إعداد المصادقة الثنائية في Olymp Trade

ما تضيفه 2FA إلى الدخول

يحوّل العامل الثاني سرًّا واحدًا إلى متطلبين مستقلّين. فمن يعرف كلمة مرورك يظلّ عاجزًا عن الدخول، لأنه سيحتاج أيضًا إلى الشيء الذي في يدك.

كلمات المرور تفشل بالجملة. تتسرّب من مواقع لا علاقة لها بالأمر، وتُكتب في صفحات مزيّفة، ويعاد استخدامها، ويجرّبها المهاجمون على المنصات المالية بالملايين لأن كلفة المحاولة الواحدة تقارب الصفر. والعامل الثاني يكسر ذلك النموذج تمامًا، لأن قائمة كلمات مرور مسروقة بلا قيمة دون الأجهزة المرافقة لها.

ولنكن واضحين بشأن الوضع على هذه المنصة قبل تطبيق أي من ذلك. فلا واحدة من صفحتي المشغّل العامتين اللتين يمكن الوصول إليهما تصف إعدادات أمان، ولا تذكر المصادقة الثنائية، ولا تسمّي قناة لتسليم الرموز. ولذلك تشرح هذه الصفحة الحماية وتخبرك أين تبحث عنها، بدل وصف ميزة بوصفها موجودة. فإن وجدتها في حسابك، انطبق كل ما تحته. وإن لم تجدها، فالقسم الأخير يغطّي ما تفعله بدلًا من ذلك.

خطوة تحقق ثانية

النمط واحد عبر كل خدمة تعرضه. تدخل كلمة المرور كالعادة، ثم يتوقّف الدخول لإثبات إضافي واحد: رمز رقمي قصير، أو طلب موافقة على هاتف، أو لمسة على مفتاح أمان مادي. ولا تُفتح الجلسة إلا بعد ذلك الإثبات الثاني.

وتأتي القوة من اختلاف العاملين في النوع. فكلمة المرور شيء تعرفه. والثاني شيء تحمله. والمهاجم في أي مكان في العالم يستطيع الحصول على الأول من اختراق؛ أما الحصول على الثاني فيعني عادةً أن يكون قريبًا منك جسديًا.

حماية تتجاوز كلمة المرور

ما يدافع عنه العامل الثاني محدّد ويستحق التسمية، لأنه ليس درعًا عامًا.

• حشو بيانات الاعتماد، حيث تُجرّب هنا كلمات مرور مسرّبة من مواقع أخرى.
• هجمات التخمين على كلمة مرور قصيرة أو معاد استخدامها.
• إعادة استخدام كلمة المرور بين حساب شخصي وحساب تداول.
• كثير من صفحات التصيّد، التي تلتقط كلمة مرور لكنها لا تستطيع استعمالها في الوقت المناسب.

وما لا يدافع عنه يستحق التسمية بالقدر نفسه. فهو لا يفيد إن كانت برمجية خبيثة تعمل على الجهاز الذي تدخل منه، ولا يفيد إن وافقت على طلب لم تبدأه أنت. وهو أيضًا لا يحمي صندوق البريد خلف الحساب، ولهذا يستحق صندوق البريد عاملًا ثانيًا خاصًا به.

متى يُطلب ذلك

تختلف الخدمات في تكرار السؤال. فبعضها يطلب العامل الثاني عند كل دخول. وغيرها يسأل عند جهاز جديد أو متصفح جديد أو موقع جغرافي جديد ثم يتذكّر جهازًا موثوقًا لمدة. وبعضها يسأل مجددًا قبل إجراء حسّاس مثل سحب أو تغيير بريد الحساب، وهي النقطة التي تكون فيها الحماية أثمن ما تكون.

