قد يستبدل شخص هاتفه أو يمسح بياناته أو يحذف تطبيق المصادقة ببساطة أثناء ترتيب التطبيقات. تظل كلمة مروره صحيحة، لكن عامل المصادقة الثاني يختفي، فلا يعود قادرا على دخول بريده. يعد تعذر دخول بريد الويب بسبب المصادقة الثنائية من أكثر طلبات الدعم شيوعا في أي مؤسسة تأخذ الأمان بجدية، وهو أمر يمكن توقعه تماما.
تشرح هذه الصفحة كيفية حل المشكلة، ولماذا يجب أن يكون الحل مدروسا لا تلقائيا، وما الاستعدادات البسيطة التي تحولها من عمل يستغرق ساعات إلى مهمة تنتهي في دقيقتين.
لماذا يتكرر ذلك كثيرا
يتم إعداد المصادقة الثنائية مرة واحدة على جهاز واحد، في لحظة ينشغل فيها الشخص بدخول بريده لا بما سيحدث إذا اختفى الجهاز.
تعرض رموز الاسترداد، لكنها تهمل غالبا لأنها تبدو في تلك اللحظة كواجب إضافي. ثم تستبدل الهواتف كل ثلاث سنوات تقريبا، ولا تنتقل بيانات المصادقة إلى الهاتف الجديد ما لم يُنسخ التطبيق احتياطيا أو تُنقل بياناته عمدا. لذلك لا يعني تعذر الدخول بسبب المصادقة الثنائية أن أحدا أخطأ، بل هو نتيجة متوقعة لدورة حياة الأجهزة.
ومن المفيد تذكر ذلك عند وقوع المشكلة، لأن الشخص الذي فقد إمكانية الدخول يشعر غالبا بأنه تصرف بحماقة، مع أنه لم يفعل.
طريقتان لاستعادة الدخول
لا توجد سوى طريقتان، والأولى وحدها يمكن للمستخدم تنفيذها بنفسه.
استخدام رمز استرداد. تصدر هذه الرموز عند إعداد المصادقة الثنائية، وهي وسيلة الاسترداد الذاتي. يدخل المستخدم بكلمة مروره، ثم يقدم رمز استرداد بدلا من رمز التطبيق، وبعدها يستطيع إزالة عامل المصادقة الثاني القديم وتسجيل جهاز جديد من إعدادات بريد الويب. ولا يحتاج إلى تدخل مسؤول في أي مرحلة.
التواصل معنا. إذا فقدت رموز الاسترداد أيضا، فعلينا نحن مسح عامل المصادقة الثاني. هذا إجراء ينفذه فريق الدعم، وليس خيارا في لوحة التحكم، وقد صمم عمدا بحيث لا ينفذ ذاتيا. فمالك الحساب الذي يستطيع إزالة المصادقة الثنائية سرا من أي صندوق بريد سيكون هدفا أنفع للمهاجم من صندوق البريد نفسه.
من المهم توضيح ما توفره لوحة تحكم العميل هنا وما لا توفره، لأنها تبدو للوهلة الأولى وكأنها قادرة على المساعدة. تعرض صفحة أمان صندوق البريد ما إذا كانت المصادقة الثنائية مفعلة ووقت تأكيدها، ويمكنها تغيير كلمة مرور الصندوق، لكنها لا تستطيع مسح عامل المصادقة الثاني. تغيير كلمة المرور لا يحل مشكلة تعذر دخول بريد الويب بسبب المصادقة الثنائية، لأن كلمة المرور لم تكن سبب المنع أصلا.
أيا كانت طريقة مسح عامل المصادقة، يجب على المستخدم تسجيله من جديد فورا لا "لاحقا". فصندوق البريد الذي مر بمشكلة مصادقة ثنائية وأصبح محميا بكلمة مرور وحدها هو آخر صندوق تود تركه على هذه الحال.
تحقق من هوية من تتحدث إليه
قبل تصعيد مشكلة تعذر الدخول نيابة عن شخص آخر، تأكد من أن الطلب حقيقي. هذه هي الخطوة التي يتجاوزها الناس، مع أنها الأهم.
من منظور المهاجم، يعد دفع أحد الزملاء إلى طلب إزالة عامل المصادقة الثاني لشخص آخر من أنفع النتائج التي يمكن تحقيقها. يصل الطلب عبر البريد أو الدردشة، ويبدو إجراء روتينيا، ثم يمرر لأن صاحبه بدا عارفا بما يقول.
لذلك تحقق عبر قناة مستقلة. إذا جاء الطلب بالبريد، فاتصل بالشخص هاتفيا. وإذا جاء عبر الدردشة، فاسأله عن شيء لا يعرفه من ينتحل شخصيته أو أكد الأمر وجها لوجه. لا يستغرق التحقق سوى دقيقة. أما وجود الإجراء النهائي لدى فريق الدعم فهو طبقة حماية ثانية، وليس سببا لتجاوز الطبقة الأولى.
