ما هو المفتاح السري للمصادقة الثنائية 2FA؟ شرح Base32 و TOTP وروابط otpauth

المفتاح السري لـ 2FA هو سلسلة قصيرة من الحروف والأرقام يحوّلها تطبيق المصادقة إلى الرمز المكوّن من ستة أرقام الذي تكتبه عند تسجيل الدخول. وإذا كان طلبك يتضمّن مفتاحًا كهذا، فهو أهم حقل في السطر بعد كلمة المرور، لكنه أيضًا أكثر حقل يخطئ المشترون في نسخه أو يخلطون بينه وبين شيء آخر. يشرح هذا الدليل ما هذه السلسلة، وكيف يبدو ترميز Base32، وبماذا يختلف المفتاح السري عن الرموز الاحتياطية ومحتوى رمز QR.

ستتعلّم أيضًا كيف تعثر على المفتاح داخل سطر التسليم وتتأكد في ثوانٍ من أنه يعمل، وبذلك تستطيع النظر إلى أي سلسلة في ملفك ومعرفة هل هي المفتاح السري أم رمز احتياطي أم شيء آخر.

ما هو المفتاح السري لـ 2FA وكيف يُنتج رموزًا من ستة أرقام

تُبنى كلمات المرور لمرة واحدة المعتمدة على الوقت (TOTP، المعرّفة في RFC 6238) من عنصرين: سرّ مشترك والوقت الحالي. عند تفعيل 2FA تُنشئ المنصة هذا السر وتحتفظ بنسخة منه، ويحتفظ تطبيق المصادقة لديك بالنسخة الأخرى. وكل 30 ثانية يُجري الطرفان الحساب نفسه على السر والساعة، فيصلان إلى الأرقام الستة نفسها.

ويترتب على ذلك ثلاث نتائج عملية:

• المفتاح السري هو المفتاح الثاني للحساب. كل من يملكه يستطيع إنشاء رموز صحيحة من أي جهاز ما دام إعداد 2FA هذا فعّالًا.
• الرموز لا تُخزَّن في أي مكان. يُعاد حساب كل رمز كل 30 ثانية، لذا فلقطة شاشة لرمز قديم لا قيمة لها.
• الساعة مهمة. إذا كان الجهاز الذي يُنتج الرموز متأخرًا أو متقدمًا بدقيقة أو أكثر عن الوقت الفعلي، فسيُنتج حتى المفتاح الصحيح رموزًا مرفوضة.

Base32: شكل الأحرف وأكثر الأخطاء الإملائية شيوعًا

تُكتب المفاتيح السرية بترميز Base32، وهو أبجدية مكوّنة من 26 حرفًا إنجليزيًا كبيرًا من A إلى Z والأرقام من 2 إلى 7. هذه هي الأبجدية كلها. لا تظهر فيها الأرقام 0 و1 و8 و9 أبدًا، ولا علامات الترقيم. ومثال توضيحي (وليس مفتاح حساب حقيقي) يبدو هكذا: JBSWY3DPEHPK3PXP. وعادةً يتراوح طول المفاتيح الحقيقية بين 16 و32 حرفًا.

ولأن المسموح به 32 رمزًا فقط، يسهل اكتشاف معظم أخطاء الكتابة:

• وجود 0 أو 1 أو 8 في وسط المفتاح يعني أن أحد الأحرف قُرئ خطأً. فالصفر غالبًا هو الحرف O، والرقم 1 غالبًا هو الحرف I أو L، والرقم 8 غالبًا هو الحرف B.
• الأحرف الصغيرة لا تسبب مشكلة عادةً، لأن معظم التطبيقات تحوّلها تلقائيًا.
• علامة "=" واحدة أو أكثر في النهاية هي حشو (padding). تقبل تطبيقات كثيرة المفتاح بوجودها أو بدونها.
• الإضافات غير المرئية مثل مسافة أو فاصل سطر في النهاية تنتقل عند النسخ من ملف نصي، وكثيرًا ما تسبب رسالة «مفتاح غير صالح».

