مشاكل انعدام الأمان وسهولة الاستخدام المرتبطة بكلمات المرور معروفة جيدًا. كلمات المرور هي شيء تعرفه، لذا فهي عرضة للنسيان، وهو أمر يحدث غالبًا. وبالتالي، يُستخدم البريد الإلكتروني على نطاق واسع كاحتياطي لإعادة تعيين كلمات المرور.
البريد الإلكتروني يعاني من مشاكل كثيرة أيضًا. وبشكل مشابه لكلمات المرور، يميل الأشخاص إلى إعادة استخدام نفس عنوان البريد الإلكتروني عبر العديد من الخدمات، مما يخلق خطرًا على الخصوصية إذا تم اكتشاف عنوان البريد الإلكتروني من قبل الخدمة. أصبح من الصعب بشكل متزايد الحصول على عنوان بريد إلكتروني دون تقديم معلومات تعريف شخصية إلى خادم البريد الإلكتروني. كرادع ضد البريد العشوائي (وربما أيضًا لأنه يسهل استهداف الإعلانات على المستخدمين)، تتطلب خدمات البريد الإلكتروني المجانية عادةً تقديم رقم هاتف يمكن ربطه بسهولة بشخص معين. قد لا تتطلب خدمات البريد الإلكتروني المدفوعة رقم هاتف، لكن الدفع مقابل خدمة دون تقديم معلومات تعريف شخصية أمر صعب أيضًا، والاعتماد على اشتراك خدمة البريد الإلكتروني المدفوع عرضة للتغيرات في الظروف المالية. علاوة على ذلك، من الصعب استضافة خادم بريد إلكتروني بشكل موثوق ذاتيًا اليوم. بالإضافة إلى قضايا الخصوصية، فإن المركزية الناتجة عن إعادة استخدام حساب بريد إلكتروني عبر العديد من الخدمات تخلق أيضًا خطرًا أمنيًا لأن اختراق حساب البريد الإلكتروني سيؤدي إلى اختراق العديد من الحسابات الأخرى.
في الوقت الحاضر، لا نحتاج إلى كلمات مرور ولا إلى عناوين بريد إلكتروني للتسجيل أو المصادقة على خدمة. يدعم Discourse بالفعل بروتوكولي FIDO وTOTP، لكنه لا يزال يتطلب كلمة مرور وعنوان بريد إلكتروني للتسجيل والمصادقة. سيكون رائعًا إذا جعلت Discourse كلمات المرور والبريد الإلكتروني اختياريين لصالح FIDO وTOTP.
المصادقة بعامل واحد باستخدام FIDO يمكن أن تكون مريحة للغاية، لكنها عرضة لفقدان أو تدمير رمز FIDO الوحيد، مشابهة لمشكلة التسجيل بكلمة مرور دون عنوان بريد إلكتروني. لحل هذه المشكلة، أقترح أن يُطلب من المستخدمين تقديم عاملين على الأقل عند التسجيل، والتي يمكن أن تكون أي مجموعة من FIDO وTOTP و/أو كلمة المرور. يمكن للمستخدمين الذين يريدون مصادقة خالية من البريد الإلكتروني وكلمات المرور ببساطة تسجيل مصادقين متنقلين FIDO مثل مفاتيح Yubikey. يمكن توجيه المستخدمين (أو حتى إلزامهم، خاصةً المسؤولين) بتسجيل أكثر من الحد الأدنى من عاملين لتجنب فقدان الوصول إلى حساباتهم.
