جوجل تيتان الأمن مفتاح استعراض حزمة والتصنيف

اتضح أن الأشخاص سيئون جدًا في إنشاء كلمات المرور وتذكرها ، كما أنهم جيدون في ابتكار طرق جديدة لاقتحام أنظمة محمية بكلمة مرور. تهدف Google إلى حل واحدة على الأقل من تلك المشاكل مع حزمة Titan Security Key. يتكون المنتج من جهازين ، عند استخدامهما بشكل صحيح ، يزيد من صعوبة اقتحام الأشرار حساباتك عبر الإنترنت من خلال طلب كلمة مرور ومفتاح مادي لتسجيل الدخول إلى موقع ويب أو خدمة.

كيف تعمل

لا تعد المصادقة الثنائية (2FA) مجرد خطوة ثانية بعد إدخال كلمة مرور - على الرغم من أن هذه هي الطريقة التي يتم بها في الممارسة العملية. بدلاً من ذلك ، يجمع 2FA بين آليتي مصادقة مختلفة (أي العوامل) من قائمة من ثلاثة احتمالات:

• شيء تعرفه ،
• شيء لديك ، أو
• شيء أنت.

كلمة المرور ، على سبيل المثال ، هي شيء تعرفه . من الناحية النظرية ، يجب أن تكون موجودة فقط في رأسك (أو بأمان داخل مدير كلمات المرور). تعد المصادقة البيومترية - مثل عمليات فحص بصمات الأصابع ومسح شبكية العين وتوقيعات القلب وما إلى ذلك - بمثابة شيء أنت فيه. تيتان الأمن مفاتيح ومنتجات مثل ذلك شيء لديك .

يمكن للمهاجم الحصول على كلمة المرور الخاصة بك من مسافة بعيدة ، ربما من خلال البحث عنها في قائمة كلمات المرور من خرق البيانات أو عن طريق إرسال بريد إلكتروني للتصيد يحيلك إلى تسليم كلمة المرور الخاصة بك. ولكن مع 2FA ، سيتعين على هذا المهاجم نفسه الوصول إليك بطريقة شخصية وسرقة مفاتيح Titan الخاصة بك (أو بصمة الإصبع) بالإضافة إلى كلمة مرورك. يمكن القيام بذلك ، لكن الأمر أكثر صعوبة ، فهو يحميك من الغالبية العظمى من الهجمات التي تعتمد على كلمات المرور المسربة أو التي يسهل تخمينها.

هناك العديد من الطرق الأخرى للحصول على الحماية التي توفرها 2FA. ربما يكون التسجيل لتلقي رموز المرور لمرة واحدة عبر الرسائل القصيرة أكثر الطرق شيوعًا ، ولكن استخدام أداة مصادقة Google والخدمات مثل Duo هي بدائل شائعة لا تتطلب تلقي رسالة SMS.

ولكن يمكن سرقة الهواتف ، ويبدو أن سحب بطاقات SIM شيء نحتاج إلى القلق بشأنه الآن. هذا هو السبب في أن الأجهزة المادية مثل مفاتيح Titan جذابة للغاية. إنها بسيطة وموثوقة ، وقد اكتشفت Google أن نشرها داخليًا أدى إلى محو هجمات التصيد والاستيلاء على الحساب.

ماذا في الصندوق؟

بداخل Titan Security Key Bundle ليس جهازًا واحدًا ، بل هو جهازان: مفتاح نحيف ، USB وفوب يعمل بتقنية Bluetooth. كلاهما مصبوب من البلاستيك الأبيض الأنيق وله شعور لطيف ومتين. يجعل مفتاح USB ، على وجه الخصوص ، صوتًا مُرضيًا للغاية عند رميه على طاولة. لقد فعلت هذا عدة مرات فقط من أجل به.

يحتوي مفتاح Bluetooth على زر واحد وثلاثة مؤشرات LED لإظهار المصادقة واتصال Bluetooth ، وهو إما يشحن أو يحتاج إلى تكلفة. منفذ USB صغير واحد في الأسفل مخصص لشحن و / أو توصيل مفتاح Bluetooth بالكمبيوتر. يكون مفتاح USB مسطحًا مع وجود قرص ذهبي على جانب واحد ، مما يكتشف نقرتك ويكمل المصادقة. لا يحتوي جهاز مفتاح USB على أجزاء متحركة ولا يحتاج إلى بطاريات. وفقًا لـ Google ، فإن كلا الجهازين مقاوم للماء ، لذلك قد ترغب في إبقائه خارج حوض السباحة.

الغرض من كلاهما وضعه على سلسلة مفاتيح والاحتفاظ بها على شخصك (أو في متناول اليد) ، مما يعني أن النهاية البيضاء الجميلة قد تثبت المسؤولية. من المؤكد أن الخشن حول سلسلة مفاتيح من شأنه أن يضع بعض البلى بشكل ملحوظ على أجهزة Titan الأصلية. أنا أستخدم Yubico YubiKey 4 منذ عدة سنوات ، وبدأت تبدو جميلة على الرغم من كونها مصنوعة من البلاستيك الأسود. في وقتي القصير في اختبار مفاتيح Titan ، بدأ موصل USB-A بالفعل في الظهور قليلاً.