روابط otpauth ورموز QR والمفاتيح النصية

قد يصلك السر نفسه بثلاث صور، والخلط بينها يسبب لبسًا كثيرًا:

• المفتاح النصي. سلسلة Base32 وحدها. تسميه تطبيقات المصادقة مفتاح الإعداد أو مفتاح الإدخال اليدوي.
• رمز QR. صورة تحمل رابط otpauth ليمسحها الهاتف ضوئيًا بدل أن تكتب المفتاح بنفسك.
• رابط otpauth. سطر نصي يشبه otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. القيمة بعد secret= هي مفتاح Base32. أما بقية الأجزاء فهي التسمية والإعدادات مثل الجهة المصدِّرة (issuer) والخوارزمية وعدد الأرقام والمدة.

إذا لم يكن بين يديك إلا صورة QR أو رابط otpauth، فالسر هو النص الذي يلي secret= ويسبق علامة & التالية. تستخدم الإعدادات القياسية SHA-1 وستة أرقام ومدة 30 ثانية، ويفترض التطبيق هذه القيم الافتراضية عندما تكتب السر وحده. أما مسح رمز QR ضوئيًا أو استيراد الرابط الكامل فيطبّق أيضًا أي إعدادات غير افتراضية يتضمنها.

المفتاح السري لـ 2FA والرموز الاحتياطية وبريد الاسترداد

تحمي هذه العناصر الثلاثة الحساب نفسه، لكن لكل منها وظيفة مختلفة تمامًا:

• المفتاح السري لـ 2FA. سلسلة Base32 طويلة الأمد تُنتج رمزًا جديدًا كل 30 ثانية. ولا تتغير إلا عند إعادة ضبط 2FA أو إعداده من جديد.
• الرموز الاحتياطية. رموز لمرة واحدة قد تتيحها المنصة ليوم لا تستطيع فيه الوصول إلى تطبيق المصادقة. يعمل كل رمز مرة واحدة فقط. وهي ليست مفاتيح Base32، لذا لا يستطيع تطبيق المصادقة ولا أداة TOTP استخدامها.
• بريد الاسترداد. صندوق بريد وليس رمزًا. تصله تأكيدات تسجيل الدخول وروابط إعادة التعيين. ويظهر في سطر التسليم كعنوان بريد إلكتروني، وغالبًا تليه كلمة مرور ذلك الصندوق نفسه.

المفتاح السري يُنتج رموزك اليومية، والرموز الاحتياطية هي العجلة الاحتياطية، وبريد الاسترداد هو طريق العودة حين يتعطل شيء آخر. دوّن كل واحد منها على حدة في سجلاتك.

كيف تجد المفتاح في سطر التسليم وتختبره

تصل الطلبات على شكل ملف TXT بأسطر مثل username:password:email:email_password:auth_token، وتختلف الحقول بالضبط حسب الفئة. وعندما تتضمن الفئة مفتاح 2FA يكون حقلًا إضافيًا في السطر. لا تعدّ المواضع بشكل أعمى: اقرأ وصف الفئة ثم قارنه بالسطر الأول في ملفك.

ويمكنك أيضًا التعرّف على الحقول من شكلها:

• المفتاح السري طوله 16 حرفًا أو أكثر، من أحرف كبيرة وأرقام من 2 إلى 7، دون علامات ترقيم.
• auth_token سلسلة سداسية عشرية طويلة. هو رمز جلسة وليس مولّد رموز، ولا يستطيع أن يحل محل المفتاح السري. وللاطلاع على هذه الطريقة راجع تسجيل الدخول إلى تويتر باستخدام auth token.
• كلمات المرور قد تحتوي على نقطتين رأسيتين، ولهذا فإن تقسيم السطر بسذاجة عند ":" يكسره أحيانًا.