بما أن مصادقات FIDO المدمجة في المنصات تُدمج في المزيد والمزيد من الأجهزة هذه الأيام مع Windows Hello وApple Touch & Face ID وAndroid، فإن نظام التسجيل الخالي من البريد الإلكتروني هذا يمكن أن يكون قابلاً للاستخدام من قبل المستخدمين غير التقنيين الذين لا يملكون أجهزة مصادقة متنقلة متخصصة مثل Yubikey. يمكن للمستخدمين التسجيل باستخدام مصادقة FIDO المدمجة في المنصة بالإضافة إلى كلمة مرور. يمكن أن تعمل المصادقة بعامل واحد باستخدام مصادقة FIDO المدمجة في المنصة بسلاسة مع هذا الإعداد. ومع ذلك، فإن هذا سيخلق مشكلة في سهولة الاستخدام عند المصادقة على أجهزة جديدة لأن المستخدمين لن يكون لديهم مصادقة FIDO المدمجة في المنصة متاحة على جهاز جديد، والاعتماد فقط على كلمة المرور لإعداد جهاز جديد لن يكون آمنًا. لحل هذه المشكلة، أقترح سير عمل مشابهًا لكيفية مصادقة Matrix للعملاء الجدد. يمكن للمستخدم محاولة تسجيل الدخول على جهاز جديد باستخدام مصادقة FIDO المدمجة في المنصة على ذلك الجهاز (عامل جديد) وكلمة المرور الخاصة به (عامل مسجل مسبقًا). لن يؤدي هذا فعليًا إلى تسجيل الدخول، لكنه سيخلق طلبًا للموافقة على مصادق FIDO الجديد في الحساب. بعد ذلك، ستوجه واجهة المستخدم على الجهاز الجديد المستخدم لتسجيل الدخول على جهاز مسجل مسبقًا للموافقة على الجهاز الجديد. مع وجود مصادقات FIDO المدمجة في الأجهزة المحمولة، يمكن أن يكون هذا عمليًا للاستخدام للمصادقة الآمنة دون الحاجة إلى أجهزة مصادقة متنقلة متخصصة أو التضحية بالقدرة على استخدام أي جهاز عابر مثل كشك عام.
لقد ابتكرت نظام التسجيل والمصادقة المجهول هذا بالأمس بعد استلام مفاتيح Yubikey الخاصة بي. لست على علم بأي أنظمة تطبق هذا. سأحب أن أرى تطبيق ويب ناضج ومُوزَّع على نطاق واسع بالفعل مثل Discourse يقود الطريق نحو مستقبل لا يتطلب البريد الإلكتروني أو أي معلومات تعريف شخصية أخرى لاستخدام الإنترنت.
هذا محتمل جدًا. لكن من الصعب تخيل أن أي شخص سيستخدم نظام الدخول الذي تقترحه دون أن يعرف ما هو مدير كلمات المرور. لقد كنت أستخدم مدير كلمات مرور منذ عقد تقريبًا، وأملك مفاتيح FIDO متعددة، وأستخدم Google Authenticator، ولا أفهم تمامًا ما تقترحه.
يبدو غير مرجح أن يُضاف مثل هذا النظام ما لم يرغب عملاء من القطاع التجاري في ذلك على الأقل. أعتقد أن الأمر يتطلب ما لا يقل عن 50 ساعة عمل لشخص لديه معرفة عميقة بنظام المصادقة، وربما ضعف ذلك الوقت مع مواصفات مناسبة. كانت هناك محاولة سابقة لدمج النظام مع Keybase، والذي كان بإمكانه القيام ببعض ما تطلبه، لكنني لا أعتقد أن الأمر تقدم كثيرًا.
فكرة مثيرة للاهتمام، رغم ذلك. ربما يكون الأمر أسهل مما أعتقد.
يمكن لأي شخص يمتلك جهازًا حديثًا يحتوي على مصادق FIDO مدمج استخدام هذا بسهولة تامة. وفي غضون بضع سنوات أخرى، قد يصبح هذا متاحًا للجميع تقريبًا.
لقد قلته في العنوان: اجعل البريد الإلكتروني اختياريًا. وسيكون جعل كلمات المرور اختيارية أمرًا رائعًا أيضًا.
أنا متأكد من أن التنفيذ سيتطلب قدرًا كبيرًا من العمل. أعتقد أن الجزء الأصعب سيكون في جعل تصميم تجربة المستخدم واضحًا تمامًا. فـ Discourse يحتوي بالفعل على المكونات الأساسية اللازمة مع دعم المصادقة الثنائية (2FA) لـ FIDO وTOTP.
خطوة صغيرة أولى نحو تنفيذ ذلك يمكن أن تكون إضافة واجهة المستخدم لتسجيل FIDO وTOTP ضمن واجهة تسجيل الدخول، بحيث لا تكون خطوة إضافية في التفضيلات بعد تسجيل الدخول لأول مرة. لاحقًا، يمكن تحسين تصميم واجهة المستخدم لجعل البريد الإلكتروني وكلمة المرور اختياريين.
يجب أن يكون البريد الإلكتروني اختياريًا. أصبح استخدام البريد الإلكتروني غير موثوق به بشكل متزايد، ومستحيلًا بسبب الاحتكار الكبير لمقدمي خدمات البريد الإلكتروني.
الآن فجأة يقوم Gmail بحظر اسم النطاق الخاص بي.
