الطريقة المعتادة لمنح شخص صندوق بريد هي إنشاؤه واختيار كلمة مرور ثم إرسال العنوان وكلمة المرور إليه. يعرف الجميع أن هذا خطأ، لكن الجميع تقريبا يفعله لأن البديل كان يتطلب تاريخيا عملا أكبر. تزيل دعوات الإعداد هذه الحجة: المسؤول لا يختار كلمة المرور أبدا، ولا يضطر أحد إلى مشاركة كلمات المرور عبر البريد الإلكتروني أو المحادثات.
تشرح هذه الصفحة طريقة عمل الدعوات، ولماذا يعد قرار عدم مشاركة كلمات المرور أهم مما يبدو، وما يعنيه ذلك للمصادقة الثنائية ولإجراءات إنهاء وصول الموظف عند مغادرته.
لماذا يجب ألا تشارك كلمات المرور حتى إن لم يحدث خطأ
يبدأ سبب عدم مشاركة كلمات المرور بالخطر الواضح، وهو الاعتراض. فكلمة المرور الموجودة في رسالة بريد أو محادثة تبقى في صندوقين على الأقل إلى أجل غير مسمى، ويمكن البحث عنها، وتظل موجودة في كل نسخة احتياطية. وأي شخص يحصل لاحقا على صلاحية الوصول إلى أي من الحسابين سيجدها. توصي إرشادات NIST منذ سنوات بعدم نقل الأسرار بهذه الطريقة.
المشكلة الأقل وضوحا هي أن كلمة المرور لا تتغير أبدا. نظريا، يضبط المستخدم كلمة مروره عند أول تسجيل دخول. وعمليا، يحتفظ بالكلمة التي أرسلتها لأنها تعمل ولا شيء يفرض تغييرها. وبعد أشهر يظل المسؤول يعرف بيانات دخول صالحة لصندوق شخص آخر، ما يهدم بهدوء أي ادعاء بأن المستخدم هو من نفذ الإجراءات داخل ذلك الصندوق.
وهذه النقطة الأخيرة هي المهمة عند وقوع أي نزاع. إذا عرف شخصان كلمة المرور نفسها، فلا يمكن نسبة أي إجراء تم من خلال الحساب إلى أحدهما بثقة. النظام الذي لا يضطر فيه أحد إلى مشاركة كلمات المرور ليس أكثر أمانا فحسب، بل هو شرط لازم لأن يكون لسجل التدقيق أي معنى.
كيف تلغي الدعوات الحاجة إلى مشاركة كلمات المرور
ينشئ المسؤول صندوق البريد من دون كلمة مرور أصلا. يرسل النظام رابطا بالبريد الإلكتروني إلى المستخدم المقصود، فيفتحه ويختار كلمة مروره بنفسه. ولا تمر بيانات الدخول في أي لحظة بين يدي شخص آخر.
لذلك لا توجد بيانات الدخول أبدا في صيغة رآها شخص آخر. لا يوجد شيء في مجلد الرسائل المرسلة، ولا في سجل المحادثات، ولا شيء يمكن أن ينسى المسؤول أنه يعرفه.
يمكن إصدار الدعوات بصورة فردية أو جماعية، وهذا ما يحول الفكرة الجيدة إلى أسلوب قابل للاستخدام. عند إنشاء أربعين صندوق بريد لعميل جديد، ترسل أربعين دعوة في عملية واحدة بدلا من إنشاء أربعين كلمة مرور وتسجيلها ونقلها. نشرح الجانب الجماعي في إنشاء صناديق البريد بالجملة.
المصادقة الثنائية هي النصف الآخر
يغلق قرار عدم مشاركة كلمات المرور ثغرة ويترك أخرى: كلمة مرور لا يعرفها سوى المستخدم تظل قابلة لأن تكون ضعيفة أو معاد استخدامها.
تغلق المصادقة الثنائية الثغرة الثانية. يسجلها المستخدم في إعدادات بريد الويب بدلا من إعدادها أثناء قبول الدعوة، ولذلك فهي مطالبة منفصلة وعادة مستقلة. وهذا يعني أن اعتمادها يتوقف على طلبك لها، لا على أن مسار الإعداد يفرضها.
لذلك اطلب إعدادها عند إرسال الدعوة، ثم اطلبها مجددا بعد أسبوع. تعرض صفحة أمان صناديق البريد في لوحة التحكم الصناديق التي فُعلت فيها المصادقة الثنائية ووقت تأكيدها، فتتحول متابعة النواقص إلى قائمة واضحة بدلا من التخمين.