وأيًّا كان النمط الذي تستخدمه منصة، فالطلب غير المتوقّع معلومة. فوصول رمز أو طلب موافقة وأنت لا تسجّل الدخول يعني أن شخصًا آخر يملك كلمة مرورك. لا توافق عليه. غيّر كلمة المرور فورًا وراجع الإرشادات في دليل حماية تسجيل الدخول.

يجعل العامل الثاني كلمة المرور المسروقة عديمة النفع وحدها، وهو أكبر تحسين منفرد متاح لأي صاحب حساب.

تفعيل المصادقة الثنائية

تفعيل عامل ثانٍ يستغرق دقائق ويتّبع الشكل نفسه في كل مكان. والخطوة الوحيدة التي يتخطّاها الناس، وهي حفظ الوصول الاحتياطي، هي الخطوة الأهم لاحقًا.

خصّص عشر دقائق دون مقاطعة واجعل الجهاز الثاني في متناول يدك قبل أن تبدأ. والتسلسل العام يسير كما يلي.

1. ادخل على الموقع الرسمي بكتابة العنوان بنفسك أو باستخدام إشارتك المرجعية.
2. افتح قائمة الحساب واذهب إلى منطقة الأمان في الإعدادات.
3. ابحث عن خيار بشأن المصادقة الثنائية أو التحقق بخطوتين أو أمان الدخول.
4. اختر الطريقة المعروضة إن كان هناك أكثر من واحدة.
5. اتبع خطوة الربط، وقد تعني مسح رمز بتطبيق مصادقة.
6. أدخل الرمز الذي ينتجه العامل الثاني، لتثبت أن الربط يعمل.
7. احفظ أي رموز احتياطية تعطيك إياها المنصة، في مكان خارج الشبكة.
8. انتظر تأكيدًا بأن الإعداد صار فعّالًا.
9. سجّل الخروج وادخل من جديد لترى الطلب يظهر في استعمال حقيقي.

أين تبحث عن إعداد 2FA

تقع خيارات الأمان تحت قائمة الحساب أو الملف الشخصي على منصة الويب، وخلف أيقونة قائمة أو ترس في التطبيقات. والصياغة تختلف: مصادقة ثنائية، تحقق بخطوتين، موافقة على الدخول، أو أمان ببساطة. افحص نسخة المتصفح كما تفحص التطبيق، فالتطبيقات تكشف أحيانًا إعدادات أقل من منصة الويب رغم أن الحساب واحد.

وإن لم يظهر شيء من هذا القبيل في أي مكان، فذلك جوابك في الوقت الحالي، والقسم الأخير من هذه الصفحة يغطّي ما تفعله بدلًا منه. ولا تثبّت أداة من طرف ثالث تدّعي إضافة 2FA إلى حساب؛ فلا شيء خارج المنصة يستطيع إضافة خطوة إلى تسجيل الدخول لديها.

ماذا يتضمّن ربط عامل ثانٍ؟

الربط يعني إنشاء سرّ مشترك بين المنصة والشيء الذي تحمله. ومع تطبيق مصادقة يعني ذلك عادةً مسح رمز مربّع مرة واحدة، وبعدها يولّد التطبيق رموزًا دون أي اتصال بالشبكة. ومع رمز يُرسل إلى عنوان بريد أو رقم هاتف، يكون الربط ببساطة تسجيل المنصة أين ترسله.

وأي هذه تعرضها منصة بعينها سؤال لشاشة إعداداتها هي، ولا يدّعي هذا الاستعراض شيئًا عن المتاح هنا. وإن أُتيح لك اختيار، فتطبيق المصادقة هو الخيار الأقوى عمومًا: فهو لا يعتمد على تسليم البريد، وليس معرّضًا لهجمات نقل رقم الهاتف التي تصيب الرموز المرسلة برسائل.

