أصبحت الرموز المؤقتة أو OTP جزءا أساسي من أنظمة المصادقة في معظم التطبيقات والمنصات في مختلف المجالات. سواء كان المستخدم يسجل الدخول إلى تطبيق بنكي، أو يؤكد عملية حساسة، أو يعيد تعيين كلمة المرور، أو ينشئ حسابًا جديدًا، فإن التحقق عبر OTP يضيف طبقة حماية ثانية تجعل الوصول غير المصرح به أصعب بفارق كبير.
لكن على الرغم من أن طرق إرسال الرموز المؤقتة المختلفة تعتمد على نفس الفكرة، وهي رمز مؤقت، فإن قناة الإرسال نفسها تصنع فارق كبير. الكود الذي يصل عبر رسالة SMS لا يشبه الكود الذي يتم إنشاؤه داخل تطبيق مصادقة. كلاهما يمكن أن يستخدم للتحقق من المستخدم، لكن الاختلاف يظهر بوضوح في الأمان، التكلفة، الاعتمادية، قابلية التوسع، وتجربة المستخدم.
لهذا السبب، أصبحت المقارنة بين الرموز المؤقتة عبر الرسائل النصية القصيرة وعبر تطبيقات المصادقة مهمة أكثر للشركات التي تبني أنظمة مصادقة للمستخدمين. رسائل SMS سهلة ومألوفة ومتاحة لشريحة واسعة من المستخدمين، بينما توفر تطبيقات المصادقة مستوى أمان أعلى وقابلية أفضل للتوسع على المدى الطويل.
ما هي الرموز المؤقتة عبر الرسائل النصية القصيرة؟
الرموز المؤقتة عبر الرسائل النصية القصيرة SMS OTP هو واحد من أكثر طرق التحقق استخدامًا. عندما يحاول المستخدم تسجيل الدخول أو تنفيذ إجراء حساس، يرسل النظام كود قصير عبر رسالة SMS إلى رقم هاتفه من خلال شبكة الاتصالات. بعد ذلك، يقوم المستخدم بإدخال هذا الكود داخل التطبيق أو الموقع لتأكيد هويته.
ما هي الرموز المؤقتة عبر تطبيقات المصادقة؟
الرموز المؤقتة عبر تطبيقات المصادقة App Based OTP تعتمد على تطبيق مصادقة Authenticator App يقوم بإنشاء أكواد التحقق مباشرة على جهاز المستخدم دون إرسالها عبر أي قناة خارجية. غالبًا ما تكون هذه الأكواد تحتاج إلى الإدخال قبل أن تمر 30 أو 60 ثانية. من أمثلة هذه التطبيقات Google Authenticator و Microsoft Authenticator و Authy.
على عكس الرموز المؤقتة عبر SMS، لا يحتاج App-Based OTP إلى إرسال الكود عبر شبكة الهاتف. بعد إعداد تطبيق المصادقة لأول مرة، يبدأ التطبيق في إنشاء الأكواد على هاتف المستخدم باستخدام مفتاح آمن مشترك بين جهاز المستخدم ومقدم الخدمة.
أهم مزايا الرموز المؤقتة عبر SMS
أقوى ميزة لـ SMS OTP هي سهولة الوصول. أي مستخدم يمتلك رقم هاتف وجهاز يستقبل الرسائل النصية يمكنه استخدام هذه الطريقة يسهولة، كما أنها مستخدمة منذ فترة طويلة بما يكفي ليكون أغلب المستخدمين معتادين عليها. هذا الأمر مهم خصوصًا للشركات التي تستهدف قاعدة كبيرة من المستخدمين في مناطق مختلفة، بما في ذلك المستخدمين غير المعتادين على تطبيقات المصادقة أو الذين لا يفضلون استخدامها.
هناك ميزة أخرى وهي سرعة الإطلاق. من السهل دمج SMS OTP باستخدام مزودي خدمات خارجيين. بالنسبة للشركات التي تحتاج إلى إطلاق نظام مصادقة بسرعة، يمكن أن يكون هذا الخيار عملي، خصوصًا عندما تكون احتياجات الأمان متوسطة وتجربة المستخدم تحتاج أن تبقى بسيطة قدر الإمكان.
يمكن أيضًا استخدام SMS OTP كطريقة احتياطية أيضًا. حتى الشركات التي تعتمد على الرموز المؤقتة عبر تطبيقات المصادقة قد تحتفظ برسائل SMS كخيار بديل لاسترجاع الحساب أو لمساعدة المستخدمين الذين لا يستطيعون الوصول إلى تطبيق المصادقة.
أهم قيود الرموز المؤقتة عبر SMS
على الرغم من سهولة استخدام SMS OTP، إلا أن له عيوب أمنية واضحة. لأن الرمز ينتقل عبر شبكات الاتصالات، فهو معرض لمخاطر لا تستطيع الشركة التحكم فيها بالكامل. من أشهر هذه المخاطر هجمات SIM Swapping، حيث يقوم المهاجم بخداع شركة الاتصالات أو التلاعب بها لنقل رقم هاتف الضحية إلى شريحة SIM أخرى. عندما يحدث ذلك، يستطيع المهاجم استلام كود OTP بدلًا من المستخدم الحقيقي.