أصر في الوقت نفسه على حفظ رموز الاسترداد. لا يستطيع مالك الحساب إزالة العامل الثاني لصندوق بريد من لوحة التحكم، ولذلك يحتاج المستخدم الذي يفقد جهازه ورموزه معا إلى فتح تذكرة دعم. تجد الصورة الكاملة في حل مشكلة القفل بسبب المصادقة الثنائية.
كيف تتغير مهمة المسؤول
يقلل قرار عدم مشاركة كلمات المرور معظم عمل المسؤول، مع تعديل واحد.
لن تعود حارس بيانات الدخول، ما يلغي فئة كاملة من الطلبات. ويتحول سؤال "هل يمكنك تذكيري بكلمة مروري؟" إلى عملية إعادة تعيين ينفذها المستخدم بنفسه. كما أنك لن تعود الشخص الذي يجب الوثوق به، وهذا يخفف عبئا حقيقيا عندما تدير صناديق عملاء لا زملاء.
التعديل هو أنك لن تتمكن بعد الآن من الدخول إلى صندوق شخص آخر للتحقق من أمر ما. يبدو ذلك مزعجا في المرة الأولى لكنه صحيح في كل مرة. إذا كانت الشركة تحتاج إلى الوصول إلى المراسلات، فالحل هو صندوق بريد مشترك بصلاحيات عضوية، لا أن يعرف المسؤول كلمة مرور المستخدم. هذان نظامان مختلفان بمسؤوليات مختلفة، والخلط بينهما هو بالضبط ما تهدف ممارسة عدم مشاركة كلمات المرور إلى منعه.
الحالات التي لا تزال تحتاج إلى عناية
تحتاج حالتان إلى بعض التفكير بدلا من تفعيل الخيار ونسيانه. ويجدر التحقق منهما وفق جدول منتظم بدلا من الاعتماد على الذاكرة.
المستخدمون الذين لا يكملون الدعوة. صندوق البريد الذي لم يكمل أحد تفعيله لا يقرأه أحد، وقد تستمر الرسائل في الوصول إليه. انتهاء صلاحية الدعوات سلوك صحيح، لكن يجب أن يتحقق شخص من إكمال المستخدم المقصود للإعداد بدلا من افتراض ذلك.
العناوين التي تخص شيئا لا شخصا. صندوق البريد المخصص لعقار أو رقم أمر عمل لا يوجد له مستخدم تدعوه. ينبغي أن يكون صندوقا مشتركا بصلاحيات عضوية منذ البداية، فتدار صلاحية الوصول بقائمة لا ببيانات دخول. وإلا ستعود في النهاية إلى كلمة مرور مشتركة من طريق مختلف.
تنتهي صلاحية الدعوات حتى لا تشارك كلمة مرور عن طريق الخطأ
رابط الإعداد الذي يظل صالحا إلى أجل غير مسمى ليس سوى كلمة مرور بخطوات إضافية، ولذلك للدعوات مدة صلاحية وتتوقف عن العمل بعدها.
والنتيجة العملية هي أن إنشاء الحساب قبل وقت طويل من بدء الشخص عمله ينتج روابط منتهية الصلاحية ومجموعة رسائل مرتبكة في صباحه الأول. أرسل الدعوات عندما يكون الأشخاص مستعدين لاستخدامها، وأصدر دعوة جديدة بدلا من محاولة متابعة رابط منتهي الصلاحية، فإعادة الإصدار لا تستغرق سوى ثوان.
لا تشارك كلمات المرور في أي مكان آخر أيضا
عندما تتوقف مشاركة بيانات دخول صناديق البريد، يظهر السؤال نفسه في أماكن أخرى، ويستحق تطبيق المبدأ فيها.
بيانات دخول مشتركة لمساحة التخزين، وكلمات مرور تطبيقات مشتركة بين الأجهزة، ورمز API واحد تستخدمه ثلاثة برامج نصية، كلها تعاني نقطة الضعف نفسها: إلغاء وصول طرف واحد يعني تعطيلها جميعا. تحل بيانات الدخول المنفصلة لكل جهاز إلى مساحة التخزين المشكلة المقابلة، كما نشرح في مزامنة الملفات بين الأجهزة.
يمكن تعميم القاعدة: أي بيانات دخول يعرفها أكثر من طرف لا يمكن إلغاؤها لطرف واحد، ولا يمكن نسبة إجراء إلى أي منهما. لا يتمثل الهدف الأساسي من تنظيم العمل بحيث لا تشارك كلمات المرور في السرية، بل في القدرة على تغيير قرارك بشأن شخص واحد من دون إزعاج الجميع.
