the 3-D protocol.

This protocol uses only secure SSL connections for making online transactions and, for a transaction to be approved, you need a special password, alongside your name and credit card details. This password may be temporary and time-based, or it may be permanent and set by you, the user. Another important aspect is that this password is not stored by the merchant or the bank to which money is being paid. The password is known only by the servers providing the infrastructure for the 3-D protocol. Therefore, if the merchant is hacked, hackers cannot get your 3-D Secure password.

Why do you need two-factor authentication?

The main reason why you should use two-step verification is to protect yourself. By using this additional layer of protection, you make it harder for unwanted parties to access your identity online and steal personal or financial data.

When using 3-D Secure for financial transactions, you make it harder for hackers to steal your money. It is easy for them to copy your card details but they are going to have a hard time getting your 3-D Secure password.

When should you use two-factor authentication?

Adding a secondary authentication step is annoying for everyone but necessary to keep our accounts and data private. We highly recommend that you enable and use two-step verification at least for the following types of services:

• E-mail - your Inbox stores the biggest amount of personal data out of all your online accounts. People can spy on your email history, learn the username for your banking and PayPal accounts, learn more about your work, your relationships, and many other important details. Securing your inbox is the first thing you should do.
• Online banking & financial transactions - if you do online banking, if you purchase stuff from Amazon, eBay or other online shops, you must secure your credit or debit card. Ask your bank about 3-D secure and the two-step verification options they offer, enable them and use them.
• Storing your passwords - many security conscious people use services like LastPass, Roboform or KeePass. Securing them is crucial. If your account password is stolen, unauthorized parties have access to all your passwords and can do a lot of harm to you.
• Social Networking - we all store lots of personal data on social networks such as Facebook, Twitter, or Instagram. If others get access to your data, they might find many things you would rather keep private. For example, if you have a jealous partner, they may already know your Facebook password and keep an eye on what you do. Protect yourself and enable two-factor authentication.

How to enable two-factor authentication for your most important accounts

In general, enabling two-factor authentication means that you have to log in to your online account and head to your password and security settings. Then, if you can use two-factor authentication for your account, you should find an option for it. If 2FA is available, enabling it means following a couple of steps in which you choose the method you prefer (usually, that is authentication via email or authenticator app on a smartphone). To help you out in enabling and using two-factor authentication, we have published a few guides that cover some of the most popular online services:

• How to enable or disable 2-step verification for your Google account
• Approve or deny sign-in requests to your Microsoft account using Android
• How to activate two-step verification for your Apple ID, on an iPhone or iPad
• Set up two-step verification for your Microsoft account with Google Authenticator
• How to enable and use Fortnite's 2FA (two-factor authentication)
• Enable and use two-factor authentication (2FA) for your Blizzard account

Also, if you are looking for an easy way to implement two-factor authentication in your own company, here is a short article about the benefits of an excellent solution of this kind: 7 things you can do with ESET Secure Authentication.

Have you enabled two-factor authentication on all your accounts?

We hope that you found this guide useful. If you have any questions or issues with understanding how two-step verification works, do not hesitate to leave a comment below.

Related posts

• كيفية حظر Remote Desktop على جهاز الكمبيوتر الخاص بك Windows

• كيف يمكنني إعادة تعيين كلمة مرور Microsoft account الخاصة بي؟

• كيفية تكوين إعدادات خادم وكيل في Windows 10

• كيفية إضافة واستخدام VPN في Windows 10 (كل ما تحتاج لمعرفته)

• منع التطبيقات والألعاب من الوصول إلى الإنترنت باستخدام جدار حماية Windows Defender

• كيف يمكنني العثور على جهاز التوجيه الخاص بي IP address؟ الدليل الكامل

• أفضل 4 محركات بحث للأطفال

• كيفية تغيير حدود النطاق الترددي ل Windows 10 تحديثات

• كيفية تخصيص إعدادات مشاركة الشبكة في Windows 7

• كيفية حظر المواقع الضارة على ASUS Wi-Fi router

• كيفية تغيير موقع شبكة Windows 10 إلى موقع خاص (أو عام)

• تحميل المجلدات والمجلدات المشتركة لنظام التشغيل Windows 7 في أوبونتو

• كيفية قفل Windows 10 تلقائيًا بهاتفك الذكي

• كيفية عرض ومسح نشاطك خارج Facebook

• كيفية حذف اتصالات VPN أو PPPOE في نظامي التشغيل Windows 8 و Windows 8.1

• كيفية إنشاء اتصال VPN وتكوينه واستخدامه على جهاز iPhone (أو iPad)

• كيفية تحرير قائمة التطبيقات المسموح بها في Windows Defender Firewall (وحظر الآخرين)

• راجع CyberGhost: أحد أفضل شبكات VPN التي يمكن شراؤها بالمال

• ASUS AiProtection: تشغيل أو إيقافه؟ تعزيز أمان جهاز التوجيه الخاص بك!

• حول InPrivate and Incognito. ما هو التصفح الخاص؟ Which browser هو الأفضل؟