كيف يتجاوز المهاجمون مفاتيح المرور المتزامنة؟

إذا أردت أن تتذكّر شيئًا واحدًا من هذه المادة فهو: من غير الآمن نشر مفاتيح المرور المتزامنة (synced passkeys) لبيئات المؤسسات. فالميزة العملية للمزامنة تكلف المؤسسات ثمنًا أمنيًا فعليًا — إذ ترث مفاتيح المرور المتزامنة مخاطر حسابات السحابة وإجراءات الاسترداد المرتبطة بها، وتفتح أسطح هجوم جديدة يمكن للمهاجمين استغلالها بسهولة.

مخاطر مفاتيح المرور المتزامنة وسبل توسيع سطح الهجوم

مفتاح المرور (passkey) هو بيانات اعتماد محفوظة لدى مُصادق (authenticator). بعضها مربوط بالجهاز نفسه (device-bound) وبعضها يُزامن عبر خدمات سحابية استهلاكية مثل iCloud أو Google Cloud. وفي حين تحسّن المزامنة تجربة المستخدم وقدرة الاسترداد في سيناريوهات المستهلكين، فإنها تنقل حدود الثقة إلى حسابات السحابة وإجراءات الاسترداد، ما يخلق تعرضًا ماديًا للمؤسسات.

عمليًا، توسّع مفاتيح المرور المتزامنة سطح الهجوم بعدة طرق: الاستيلاء على حساب السحابة أو إساءة استخدام آليات الاسترداد يخول إضافة أجهزة جديدة؛ مزامنة مفاتيح المنشأة على جهاز مؤسسي إلى حسابات شخصية تُفجّر سطح الهجوم خارج حدود المؤسسة؛ ومراكز الدعم الفني وإجراءات الاسترداد تصبح نقاط تحكم حقيقية يستهدفها المهاجمون لنسخ سلسلة المفاتيح إلى جهاز غير موثوق. لذلك تُوصي تحذيرات FIDO Alliance وYubico المؤسسات بتفضيل الخيارات المرتبطة بالأجهزة للحصول على مستوى تأكيد أعلى.

هجمات خفض مستوى المصادقة وبيئة المتصفح المعرضة للامتدادات

أظهر باحثو Proofpoint هجوم خفض مستوى عمليًا ضد Microsoft Entra ID عبر بروكسي تصيّد يخدع المزود بأن المتصفح غير مدعوم (مثل ادعاء Safari على ويندوز)، فيُعطّل Entra دعم المفاتيح ويُرغم المستخدم على اختيار طريقة أضعف مثل SMS أو OTP. ثم يلتقط البروكسي بيانات الاعتماد وملف الجلسة (session cookie) ليعيد استخدامها لاحقًا. هذه طريقة AiTM كلاسيكية قائمة على تفرقة سياسات التوافق — إن المنفذ الأضعف يحدد مستوى الأمان الفعلي.

أيضًا، أظهرت أبحاث SquareX أن بيئة المتصفح المخترقة — عبر امتداد خبيث أو ثغرة XSS — قادرة على الاعتراض والتلاعب بطقوس WebAuthn، وإعادة تشغيل تسجيل المفاتيح أو إجبار التراجع إلى كلمات مرور، أو حتى استكمال عملية المصادقة بصمت. واجهة برمجة امتدادات كروم تسمح لامتدادات معينة بالجلسة interception (مثل webAuthenticationProxy) باعتراض navigator.credentials.create/get، ما يدل على أن امتدادًا مخترقًا قد يمرّر استجابات مزيفة في مسار WebAuthn.

بحث مستقل عُرض في DEF CON وصف أساليب clickjacking على عناصر واجهة مديري كلمات المرور لزرع تعبئة تلقائية تؤدي إلى تسريب بيانات مُخزّنة (حسابات، بطاقات، رموز ذات مرة)، وفي حالات محددة قد يُستغلّ ذلك ضد مصادقة المفاتيح نفسها. النتيجة: بيئة المتصفح والامتدادات يمكن أن تكسّر الحماية العملية حتى إن بقيت الخوارزميات الرياضية سليمة.

لماذا الحلّ المؤسسي الوحيد الفعّال هو الاعتماد على مفاتيح مرتبطة بالأجهزة — وتوجيهات عملية

المفاتيح المرتبطة بالجهاز تُولّد وتُخزن في مكوّنات آمنة غير قابلة للتصدير، وتُقدّم إسناد جهاز قابل للجرد والإبطال. لذلك ينبغي أن تكون هذه الوسائل إجبارية لحالات الوصول المؤسسي الحساسة. توجيهات عملية لبرنامج مفاتيح مرور مؤسسي:

سياسة:

• اشترطوا مصادقة مقاومة للتصيّد لجميع المستخدمين، وخصوصًا ذوي الامتيازات. اقبلوا فقط المصادقات المرتبطة بالأجهزة التي تولد بيانات غير قابلة للتصدير، ممتدة بالجذر في عتادٍ آمن وقابلة للتحقق.

• ألغوا كل طرق التراجع (SMS، مكالمات صوتية، TOTP، روابط البريد، الموافقات بالضغط). إن وُجدت طريقة تراجع فسيحاول المهاجم إخضاعها. اجعلوا المسار القوي هو المسار الوحيد المسموح.

• تأكدوا من دعم شامل لأنظمة التشغيل والمتصفحات للمصادقات المرتبطة بالأجهزة؛ لا تقدموا بدائل يمكن استغلالها بسبب ضعف التغطية.

ملف المتصفح والامتدادات:

• نفّذوا قوائم سماح للامتدادات في المتصفحات المُدارة. احظروا أي امتداد يطلب أذونات  أو صلاحيات سكربت محتوى واسعة.

• رصدوا تثبيتات الامتدادات وأنماط الاستخدام لاكتشاف إزالات جماعية مريبة أو تصاعد أذونات غير مبررة. اعتبروا اختراق الامتداد مكافئًا لاختراق المستخدم نفسه.

الالتحاق والاسترداد:

• اجعلوا جذور الاسترداد مفاتيح عالية-التحصين (hardware-backed). لا تسمحوا لمركز المساعدة أو بريد المستخدم أو مركز الاتصال بتجاوز ضوابط المقاومة للتصيّد. الاسترداد هو مدخل المهاجمين؛ ألغوا متجهات الهندسة الاجتماعية واطلبوا إعادة إثبات هوية مطابقة للسياسة.

• اسمحوا بتسجيل مفاتيح مرتبطة بالأجهزة فقط، والتقطوا بيانات إثبات الموثوقية (attestation metadata) عند التسجيل، وارفضوا المصادقات غير القابلة للتحقق.

نظافة الأجهزة والدفاع التشغيلي:

• اربطوا الجلسات بسياق جهاز موثوق؛ لا تجعلوا ملفات الجلسة قابلة للنقل. اربطوا الهوية بقرائن وضع الجهاز طوال فترة الجلسة.

• طبقوا مصادقة مستمرة: إن تغيرت أوضاع الجهاز أو الموقع أو الحالة الأمنية، اطلبوا إعادة مصادقة أو اقطعوا الوصول.

• افترضوا أن محاولات المصادقة بعوامل ضعيفة يجب حظرها افتراضيًا.

ما يبدو عليه التطبيق العملي:
معمارية دفاع الهوية المتكاملة تقوم على ثلاث سمات: مصادقات مربوطّة بالأجهزة (non-exportable، hardware-backed)، ثقة مستمرة مربوطة بإشارات وضع الجهاز، وإنفاذ صحة نقاط النهاية عالميًا بما يشمل الأجهزة غير المُدارة في الوقت الحقيقي.