يمكن أيضًا اعتراض رسائل SMS أو إعادة توجيهها من خلال ثغرات في الشبكات. صحيح أن هذا لا يحدث لكل المستخدمين، لكنه يجعل SMS OTP أقل مناسبة للحالات عالية المخاطر مثل التطبيقات البنكية، العمليات المالية، أنظمة الشركات والمنصات الصحية.
أهم مزايا الرموز المؤقتة عبر تطبيقات المصادقة
يعد App-Based OTP أقوى من الرموز المؤقتة عبر الرسائل النصية القصيرة من ناحية الأمان في أغلب الحالات. بما أن الأكواد يتم إنشاؤها محليًا على جهاز المستخدم، فلا توجد رسالة يمكن اعتراضها، ولا يوجد اعتماد على شبكة الاتصالات. يجعل ذلك هذا الأسلوب أكثر أمانًا وأنسب للاستخدامات التي تحتاج إلى مستوى حماية أعلى.
كما أنه أكثر اعتمادية بعد الإعداد. المستخدم لا يحتاج إلى تغطية شبكة، أو وصول رسالة SMS، أو حتى اتصال بالإنترنت لإنشاء الكود. هذه ميزة مهمة للمستخدمين الذين يسافرون كثيرًا، أو يعملون في أماكن بها تغطية ضعيفة، أو يدخلون إلى المنصات من مواقع مختلفة.
بالنسبة للشركات، فالرموز المؤقتة عبر تطبيقات المصادقة أكثر كفاءة من حيث التكلفة أثناء التوسع. لا توجد تكلفة لكل رسالة يتم إرسالها، ما يجعله مناسبًا للمنصات التي تمتلك قاعدة مستخدمين كبيرة أو تحتاج إلى عمليات تحقق متكررة. قد تحتاج الشركة إلى الاستثمار في التنفيذ وتوعية المستخدمين في البداية، لكن النتيجة تكون انخفاضًا واضحًا في التكاليف على المدى الطويل.
أهم قيود الرموز المؤقتة عبر تطبيقات المصادقة
التحدي الأساسي للرموز المؤقتة عبر تطبيقات المصادقة هو تبني المستخدمين لها وتفضيلاتهم بشكل عام. يحتاج المستخدم إلى تنزيل تطبيق مصادقة وإكمال عملية الإعداد قبل استخدام هذه الطريقة، وقد تكون هذه الخطوة من أطول مراحل المصادقة عند الاستخدام لأول مرة.
تعتمد الرموز المؤقتة عبر تطبيقات المصادقة أيضًا على امتلاك المستخدم لهاتف ذكي متوافق. هذا يجعله أقل شمولًا من SMS. إذا كان جمهورك يتضمن مستخدمين يمتلكون هواتف بسيطة، أو أجهزة قديمة، أو لا يستطيعون تنزيل تطبيقات إضافية بسهولة، فإن الاعتماد الكامل على App-Based OTP قد يستبعد جزءًا من المستخدمين.
هناك أيضًا تحديات متعلقة باسترجاع الحساب، فإذا فقد المستخدم هاتفه أو حذف تطبيق المصادقة دون وجود أكواد احتياطية، فقد تصبح عملية استرجاع الحساب أكثر تعقيدًا. لذلك، تحتاج الشركات التي تستخدم App-Based OTP إلى تصميم آليات استرجاع قوية وآمنة، دون أن تجعل تجربة المستخدم مزعجة أو معقدة.
الأفكار النهائية
كل من الرموز المؤقتة عبر الرسائل النصية القصيرة والرموز المؤقتة عبر تطبيقات المصادقة من طرق المصادقة المستخدمة على نطاق واسع، ولكل منهما مزايا وعيوب واضحة. الرموز المؤقتة عبر الرسائل النصية القصيرة تتميز بالسهولة والوصول الواسع وسرعة التطوير، بينما يقدم App-Based OTP مستوى أمان أعلى واعتمادية أفضل وتكلفة أقل عند التوسع.
الاختيار بينهما لا يعتمد فقط على الأمان، بل على طبيعة المنصة، نوع المستخدمين، مستوى المخاطر، حجم عمليات التحقق، والتجربة التي تريد الشركة تقديمها. في بعض الحالات، تكون الرموز المؤقتة عبر الرسائل النصية القصيرة كافية ومناسبة. وفي حالات أخرى، خصوصًا مع التطبيقات المالية أو الأنظمة الحساسة، تصبح الرموز المؤقتة عبر تطبيقات المصادقة خيارًا أقوى. وفي كثير من الأحيان، لا يكون القرار هو اختيار طريقة واحدة فقط، بل تصميم نظام مصادقة يستخدم كل طريقة في المكان المناسب، بحيث تحصل الشركة على توازن أفضل بين الأمان، السهولة، التكلفة وتجربة المستخدم. وتقدم Authentica خدمة التحقق عبر الرسائل النصية القصيرة.