خبير أمن الإنترنت أوڭ هاو-تشنغ يستقبل مقابلة بون ليتحدث عن كيفية قيام «الهاكرز» بسرقة كلمات مرور الإنترنت!

يستقبل خبير أمن الشبكات ونغ هاو تشنغ مقابلة من بينغ بوإن، ويقوم بتحليل عميق لمشكلات أمن المعلومات في الوقت الحالي. ويشير ونغ هاو تشنغ إلى أنه مع انتشار الذكاء الاصطناعي على نطاق واسع، صار بإمكان القراصنة استخدام أدوات آلية لاستخراج منطق التفكير والتسلسل الذي لدى البشر للدخول إلى الحسابات، ما يضع مفاهيم الدفاع التقليدية لأمن المعلومات أمام تحديات جسيمة. ويذكر أن تعقيد كلمات المرور لم يعد مهمًا؛ إذ إن الأهم هو أن تكون «فريدة»، كما اقترح أن أكثر أساليب الدفاع فائدة حتى الآن هي استخدام أدوات إدارة كلمات المرور التي تعتمد «التعرّف البيولوجي» أو «التشفير».

هل ستصبح المصابيح الذكية سلاحًا للدول المهاجمة؟

في بيئة انتشار الإنترنت، يمكن أن تصبح أجهزة منزلية مثل المصابيح الذكية أيضًا «منصة انطلاق» يشنّ منها القراصنة هجمات إلكترونية واسعة النطاق. فإذا لم يقم المستخدمون بتغيير كلمات المرور الافتراضية أو استخدموا كلمات مرور ضعيفة مثل «12345678»، فيمكن للقراصنة الحصول على السيطرة بسهولة عبر أدوات المسح الآلي.

بمجرد الاستيلاء على السيطرة، لا يكون القراصنة مقتصرين على استهداف هذا الجهاز وحده، بل يستخدمون ذلك كقاعدة للتمويه وإخفاء الهوية الحقيقية، ومن ثم يشنّون هجمات على أهداف مهمة مثل مؤسسات الدفاع أو الهيئات الحكومية. وسيؤدي ذلك إلى أن تُظهر وحدات إنفاذ القانون أثناء تتبّع الآثار الرقمية بشكل مباشر إلى عنوان IP الخاص بحائز جهاز إنترنت الأشياء هذا، فتتحول فئة عامة من الناس دون قصد إلى كبش فداء لسلوكيات القراصنة. وبسبب افتقار معظم المستخدمين إلى الحذر تجاه أمان هذه الأجهزة المنزلية، أصبحت الأجهزة المنزلية الذكية اليوم مسار هجوم شديد الخفاء ضمن الجرائم الإلكترونية على الإنترنت.

كلما كانت كلمة المرور الافتراضية أطول، كان النظام أكثر تقدمًا وأمانًا!

وجّه ونغ هاو تشنغ انتقادات إلى أنظمة أمن المعلومات التقليدية، وخاصة قواعد «تغيير كلمة المرور بانتظام» أو «الاشتراط أن تتضمن أحرفًا خاصة». وأكد أن «طول» كلمات المرور و«عدم قابلية التنبؤ» عنها يمثلان فاعلية أكبر في الدفاع ضد هجمات القراصنة في العصر الحديث. وتتمثل التوصية الحالية لطول كلمة المرور بأن تكون بين 14 و20 حرفًا، أو استخدام جمل طويلة مركّبة. وإذا كانت مواقع الويب تعود إلى زمن الإنترنت القديم، فإن المهندسين كانوا سيضبطون كلمة المرور الافتراضية ضمن 8 أحرف. وعندما يعتمد المستخدمون أنماطًا سهلة التنبؤ، مثل إضافة علامة تعجب بشكل متزايد في نهاية كلمة المرور الأصلية، فإن ذلك لا يملك قوة دفاعية تقريبًا أمام تقنيات كسر كلمات المرور الحديثة. والسبب الأساسي هو أن بإمكان القراصنة فهم منطق المستخدمين بطرق أخرى؛ مثلًا، إذا استخدم أحدهم 1234567 مع رمز خاص واحد، فسيسهل حسابه.