حتى بعد الإعداد المثالي لجميع أمان البريد الإلكتروني (SPF، DKIM، DMARC، …) لسنوات
ماذا أعني بالمثالي؟ جميع أدوات اختبار وتقارير أمان البريد الإلكتروني تُظهر “100% موافق” و
اسم النطاق لم يكن في أي قوائم بريد عشوائي (spamhouse…) لسنوات أيضًا.
سنستخدم المعلومات التي تقدمها للتحقيق في أنظمة اكتشاف البريد العشوائي وإساءة الاستخدام وتحسينها. للأسف، لا يمكننا تقديم تفاصيل حول نتائجنا أثناء التحقيق أو بعده.
لذلك من المحتمل أن تكون الإجابة مثل “نعم، لقد نظرنا في الأمر، لم نصلحه، المشكلة من جانبك ولكنك لن تشارك أي أمثلة على البريد العشوائي ولن نخبرك ما هي المشكلة”… هذا، إذا كانت هناك أي مشكلة على الإطلاق.
لقد استخدمت نموذج الاتصال هذا على أي حال. يستغرق الرد على البريد أسبوعين، كما قال النموذج في النهاية. هذا يجعل البريد الإلكتروني غير موثوق به إلى حد كبير ومعقدًا للغاية للعمل معه.
إنها ليست تجربتي فقط.
قام العديد من الأشخاص الآخرين بكتابة مدونات حول تجارب مماثلة.
هذه الحيل تأتي بالإضافة إلى جميع الصعوبات التقنية لاستضافة خادم البريد الإلكتروني الخاص بك بنفسك.
هل يمكنك من فضلك جعل البريد الإلكتروني اختياريًا؟
عند التسجيل بعنوان بريد إلكتروني: سيكون استرداد كلمة المرور ممكنًا.
عند التسجيل بدون عنوان بريد إلكتروني: سيكون استرداد كلمة المرور مستحيلاً.
إذا سمح مسؤول الموقع (إعداد اختياري)، قم بتحذير المستخدم ولكن اسمح بالتسجيل بدون عنوان بريد إلكتروني.
الحل السريع والسهل هو استخدام نظام آخر للمصادقة باستخدام Discourse Connect.
تقديري السابق لمدى صعوبة إنشاء نظام خالٍ من البريد الإلكتروني كان خاطئًا بشكل كبير. استخدام معرف آخر مع اسم مضيف not-email.invalid لتلك رسائل البريد الإلكتروني يجب أن يكون قابلاً للتنفيذ. أعتقد أن إضافة تسجيل الدخول باستخدام الإيثيريوم قد تفعل ما تريده، إذا كنت على استعداد لجعل الناس يستخدمون الإيثيريوم، ولكن شيئًا مشابهًا يمكن أن يعمل أيضًا. أنت بحاجة إلى طريقة لإنشاء هوية.
في تجربتي مع تطبيقات الويب المختلفة، لا تواجه روبوتات البريد العشوائي مشكلة كبيرة في إنشاء عناوين بريد إلكتروني Gmail وعناوين بريد إلكتروني أخرى. في موقعي، لا نستبعد أيضًا عناوين البريد الإلكتروني المؤقتة القابلة للتصرف. هناك أيضًا بعض برامج المنتديات الأخرى / المنتديات التي تسمح بالتسجيل بدون عنوان بريد إلكتروني (أو بدون عنوان بريد إلكتروني صالح) وهذا لم يتسبب في أي مشاكل يمكنني رؤيتها. لذلك لا أرى عناوين البريد الإلكتروني كحاجز كبير لتجنب تدفق حسابات الروبوتات / هجمات DOS.
لكنني أرى من أين قد تأتي. قد يتوسع السماح للمستخدمين بالتسجيل بدون عنوان بريد إلكتروني إلى العديد من المشكلات اللاحقة. ماذا لو كان هناك تدفق هائل لهجمات الروبوتات و / أو هجمات DOS حيث يتم إنشاء عدد كبير من حسابات المنتدى؟
في هذه الحالة، ستكون هناك حاجة إلى تدابير لمنع البريد العشوائي. لكن هذه لن تكون خاصة بتلك الحالات من المنتديات التي يكون فيها البريد الإلكتروني اختياريًا مقابل تلك التي يكون فيها البريد الإلكتروني إلزاميًا.