كيف يُؤكَّد التفعيل عادةً

توقّع أن تطلب المنصة رمزًا واحدًا قبل تشغيل الإعداد. فذلك الفحص يثبت أن الربط يعمل، ولهذا ينبغي ألا تفعّل عاملًا ثانيًا على جهاز أنت على وشك استبداله. وأنهِ الأمر بتسجيل خروج ودخول حقيقيين حتى تكون قد رأيت الطلب مرة في الاستعمال الطبيعي لا أثناء الإعداد فقط.

اجعل الجهاز الثاني معك، واحفظ الرموز الاحتياطية قبل مغادرة الشاشة، واختبر الأمر كله بدخول حقيقي واحد.

استلام الرموز وإدخالها

الرموز قصيرة ومحدودة بالوقت ويسهل كتابتها خطأً تحت الضغط. ومعرفة كيف يعمل التوقيت تزيل معظم الاحتكاك الذي يصادفه الناس في أول عمليات دخول لهم.

لا شيء في هذا القسم يصف آلية تستخدمها هذه المنصة، إذ لا آلية موثّقة. إنه يصف كيف تتصرّف الرموز لمرة واحدة عمومًا، حتى يكون ما تصادفه على شاشة الدخول مفهومًا.

طرق تسليم الرموز

ثلاث عائلات شائعة الاستعمال، وهي غير متساوية في القوة.

وحيث تعرض منصة اختيارًا، يكون الخيار القائم على التطبيق هو الذي يُؤخذ عادةً، وخيار البريد هو الأضعف إن كان صندوق البريد يتشارك كلمة مرور مع أي شيء آخر. وإن كان بريد الحساب هو أيضًا وجهة الرمز، صار صندوق البريد هو أمان الحساب كله، وهذا سبب وجيه لحمايته على حدة.

رموز لمرة واحدة محدودة الوقت

الرموز المولَّدة بتطبيق تدوم عادةً نافذة قصيرة تُقاس بالثواني ثم تتبدّل. والرموز المسلَّمة بالبريد أو الرسائل تدوم عادةً أطول لكنها تظلّ محدودة. وفي الحالتين، الرمز صالح مرة واحدة. وإعادة إدخال رمز استُخدم من قبل تنتج رفضًا يبدو مطابقًا لرفض رمز خاطئ، وهو ما يربك الناس بشدة.

• استخدم أحدث رمز وتجاهل أي رموز أسبق.
• إن كان رمز على وشك التبدّل، فانتظر التالي بدل مسابقته.
• لا ترسل رمزًا إلى أي شخص أبدًا، مهما قال عن صفته.
• عامل رمزًا لم تطلبه علامةً على أن كلمة مرورك معروفة.

أخطاء الإدخال الشائعة

الإخفاقات هنا صغيرة ومتكرّرة. مسافات مُلصقة مع الأرقام. رمزان ظاهران على الشاشة واختيار الأقدم. تطبيق مصادقة على هاتف انحرفت ساعته، ما يجعل كل رمز خاطئًا حتى يُصحَّح الوقت. رمز قُرئ من شريط إشعارات كان قد تجاوزه غيره أصلًا.

وإن ظلّت الرموز تفشل، فافحص إعداد الوقت التلقائي في الهاتف أولًا، لأن انحراف الساعة هو السبب المنفرد الأشيع وهو ينتج فشلًا كاملًا محيّرًا. والمجموعة الأوسع من إخفاقات الدخول مجمّعة في دليل أخطاء الدخول.

استخدم أحدث رمز، ولا تشارك رمزًا أبدًا، وافحص ساعة الهاتف أولًا حين يتوقّف تطبيق المصادقة فجأة عن العمل.

الوصول الاحتياطي والاستعادة

الخطر الواقعي مع عامل ثانٍ ليس مهاجمًا؛ إنه هاتف مفقود. والوصول الاحتياطي هو ما يحوّل ذلك من حساب مقفل إلى إزعاج من خمس دقائق.

خطّط للفقدان في اليوم الذي تفعّل فيه الحماية، لا في اليوم الذي يضيع فيه الهاتف. فكل ما في هذا القسم يستغرق دقائق مسبقًا وأيامًا بعد فوات الأوان.

