لم تعد كلمات المرور وحدها كافية لحماية الحسابات الخاصة بالمنصات والتطبيقات المختلفة. مشاكل كلمات المرور تتضمن إمكانية إعادة استخدامها، أو تخمينها، أو سرقتها، أو مشاركتها وتعريضها للسرقة. لذلك تعتمد الكثير من المؤسسات على المصادقة الثنائية 2FA أو المصادقة متعددة العوامل MFA، حيث يحتاج المستخدم إلى تأكيد هويته بطريقة إضافية للمصادقة، غالبًا بعد إدخال كلمة المرور.
تعد الـ Hard Tokens والـ Soft Tokens من أكثر الطرق شيوعًا لإضافة هذه الطبقة الإضافية من الأمان. كلاهما يساعد على التأكد من أن الشخص الذي يحاول الوصول إلى النظام مصرح له بذلك، لكن طريقة عمل كل منهما مختلفة، وكذلك الحالات التي تتناسب مع كل طريقة. فهم الفرق بينهما يساعدك على اختيار الحل الأنسب وفقًا لمستوى المخاطر الخاصة بمنصتك، والميزانية، وسلوك المستخدمين، وطبيعة العمليات اليومية داخل مؤسستك إذا كنت تؤمن منصة داخلة.
ما هي الهارد توكنز Hard Tokens؟
الـ Hard Token أو Hardware Token هو جهاز مادي يُستخدم للتحقق من هوية المستخدم. يمكن أن يكون مفتاح أمان يتصل بالأجهزة عبر USB، أو بطاقة ذكية Smart Card، أو جهاز يستخدم الـ NFC، أو جهاز يولد رموز مؤقتة OTP. تعمل الهارد توكنز من خلال إثبات امتلاك المستخدم لجهاز فريد خاص به، وهذا الجهاز يمكنه توليد كلمة مرور لمرة واحدة، أو تخزين مفتاح تشفيري، أو التواصل مع النظام عبر USB أو NFC أو Bluetooth أو قارئ بطاقات ذكية.
للوصول إلى نظام محمي باستخدام Hard Token، يجب أن يكون هذا الجهاز المادي مع المستخدم أثناء تسجيل الدخول. وفي كثير من الحالات، يحتاج المستخدم أيضًا إلى إدخال كلمة مرور، أو PIN، أو استخدام تحقق بيومتري، ليصبح الهارد توكن جزءًا من عملية تسجيل دخول متعددة الخطوات.
تستخدم الـ Hard Tokens عادة في البيئات التي تحتاج إلى مستوى أمان عالي، لأنها تعتمد على جهاز منفصل عن حاسوب المستخدم أو هاتفه. هذا الفصل يجعل اختراقها عن بُعد أصعب مقارنة بطرق المصادقة التي تعتمد بالكامل على البرامج أو الرسائل.
مزايا وعيوب الـ Hard Tokens
الميزة الأكبر في الـ Hard Tokens هي مستوى الأمان المرتفع. هذه الأجهزة يصعب نسخها، وتكون أقل عرضة للكثير من أنواع الهجمات التي تتم عن بُعد، كما أنها مناسبة للأنظمة التي تحتاج إلى تحكم صارم في الوصول وربط عملية تسجيل الدخول بجهاز مادي يجب أن يتواجد ولا ينسى في كل مرة.
لكن مع ذلك فلهذا النوع من التوكنز عيوب واضحة، فهي أعلى تكلفة مقارنة بطرق المصادقة الأخرى، كما أن توزيعها على الأفراد وإدارتها واستبدالها قد يصبح عبئًا على المؤسسة مع الوقت. يمكن أن يفقد المستخدم الجهاز أو يتلفه، وفي هذه الحالة تحتاج الشركة إلى عملية استبدال كاملة حتى يستعيد المستخدم قدرته على الدخول إلى حساباته.
ما هي السوفت توكنز Soft Tokens؟
الـSoft Token أو الـ Software Token هو رمز مصادقة رقمي يتم التعامل معه بالكامل من خلال برمجيات. قد يتم إنشاء الرمز أو إرساله عبر تطبيق مصادقة، أو رسالة نصية قصيرة، أو رسالة بريد إلكتروني، أو إشعار على الهاتف. في أغلب الحالات، تولّد الـ Soft Tokens رمز مؤقت OTP أو تستخدم رمزًا تشفيريًا لا يظهر للمستخدم بشكل مباشر، كما يحدث في بعض أساليب المصادقة الحديثة مثل Passkeys. وفي حالات أخرى، يتم منح المستخدم إمكانية الدخول فقط بعد قبوله لإشعار يظهر على هاتفه.
انتشرت الـ Soft Tokens لأنها سهلة النشر، ومعظم المستخدمين يمتلكون هواتف ذكية بالفعل، ما يعني أن المؤسسات تستطيع تفعيل المصادقة الإضافية باستخدام السوفت توكنز دون شراء أجهزة جديدة أوتوزيعها على كل مستخدم.كما توفر Authentica تحقّق متعدّد العوامل.
مزايا وعيوب الـ Soft Tokens
أهم مزايا الـ Soft Tokens هي السهولة، والتكلفة المنخفضة، وقابلية التوسع. يستطيع المستخدم الوصول الحلول التي تستخدم السوفت توكنز بسهولة، ويمكن لفريق تقنية المعلومات تنفيذها واستخدامها وإدارتها بشكل أسرع، كما أنها أرخص بوضوح من الأجهزة المادية.
لكنها على الرغم من ذلك ليست مثالية، لأنها تعتمد على الهواتف، أو التطبيقات، أو البريد الإلكتروني، أو الاتصال بالشبكة، فقد تتعرض لمخاطر مثل اختراق الجهاز، أو التصيد الاحتيالي، أو هجمات SIM Swapping، أو البرمجيات الخبيثة، أو الهندسة الاجتماعية.
الأفكار النهائية
تجعل الـ Hard Tokens و الـ Soft Tokens عملية المصادقة أقوى مقارنة بالاعتماد على كلمات المرور وحدها. لكن كل خيار منهما يخدم أولويات مختلفة. الـ Hard Tokens تركز على الأمان والتحكم الصارم، بينما الـ Soft Tokens تركز على السهولة، والتكلفة الأقل، وسرعة النشر.
الاختيار الصحيح يعتمد على ما تريد حمايته. إذا كان النظام شديد الحساسية، فقد تكون الـ Hard Tokens استثمارًا يستحق التكلفة. أما إذا كنت تريد تحسين أمان تسجيل الدخول اليومي لعدد كبير من المستخدمين، فقد تكون الـ Soft Tokens هي الخيار الأكثر عملية. بالنسبة لمعظم المؤسسات، الحل الأقوى هو الجمع بين الاثنين: استخدام الـ Soft Tokens عندما تكون السهولة مهمة، واستخدام الـ Hard Tokens عندما تكون المخاطر أعلى من أن يتم التعامل معها بأي حل أقل أمانًا.