أدوات إدارة كلمات المرور والمصادقة متعددة العوامل توازن بين سهولة الاستخدام والأمان

وبهدف حماية الحسابات الشخصية، يوصي الخبراء باستخدام أداة إدارة كلمات المرور (Password Manager) والمصادقة متعددة العوامل (Multi-Factor Authentication, MFA). وتستطيع أداة إدارة كلمات المرور توليد آلاف المجموعات من كلمات مرور مستقلة وعشوائية لكل حساب مختلف، ما يمنع حدوث سلسلة من الأضرار بعد اختراق حساب واحد. ورغم أن القراصنة من المستوى المتقدم قد يحاولون تجاوز المصادقة متعددة العوامل، فإن المصادقة متعددة الهوية تظل حاليًا أكثر الطرق فعالية لتحقيق توازن بين سهولة الاستخدام والأمان في منع هجمات SIM Swapping «تبديل بطاقة SIM» أو الهجمات التصيدية الآلية التي تقودها أنظمة الذكاء الاصطناعي.

الإرهاق الذهني قد يؤدي أيضًا إلى ثغرات

في الوقت الذي تتطور فيه تقنيات أمن المعلومات باستمرار، يبقى الإهمال البشري الناتج عن الإرهاق الذهني أكبر ثغرة. ومن بين الهجمات الشائعة في السنوات الأخيرة هجوم Push Fatigue Attack «هجوم إرهاق الإشعارات»، حيث يستغل القراصنة إرسال عدد كبير من طلبات التحقق من تسجيل الدخول بشكل متواصل، فيحاولون دفع الضحية—عندما تكون غير صبور أو مشتتة—إلى النقر بشكل لا واعٍ على «موافقة» أو «السماح». وتُظهر طريقة الهجوم هذه التي تستهدف خصائص سلوك البشر أن الاكتفاء بالدفاع التقني وحده غير كافٍ.

عند إدارة المخاطر الرقمية، ينبغي أن يتحلى المستخدمون بوعي واضح. وبالنسبة للحسابات ذات الأهمية الأعلى (مثل الخدمات المصرفية عبر الإنترنت أو البريد الإلكتروني)، يجب تطبيق أعلى مستوى من إعدادات الأمان، بدلًا من وضع جميع الخدمات في مستوى حماية متساوٍ. وينبّه الخبراء إلى أنه لا بد من وجود مفاضلة بين الأمان والراحة، وغالبًا ما تنبع أكبر التهديدات من تجاهل إعدادات الأجهزة أو الاعتماد المفرط على خطوات التشغيل. وهذه الثغرات البشرية هي أكثر الأجزاء التي يسهل على الأدوات الآلية اختراقها.

كيف تختار أداة إدارة كلمات المرور

يوجد حاليًا عدة حلول لإدارة كلمات المرور في السوق، بما في ذلك تطبيقات مستقلة (مثل 1Password) ووظائف التخزين المدمجة داخل المتصفحات (مثل أدوات Google Chrome أو Firefox المدمجة). ورغم أن أدوات إدارة كلمات المرور في المتصفح توفر مستوى عالٍ من الراحة، إلا أنه إذا تم الاستيلاء على التحكم المادي في الكمبيوتر بواسطة شخص آخر، فهناك خطر تسرب كلمات المرور. وتحتاج أدوات إدارة كلمات المرور الاحترافية فقط إلى أن يتذكر المستخدم مجموعة واحدة من Master Password «كلمة المرور الرئيسية» قوية، بينما تتولى البرامج معالجة عمليات التشفير المعقدة المتبقية.

بالإضافة إلى حفظ كلمات المرور، تتمتع هذه الأدوات بميزة واضحة في الدفاع ضد التصيد الاحتيالي (Phishing). فعندما يخطئ المستخدم في إدخال عنوان موقع احتيالي أو صفحة تصيّد، سترفض أداة إدارة كلمات المرور إدخال بيانات الاعتماد تلقائيًا بسبب عدم تطابق العنوان (URL)، ما يمكن أن يمنع بشكل فعال تسرب المعلومات الشخصية لأن المستخدم لا يستطيع تمييز العنوان المزيف بالعين المجردة. ويؤكد الخبراء أنه بغض النظر عن اختيار أي برنامج إدارة موثوق، فإن أمانه يكون دائمًا أعلى بكثير من العادات القديمة المتمثلة في إعادة استخدام نفس مجموعة كلمات المرور البسيطة عبر عدة مواقع.

تُنشر هذه المقالة: خبير أمن الشبكات ونغ هاو تشنغ يشارك في مقابلة مع بوون (博恩) ويقدّم شرحًا حول كيفية قيام «القراصنة» بسرقة كلمات المرور على الإنترنت! ظهرت لأول مرة في: 链新闻 ABMedia。