فقدان العامل الثاني

الهواتف تُستبدل وتُفقد وتسقط ويُعاد ضبطها أكثر بكثير مما تُهاجم الحسابات. وإن كانت الرموز مولَّدة بتطبيق ولم يُنقل التطبيق، فقد ذهبت مع الجهاز، لأن تلك الرموز موجودة على ذلك الهاتف فقط. ورقم هاتف تخلّيت عنه يأخذ معه الرموز المرسلة برسائل بالطريقة نفسها.

والتسلسل الآمن عند استبدال جهاز بسيط ونادرًا ما يُتّبع: بينما الهاتف القديم لا يزال يعمل، أضف الجديد أو عطّل العامل الثاني، وأكمل النقل، ثم أعد تفعيله على الجهاز الجديد. وفعل ذلك بهذا الترتيب لا يكلّف شيئًا. وفعله بعد فوات الأوان يعني إثبات هويتك لفريق دعم.

هل تُعرَض رموز احتياطية، وماذا إن لم تُعرَض؟

تُصدر منصات كثيرة قائمة قصيرة من رموز تُستخدم مرة واحدة عند تفعيل 2FA، وهل تفعل هذه ذلك أمر ستراه على شاشة الإعداد؛ ولا يدّعي هذا الاستعراض شيئًا في أي من الاتجاهين. وإن عُرضت رموز، فاحفظها فورًا، خارج الشبكة، في مكان ليس الهاتف الذي تحمي من فقدانه. ونسخة مطبوعة في درج جواب جيد تمامًا.

وحيث لا تُعرض رموز احتياطية، يكون ملاذك فريق الدعم، فتأكّد أن بيانات الحساب التي سيفحصونها دقيقة الآن. وإن كان عنوان الحساب غير قابل للوصول أو كان الاسم على الحساب لا يطابق وثائقك، فسوِّ ذلك قبل أن تحتاج إليه؛ والإرشادات ذات الصلة في دليل تغيير بيانات الدخول وفي دليل التحقق ووصول الدخول.

عامل ثانٍ بلا احتياطي ليس أمانًا إضافيًا. إنه شيء ثانٍ قادر على إغلاق الباب بينك وبين مالك.

إعادة تأمين الحساب

بعد أي استعادة، أغلق الدائرة بدل التوقّف عند النقطة التي تستطيع فيها الدخول من جديد. غيّر كلمة المرور، وفعّل العامل الثاني على الجهاز الجديد، واحفظ رموزًا احتياطية جديدة، وسجّل الخروج من الجلسات التي لا تعرفها. وإن جاءت الاستعادة بعد اشتباه في اختراق لا بعد هاتف مفقود، فعامل الحساب بوصفه بحاجة إلى مراجعة كاملة وابدأ من دليل الحساب المحظور أو المقفل.

• عيّن كلمة مرور جديدة بدل استعادة القديمة.
• أعد تفعيل العامل الثاني وولّد رموزًا احتياطية جديدة.
• سجّل الخروج من كل مكان وادخل من جديد على الأجهزة التي تحملها فقط.
• تأكّد أن بريد الحساب وأي رقم هاتف مسجّل محدَّثان.

احفظ الوصول الاحتياطي في اليوم الذي تفعّل فيه عاملًا ثانيًا، وانقله إلى هاتف جديد بينما القديم لا يزال يعمل.

موازنة مزايا وعيوب 2FA

تكلّف الخطوة الإضافية ثوانٍ معدودة وتشتري خفضًا كبيرًا في المخاطر. والثقل المقابل الصادق أنها تجعلك معتمدًا على جهاز، وهو أمر يمكن إدارته بمجرد التخطيط له.

الموازنة ليست متقاربة لحساب يحمل مالًا، لكن الكلف حقيقية وتستحق الذكر بوضوح لا التلويح بها بعيدًا.

الراحة مقابل الأمان

يضيف العامل الثاني ثوانٍ قليلة إلى كل دخول، أو أقل إن كانت المنصة تتذكّر جهازًا موثوقًا. وفي المقابل، يزيل فئة الهجوم كاملة التي تبدأ بكلمة مرور مسرّبة، وهي كيف تبدأ معظم عمليات الاستيلاء على الحسابات. ولحساب تداول، المقايضة تستحق.

وهناك فائدة أصغر يقلّل الناس من شأنها. فبمجرد وجود عامل ثانٍ، تكسب صفحة تصيّد التقطت كلمة مرورك أقل بكثير، لأن المهاجم لا يستطيع إتمام الدخول بكلمة المرور وحدها. وهذا لا يجعل التصيّد غير مؤذٍ، والآليات تستحق الفهم في دليل التصيّد وصفحات الدخول المزيّفة، لكنه يرفع كلفة الهجوم كثيرًا.

الاعتماد على الجهاز

الكلفة هي الاعتماد. فوصولك يمرّ الآن عبر هاتف أو صندوق بريد أو مفتاح، وكل منها يمكن أن يُفقد أو يُسرق أو يُعاد ضبطه أو يُترك في بلد آخر. والمسافرون يصادفون هذا أكثر من غيرهم: رقم لا يستقبل رسائل في الخارج، أو هاتف تُرك في البيت، يحوّل دخولًا روتينيًا إلى حالة دعم.

• فضّل تطبيق مصادقة على الرموز المرسلة برسائل إن كنت تسافر.
• احمل الرموز الاحتياطية منفصلة عن الجهاز الذي تحميه.
• أبقِ جهازًا ثانيًا مسجّلًا حيث تسمح المنصة بذلك.
• تأكّد من رقم الهاتف وبريد الحساب قبل أي رحلة طويلة.

لماذا يستحق الإبقاء على الخطوة الإضافية عادةً

يطفئها الناس بعد طلب مزعج واحد ونادرًا ما يعيدون تشغيلها. وإن كانت الطلبات هي المشكلة، فابحث عن خيار جهاز موثوق قبل تعطيل أي شيء، لأن معظم الاحتكاك يأتي من أن تُسأل على جهاز تستخدمه يوميًا لا من الحماية نفسها.

وإن لم يكن الإعداد متاحًا على هذه المنصة إطلاقًا، فالبدائل تستحق أخذها بجدية وهي كلها في يديك: كلمة مرور طويلة فريدة محفوظة في مدير، وعامل ثانٍ على صندوق البريد خلف الحساب، وجهاز بقفل شاشة، وعادة الوصول إلى صفحة الدخول بكتابة العنوان لا باتّباع رابط. وهذه الأربعة معًا تسدّ معظم الفجوة.

ولا شيء من هذا يحتاج أن يُتمرّن عليه على حساب مموّل. فالمشغّل يقدّم حسابًا تجريبيًا مجانيًا فيه 10,000 من الأموال الافتراضية القابلة لإعادة التعبئة، يُوصَل إليه ببيانات الاعتماد نفسها، ما يجعله مكانًا معقولًا للاعتياد على روتين دخول جديد. وتعمل المنصة منذ 2014، وتذكر حدًّا أدنى للإيداع قدره $10 وصفقات من $1، وتفاصيل من هذا النوع مراجَعة على صفحات المشغّل نفسه عند كتابة هذا الدليل. وإن أردت قائمة الوصول كلها على شاشة واحدة، فـالمرجع السريع لمشكلات الدخول يجمعها.

أبقِ العامل الثاني مشغّلًا وعالج الاحتكاك بخيار جهاز موثوق؛ وإن لم تعرض المنصة أيًّا منه، فحصّن كلمة المرور وصندوق البريد بدلًا من ذلك.