وللتأكد من أن كل الأسطر تتبع التخطيط نفسه، الصق عيّنة منها في أداة تحديد الصيغة. ولاستخراج العمود الذي يحمل المفاتيح السرية فقط، استخدم split-by-delimiter.

ثم اختبر المفتاح في ثوانٍ. افتح أداة 2FA المجانية والصق المفتاح، فيظهر رمز من ستة أرقام مع عدّاد تنازلي. إذا أبلغت الأداة أن المفتاح غير صالح، فارجع إلى قائمة الأخطاء الإملائية أعلاه. وإذا ظهر رمز لكن تسجيل الدخول رفضه، فتحقق من ساعة جهازك واتبع ما يجب فعله عندما لا يعمل رمز 2FA.

حفظ المفاتيح السرية بأمان عند إدارة حسابات كثيرة

كثيرًا ما يضم سطر التسليم كلمة المرور والمفتاح السري معًا، فمن يفتح الملف يحصل على العاملين كليهما. لذلك احمِ الملف كله بدل حماية كل حقل على حدة:

• احتفظ بالملف في مجلد خاص واحد بصلاحيات وصول محدودة، وتجنّب تطبيقات الدردشة والمستندات المشتركة ولقطات الشاشة.
• اختبر كل مفتاح بعد التسليم بوقت قصير ودوّن التاريخ بجانب الحساب، لتظهر أي مشكلة مبكرًا.
• سمِّ كل سلسلة بما هي عليه، حتى لا يصل رمز احتياطي يُستخدم مرة واحدة إلى تطبيق المصادقة.
• أحصِ نسخك. تحميل السر نفسه في تطبيق مصادقة ثانٍ نسخة احتياطية معقولة، لكن كل نسخة هي مكان آخر قد يتسرب منه.

ولخطة أوسع اقرأ المصادقة الثنائية وتخطيط الاسترداد، ولمصطلحات الإعلانات راجع قاموس مصطلحات الحسابات. وعند مقارنة فئات مثل Phone Verified Aged Accounts اقرأ الوصف لتعرف ما الذي يحتويه ملف التسليم. وإذا كنت تعتمد على مفتاح 2FA فتأكد من ذلك قبل الطلب، أو اسأل الدعم عبر Telegram.

الأسئلة الشائعة

كيف يبدو المفتاح السري لـ 2FA؟

هو سلسلة من الأحرف الكبيرة من A إلى Z والأرقام من 2 إلى 7، وطولها عادةً بين 16 و32 حرفًا، مثل JBSWY3DPEHPK3PXP في أمثلة التوثيق. وتعرضه بعض المنصات في مجموعات تفصل بينها مسافات أو شرطات.

هل المفتاح السري لـ 2FA هو نفسه الرمز الاحتياطي؟

لا. يُنتج المفتاح السري رمزًا جديدًا كل 30 ثانية ما دام إعداد 2FA هذا فعّالًا. أما الرمز الاحتياطي فهو رمز لمرة واحدة يعمل مرة واحدة فقط، ولا يمكن استخدامه في تطبيق المصادقة.

هل يمكنني تحويل رمز QR إلى مفتاح سري؟

نعم. يحمل رمز QR الخاص بالإعداد رابط otpauth، والمفتاح السري هو القيمة التي تلي secret= في هذا النص. أبقِ هذا النص خاصًا، لأنه حساس بقدر المفتاح نفسه.

لماذا يحتوي بعض المفاتيح على مسافات أو شرطات؟

المسافات لتسهيل القراءة فقط، وغالبًا في مجموعات من أربعة أحرف. إذا رفض التطبيق المفتاح فأزل المسافات والشرطات؛ وتقبلها أداة 2FA المجانية كما هي.

هل يمكن استخدام المفتاح السري نفسه في تطبيقين في الوقت ذاته؟

نعم. أي تطبيق أو جهاز يحمل السر نفسه وتكون ساعته صحيحة سيعرض الرمز نفسه. وهذا مفيد كنسخة احتياطية، لكن كل نسخة هي مكان آخر قد ينكشف فيه السر.