تطبيقات الاستيثاق
تطبق تطبيقات الاستيثاق معيارًا أمنيًا معتمدًا من قبل فريق عمل هندسة الإنترنت (IETF) يُسمى كلمات المرور المستندة إلى الوقت، أو TOTP. هذه هي الطريقة التي تشارك بها مواقع الويب سرًا معك والذي يستخدمه تطبيق الاستيثاق الخاص بك لإنشاء رمز مكون من ستة أرقام (عادةً) بناءً على الوقت الحالي، والذي تدخله أثناء تسجيل الدخول ليتحقق منه موقع الويب. عادةً ما يتم إعادة إنشاء هذه الرموز كل 30 ثانية، وبمجرد إنشاء رمز جديد، يصبح الرمز القديم عديم الفائدة. حتى لو حصل المتسلل على رمز واحد مكون من ستة أرقام، فلا توجد طريقة تمكنه من عكس هذا الرمز للحصول على السر الأصلي أو أن يكون قادرًا على التنبؤ بما قد تكون عليه أي رموز مستقبلية.
اوصي بشدة باستخدام تطبيقات TOTP للجوال بدلاً من بدائل سطح المكتب نظرًا لأن Android وiOS يتمتعان بأمان وعزل أفضل للتطبيقات مقارنة بمعظم أنظمة تشغيل سطح المكتب.
تطبيق ente Auth (أندرويد و IOS)
هو تطبيق مجاني ومفتوح المصدر يقوم بتخزين وإنشاء TOTP الرموز الموجودة على جهازك المحمول. ويمكن استخدامه مع حساب عبر الإنترنت لإجراء نسخ احتياطي ومزامنة الرموز المميزة الخاصة بك عبر أجهزتك (والوصول إليها عبر واجهة الويب) بطريقة آمنة و مُعمَّاة fdk hg’vtdk. ويمكن استخدامه أيضًا في وضع عدم الاتصال على جهاز واحد دون الحاجة إلى حساب.
موثّق إيجيس Aegis Authenticator (أندرويد)
هو تطبيق مجاني ومفتوح المصدر لنظام التشغيل أندرويد لإدارة رموز التحقق بخطوتين المميزة لخدماتك عبر الإنترنت. يعمل موثّق إيجيس بشكل كامل دون الاتصال بالإنترنت/محليًا، ولكنه يتضمن خيار تصدير الرموز المميزة الخاصة بك للنسخ الاحتياطي على عكس العديد من البدائل.
مفاتيح أمان الأجهزة
يوبيكي YubiKey
تعد مفاتيح YubiKeys من بين مفاتيح الأمان الأكثر شيوعًا. تحتوي بعض نماذج YubiKey على مجموعة واسعة من الميزات مثل: العامل الثاني العالمي (U2F)، وFIDO2 وWebAuthn، وYubico OTP، والتحقق من الهوية الشخصية (PIV)، وOpenPGP، وTOTP، واستيثاق HOTP.
إحدى فوائد YubiKey هي أن مفتاحًا واحدًا يمكنه فعل كل شيء تقريبًا (YubiKey 5)، الذي يمكن أن تتوقعه من مفتاح أمان الجهاز. اشجعك على إجراء الاختبار قبل الشراء للتأكد من أنك قمت بالاختيار الصحيح.
يوضح جدول المقارنة الميزات وكيفية مقارنة YubiKeys. اوصي بشدة باختيار المفاتيح من سلسلة YubiKey 5.
يمكن برمجة YubiKeys باستخدام YubiKey Manager أو أدوات تخصيص YubiKey. لإدارة رموز TOTP، يمكنك استخدام Yubico Authenticator. جميع عملاء Yubico مفتوحي المصدر.
بالنسبة للطرز التي تدعم HOTP وTOTP، هناك فتحتان في واجهة OTP يمكن استخدامهما لـ HOTP و32 فتحة لتخزين أسرار TOTP. يتم تخزين هذه الأسرار مُعمَّاة على المفتاح ولا يتم كشفها أبدًا للأجهزة المتصلة بها. بمجرد إعطاء البذرة (سر مشترك) إلى Yubico Authenticator، فإنها ستعطي فقط الرموز المكونة من ستة أرقام، ولكن لن تعطي البذرة أبدًا. يساعد نموذج الأمان هذا في الحد مما يمكن أن يفعله المهاجم إذا قام باختراق أحد الأجهزة التي تقوم بتشغيل Yubico Authenticator وجعل YubiKey مقاومًا للمهاجم الفعلي.
تحذير 
: البرنامج الثابت لـ YubiKey ليس مفتوح المصدر وغير قابل للتحديث. إذا كنت تريد ميزات في إصدارات البرامج الثابتة الأحدث، أو إذا كانت هناك ثغرة أمنية في إصدار البرنامج الثابت الذي تستخدمه، فستحتاج إلى شراء مفتاح جديد.
نيتروكي Nitrokey
يحتوي Nitrokey على مفتاح أمان قادر على FIDO2 وWebAuthn يُسمى Nitrokey FIDO2. للحصول على دعم PGP، تحتاج إلى شراء أحد مفاتيحهم الأخرى مثل Nitrokey Start، أو Nitrokey Pro 2، أو Nitrokey Storage 2.
يوضح جدول المقارنة الميزات وكيفية مقارنة نماذج Nitrokey. سيكون لدى Nitrokey 3 المدرج مجموعة ميزات مدمجة.
يمكن تكوين نماذج Nitrokey باستخدام تطبيق Nitrokey.
بالنسبة للنماذج التي تدعم HOTP وTOTP، هناك 3 فتحات لـ HOTP و15 لـ TOTP. يمكن لبعض أدوات Nitrokeys أن تعمل كمدير لكلمات المرور. يمكنهم تخزين 16 بيانات اعتماد مختلفة وتعميتها باستخدام نفس كلمة المرور مثل واجهة OpenPGP.
تحذير : على الرغم من أن Nitrokeys لا تقوم بإصدار أسرار HOTP/TOTP إلى الجهاز المتصل به، إلا أن تخزين HOTP وTOTP غير مُعمّى وهو عرضة للهجمات المادية. إذا كنت تريد تخزين أسرار HOTP أو TOTP، فإني اوصي بشدة باستخدام YubiKey بدلاً من ذلك.
تحذير : إعادة تعيين واجهة OpenPGP على Nitrokey ستؤدي أيضًا إلى عدم إمكانية الوصول إلى قاعدة بيانات كلمات المرور.
يدعم Nitrokey Pro 2 وNitrokey Storage 2 وNitrokey 3 القادم التحقق من سلامة النظام لأجهزة الكمبيوتر المحمولة المزودة بالبرامج الثابتة Coreboot + Heads.
البرامج الثابتة لـ Nitrokey مفتوحة المصدر، على عكس YubiKey. البرامج الثابتة في طرز NitroKey الحديثة (باستثناء NitroKey Pro 2) قابلة للتحديث.
إذا لديك أي سؤال أو استفسار.
إنضم إلى مجموعة أسس لأمن المعلومات والخصوصية الرقمية على: