التعريف
المصادقة الثنائية (2FA) تتطلب نوعين مختلفين من الإثبات لتسجيل الدخول أو اعتماد إجراء ما: عادةً شيء تعرفه (كلمة مرور) إضافة إلى شيء تملكه (هاتف يتلقى رمزاً لمرة واحدة، أو تطبيق مصادقة، أو مفتاح أمان).
أنواع العوامل الثلاثة هي: المعرفة (كلمة المرور، رقم PIN)، والحيازة (الهاتف، مفتاح الأجهزة، التطبيق)، والسمات الذاتية (البصمة، الوجه). والتحقق مرتين بالنوع نفسه، مثل كلمة مرور مع سؤال أمان، ليس مصادقة ثنائية حقيقية. والمصادقة متعددة العوامل (MFA) هي المصطلح العام لعاملين أو أكثر.
تُعدّ رموز OTP المُرسلة عبر قنوات المراسلة أكثر عوامل الحيازة انتشاراً لأنها لا تتطلب تثبيت أي تطبيق. لكنها أضعف من الأساليب القائمة على التطبيقات أو المقاومة للتصيّد: فهناك هجمات تبديل شريحة SIM، وصفحات تصيّد تنقل الرموز لحظياً، وعمليات اعتراض. وتصنّف NIST SP 800-63B رموز OTP المُرسلة عبر شبكة الهاتف العامة (SMS أو مكالمة صوتية) كأداة مصادقة "مقيّدة"، وتطلب من جهات التحقق مراعاة مؤشرات مثل تغيير شريحة SIM أو نقل الرقم قبل استخدامها.
في الخدمات الموجهة للمستهلكين في دول الخليج ومنطقة الشرق الأوسط وشمال أفريقيا، تظل رموز OTP عبر SMS وWhatsApp الخيار العملي الافتراضي للتسجيل وتسجيل الدخول واعتماد المدفوعات؛ وكثيراً ما تطبّق البنوك ومزوّدو خدمات الدفع قواعد أكثر صرامة يضعها البنك المركزي أو الجهة التنظيمية. وفّر خياراً أقوى (تطبيق مصادقة أو مفتاح مرور passkey) للإجراءات عالية المخاطر.
نصائح للتصميم: أرسل العامل الثاني فقط بعد التحقق من صحة كلمة المرور، واربط الرموز بجلسة واحدة وإجراء واحد، ووضّح في الرسالة الغرض من الرمز ("لاعتماد تحويل بقيمة 500 درهم").