ذلك لأن مرسلي البريد العشوائي لديهم أيضًا في الوقت الحاضر إمكانية الوصول إلى العديد من عناوين البريد الإلكتروني التي تم إنشاؤها أو اختراقها. يمكنهم أيضًا استخدام مزودي البريد الإلكتروني المؤقت. أو شراء / سرقة اسم نطاق وإعداد خادم البريد الإلكتروني الخاص بهم لغرض إعداد المنتديات المزعجة.
ستنشأ نفس الأسئلة من كل من المستخدمين الذين يستخدمون البريد الإلكتروني ولا يستخدمونه. لغرض هذه المناقشة، أسئلة نظرية.
كيف يمكن عرض جميع الحسابات التي تم إنشاؤها منذ X أيام، والتي تم تسجيل الدخول إليها أقل من X دقائق، والتي لديها 0 مشاركة؟ ربما حسابات روبوتات. أريد العثور على كل هذه وحذفها.
كيف يمكن إضافة سؤال مخصص / لغز / كابتشا / أي شيء آخر قبل قبول التسجيل؟
هل يمكن أن تحتوي لوحة تحكم المسؤول على زر سهل يمكن للمسؤولين من خلاله الموافقة / عدم الموافقة بسهولة على عمليات التسجيل الجديدة القادرة على التعامل مع البريد العشوائي للتسجيل الجماعي؟
الآن بعد أن أصبحت مفاتيح المرور سائدة جدًا، تقدم العديد من الخدمات تسجيلًا خاليًا من كلمات المرور حيث لا تضطر أبدًا إلى إنشاء كلمة مرور. إن امتلاك كلمة مرور يتجاوز الفوائد الأمنية لمفاتيح المرور. وبالمثل، فإن استخدام البريد الإلكتروني كطريقة استرداد يعني أن أمان جميع حساباتك يعتمد على أمان حساب بريدك الإلكتروني. إن اشتراط كلمات المرور/البريد الإلكتروني سيء لأمن المستخدم وخصوصيته، ناهيك عن مدى سهولة إنشاء حسابات بريد إلكتروني جديدة. يمكنني القول من واقع الخبرة أن متطلبات البريد الإلكتروني لا تمنع الروبوتات من إرسال رسائل غير مرغوب فيها إلى منتداك على الإطلاق. أحد الأسباب الرئيسية التي دفعت الخدمات تاريخيًا إلى اشتراط البريد الإلكتروني هو أنه يمكنك استرداد حسابك في حالة نسيان كلمة المرور الخاصة بك، ولكن مع مفاتيح المرور، يتم تخزينها في مدير كلمات المرور الخاص بك ومزامنتها عبر الأجهزة. يمكنك حتى إضافة مفاتيح مرور متعددة إلى حساب، مما يقضي تقريبًا على مشكلة نسيان الأشخاص لكلمة المرور الخاصة بهم. إليك بعض الأمثلة للمواقع التي تطبق تسجيلًا خاليًا من كلمات المرور:
يقدم Target التسجيل باستخدام مفتاح المرور فقط مع خيار البريد الإلكتروني/كلمة المرور) ويجبر Discourse على استخدام البريد الإلكتروني أو البريد الإلكتروني عبر SSO. يستخدم Kayak (أنا حقًا لا أحب اسم النطاق هذا، بالمناسبة ) Google SSO فقط، ويوفر Discourse ذلك بالفعل.
إذًا، السؤال المفتوح هنا هو الآن خيار مشابه لما يستخدمه Target، لأن خيار Kayak موجود بالفعل (لن أقتصر التسجيل على مستخدمي Google فقط، ولكن هذا أنا فقط).
ماذا يحدث عندما يغير مستخدم Target، على سبيل المثال، من iPhone إلى Android؟
Kayak يسمح لك بالتسجيل باستخدام مفتاح مرور إذا أدخلت بريدك الإلكتروني. للأسف، لا يزال البريد الإلكتروني مطلوبًا.
يجب مزامنة مفاتيح المرور الخاصة بك مع مدير كلمات المرور الخاص بك حتى تكون متاحة. يمكنك أيضًا إضافة مفاتيح مرور متعددة إلى حساب بحيث يمكنك إنشاء مفتاح جديد بالهاتف الجديد أيضًا. حاليًا، يعملون على جعلها قابلة للتصدير حتى تتمكن من الانتقال بين مديري كلمات المرور بسهولة أكبر.
) Google SSO فقط، ويوفر Discourse ذلك بالفعل.