المصادقة الثنائية ورموز الاسترداد

لا يوجد استرداد قائم على الهوية

ابدأ من هنا، لأنه يغيّر الغرض من بقية هذه المقالة. لم نسأل أبدًا عن هويتك. لا يوجد مستند ولا رقم هاتف ولا عنوان فوترة في ملفنا، لذلك لا يوجد إجراء يمكنك من خلاله إثبات أن الحساب يعود لك بعد فقدان الوصول إليه. هذه هي المقايضة التي تفرضها سياسة عدم اعرف هويتك، وهي لا تنحني في أي من الاتجاهين.

رموز الاسترداد هي إجراء الاسترداد. تعامل معها كما لو كانت هي الحساب، لأنها فعليًا كذلك.

تفعيلها

آليتان، يمكن استخدامهما معًا:

• TOTP: الأرقام الستة المألوفة على خطوة مدتها ثلاثون ثانية. أي تطبيق مصادقة يعمل.
• WebAuthn: مفتاح أمان مادي أو مصادق منصة. سجّل اثنين.

بمجرد تفعيلها، يُطلب العامل الثاني عند تسجيل الدخول، وقبل جلسة وحدة تحكم خارج النطاق، وقبل تغيير بريد الحساب الإلكتروني. لا يُطلب لرموز API، فهي بيانات اعتماد منفصلة لها نطاقاتها الخاصة.

التحقق من سر TOTP بنفسك

apt install -y oathtool
oathtool --totp -b JBSWY3DPEHPK3PXP

يجب أن يتطابق الرمز المطبوع مع ما يظهر على هاتفك في نفس الثانية. عندما لا يتطابق، يكون السبب دائمًا تقريبًا هو الساعة وليس السر.

انحراف الساعة

TOTP دالة في الوقت. نقبل خطوة واحدة في كل اتجاه، أي ثلاثين ثانية من السماح: كافٍ للهاتف، وليس كافيًا لخادم ظل قيد التشغيل لمدة عام دون عميل وقت يعمل.

timedatectl status
systemctl status systemd-timesyncd     # Debian
chronyc tracking                       # AlmaLinux

System clock synchronized: yes هو السطر المهم. أصلح الساعة قبل أن تستنتج أن أي شيء آخر معطل.

رموز الاسترداد

عشرة رموز، تُستخدم مرة واحدة، تُنشأ عند تفعيل العامل الثاني. كل رمز يسمح لك بتسجيل الدخول مرة واحدة ثم يصبح ميتًا.

• اطبعها. الورق لا يحتاج بطارية ولا تحديث برمجي ولا شاشة قفل.
• احتفظ بنسخة في مبنى مختلف عن الجهاز الذي تسجل الدخول منه.
• لا تخزنها في مدير كلمات المرور الذي يحتوي كلمة مرور الحساب. هذا يحول العاملين إلى عامل واحد.
• أعد توليد المجموعة بعد استخدام رمز واحد، أو عندما تكون غير متأكد من أن نسخة ما لا تزال خاصة. إعادة التوليد تقتل كل رمز في المجموعة القديمة.

إذا فقدت العامل ولكن لا تزال لديك رموز

سجّل الدخول برمز، وأزل العامل القديم، وسجّل العامل الجديد، وأعد توليد المجموعة. أربع دقائق، بدون تذكرة، بدون انتظار أحد.

إذا فقدت كليهما

الحساب Gone. ليس مغلقًا بانتظار نموذج، وليس معلقًا بينما يراجعه شخص ما — ذهب، مع كل ما يعمل تحته. نحن نفضل كتابة ذلك بوضوح على أن نوحي بوجود مخرج غير موجود، والدعم لا يمكنه إيجاد واحد؛ لا يوجد شيء في جانبنا للتحقق منك بناءً عليه.

التخفيف ممل لكنه يعمل. مفتاحان ماديان، أو مفتاح واحد ومجموعة مطبوعة من الرموز في درج في مكان آخر. ونسخة من أي شيء لا يمكن استبداله حقًا مخزنة في مكان ليس نحن، وهي ممارسة جيدة بغض النظر عن من هو مضيفك.