توخ الحذر خصوصا عندما يكون الطلب عاجلا ومعتذرا ويغلب عليه الارتباك. هكذا تبدو حالة التعذر الحقيقية، وهكذا تحديدا تصاغ محاولة الهندسة الاجتماعية، لأن الاستعجال يدفع الناس إلى إهمال التحقق.
استعدادات تجعل الحل بسيطا
ثلاثة أمور صغيرة تحول الموقف من حادثة إلى مهمة سريعة.
اجعل حفظ رموز الاسترداد جزءا من إعداد المصادقة. لا تجعلها خطوة إضافية اختيارية بعد الانتهاء، بل جزءا من الإجراء نفسه مع تحديد مكان واضح لحفظها. مدير كلمات المرور هو المكان البديهي، وطباعتها وحفظها بديل معقول تماما.
شجع على تسجيل جهاز ثان عندما يكون ذلك مناسبا. وجود جهاز لوحي أو هاتف ثان يجعل فقدان أحد الأجهزة مصدر إزعاج بدلا من أن يمنع الدخول كليا.
وثق مسار التصعيد. عند تعذر دخول بريد الويب بسبب المصادقة الثنائية، يجب أن يعرف المستخدم من يبلغه، وأن يعرف ذلك الشخص أن الحل يمر عبر الدعم لا عبر لوحة التحكم. اكتشاف هذا المسار أثناء المشكلة يهدر ساعات.
لا تمنع هذه الخطوات حالات تعذر الدخول، وليس هذا هدفها. إنما تجعل علاجها قليل التكلفة والوقت. ورموز الاسترداد هي العامل الوحيد الذي يحول تذكرة دعم إلى حل ذاتي في دقيقتين، ولذلك تستحق إصرارا أكبر مما تحظى به عادة.
حالتان تبدوان فقط كتعذر الدخول
هناك حالتان تبدوان متطابقتين للمستخدم، لكن كل واحدة منهما تحتاج إلى استجابة مختلفة تماما.
رفض الرموز رغم أن التطبيق ما زال يعمل. يكون السبب عادة انحراف الساعة. تعتمد الرموز الزمنية وفق RFC 6238 على أن تكون ساعة الجهاز مضبوطة بدقة معقولة، وإذا انحرفت ساعة الهاتف بأكثر من دقيقة فسوف يولد رموزا مرفوضة. يؤدي تفعيل المزامنة التلقائية للوقت إلى حل المشكلة من دون الحاجة إلى أي إعادة ضبط.
اختيار الحساب الخطأ. قد يسجل أصحاب العناوين المتعددة المصادقة لحساب ثم يحاولون دخول حساب آخر، أو يختارون الإدخال الخطأ في تطبيق المصادقة. تحقق من ذلك قبل إعادة ضبط أي شيء.
وقد يحاول المستخدم الدخول من المكان الخطأ تماما. يدخل مستخدمو صناديق البريد عبر صفحة دخول بريد الويب لا عبر لوحة تحكم الحساب. وكلمة المرور التي تعمل في أحدهما لا تعمل في الآخر، فيبدو الأمر عطلا غامضا لا خطأ واضحا.
هل ينبغي إلزام المستخدمين بها أصلا
بما أن تعذر الدخول هو كلفة المصادقة الثنائية، فمن العدل السؤال عما إذا كانت فائدتها تستحق هذه الكلفة.
الإجابة نعم بوضوح لأي صندوق بريد يستقبل رسائل إعادة تعيين كلمات المرور لخدمات أخرى، وهذا يشملها كلها تقريبا. حساب البريد هو مسار استرداد كل شيء آخر، ولذلك فهو الحساب الأجدر بالحماية. ومشكلة مصادقة ثنائية تحل برمز استرداد كلفة صغيرة مقارنة باختراق صندوق البريد.
تظهر الصعوبة الحقيقية في العناوين التشغيلية المشتركة التي يستخدمها عدة أشخاص. والحل الأفضل ليس تجاوز عامل المصادقة الثاني، بل عدم مشاركة بيانات الدخول أصلا واستخدام صندوق بريد مشترك قائم على العضوية، بحيث يصادق كل شخص بهويته الخاصة.
يقوم إعداد المصادقة عموما على المبدأ نفسه: يجب أن تخص بيانات الدخول شخصا بعينه. لهذا تسمح الدعوات للمستخدمين بتعيين بياناتهم بأنفسهم، ولا يحتاج المسؤولون إلى معرفتها مطلقا، كما نشرح في إعداد صناديق البريد من دون مشاركة كلمات المرور.