يوجد أيضًا في المربع بعض الإرشادات المصممة بأناقة - وإن كانت غامضة بعض الشيء - إلى جانب كابل USB صغير إلى USB-A ومحول USB-C إلى USB-A. يشحن Micro USB مفتاح Titan Bluetooth ، والذي ، على عكس مفتاح USB ، يمكن تشغيله. تومض مؤشر البطارية باللون الأحمر عندما يحين وقت إعادة الشحن. لا يتطلب مفتاح Titan USB ، مثل YubiKey ، بطارية. يمكنك أيضًا استخدام محول micro USB وهو توصيل مفتاح Bluetooth الخاص بك بجهاز كمبيوتر ، حيث يمكن أن يعمل بنفس الطريقة مثل مفتاح Titan USB.

يتوافق كل من مفاتيح Bluetooth و USB-A مع معيار FIDO Universal ثنائي العامل (U2F). هذا يعني أنه يمكن استخدامها كخيار 2FA بدون برامج إضافية. هذا هو البروتوكول الوحيد الذي تدعمه مفاتيح Titan ، مما يعني أنه لا يمكن استخدامها لأغراض المصادقة الأخرى.

عندما تم الإعلان عن مفاتيح Titan للمرة الأولى ، اكتشف أحد الصحفيين أن مكونات مفتاح Bluetooth على الأقل كانت من مصنع صيني. أكدت Google لي أن الشركة تتعاقد مع طرف ثالث لإنتاج مفاتيح مواصفات الشركة. ينظر البعض في الدوائر الأمنية إلى هذا على أنه خطر محتمل ، بالنظر إلى أن الصين متهمة بتنفيذ هجمات رقمية على المؤسسات الأمريكية. ومع ذلك ، في رأيي ، إذا كنت لا تثق في Google للتدقيق بشكل صحيح في شركائها من الأجهزة ، فمن المحتمل أنك لا تثق في Google بما يكفي لاستخدام منتجات الأمان الخاصة بها في المقام الأول ، ويجب أن تبحث في مكان آخر.

تحويل المفتاح

قبل أن يتم استخدام مفاتيح Titan ، يجب أولاً تسجيلهم في موقع أو خدمة تدعم FIDO U2F. من الواضح أن Google تفعل ذلك ، ولكن كذلك Dropbox و Facebook و GitHub و Twitter وغيرها. نظرًا لأن مفاتيح Titan هي منتج من منتجات Google ، فقد بدأت بإعدادها لتأمين حساب Google.

يعد إعداد مفاتيح Titan بحسابك في Google أمرًا سهلاً. توجه إلى صفحة 2FA من Google ، أو تفضل بزيارة خيارات أمان حساب Google الخاص بك. قم بالتمرير لأسفل إلى إضافة مفتاح أمان ، وانقر فوق ، ويطالبك الموقع بإدخال مفتاح الأمان USB الخاص بك والنقر فوقه. هذا هو! يتطلب تسجيل مفتاح Bluetooth فقط الخطوة الإضافية المتمثلة في توصيله بجهاز الكمبيوتر الخاص بك عن طريق كابل micro USB المرفق.

بمجرد التسجيل ، ذهبت لتسجيل الدخول إلى حسابي في Google. بعد إدخال كلمة المرور الخاصة بي ، تمت مطالبتي بإدخال مفتاح الأمان الخاص بي والنقر فوقه. يؤدي توصيل مفتاح USB بمنفذ إلى مطالبة مؤشر LED الأخضر بالوميض مرة واحدة. يضيء مصباح LED بشكل ثابت عند تقديمك بطلب للاستفادة من المفتاح.

عندما اختبرت باستخدام حساب جديد لم يستخدم 2FA ، طلبت Google أولاً إعداد رموز مرور SMS لمرة واحدة. يمكنك إزالة رموز الرسائل القصيرة إذا كنت تفضل ذلك ، ولكن التسجيل في برنامج 2FA من Google يتطلب استخدام رموز SMS على الأقل أو تطبيق Google Authenticator أو إشعار دفع مصادقة Google المرسلة إلى جهازك. هذا بالإضافة إلى خيارات خيارات 2FA الأخرى التي تحددها. يرجى ملاحظة أن مفتاح Google Titan لا يتطلب تشغيل الرسائل القصيرة أو أي خدمة أخرى ، ولكن العديد من الخدمات (بما في ذلك Twitter) تشجعك على التحقق من رقم الهاتف لإثبات أنك شخص حقيقي.

إذا حددت عدة خيارات 2FA ، يمكنك اختيار الخيار الذي يناسبك في سيناريو معين. إنها لفكرة جيدة أن يكون لديك طريقة مصادقة احتياطية ، في حالة فقد مفاتيحك أو تعطل هاتفك. تعتبر إعلامات SMS جيدة ، لكني أستخدم أيضًا المفاتيح الورقية ، وهي سلسلة من رموز الاستخدام لمرة واحدة. هذه الرموز مدعومة على نطاق واسع ويمكن تدوينها أو تخزينها رقميًا (ولكن نأمل أن تكون مشفرة!). ومع ذلك ، لاحظت أنه لإجراء تغييرات على إعدادات 2FA الخاصة بي بعد أن قمت بتسجيل مفتاح Titan الخاص بي ، كان فقط ودفع الإخطارات إلى هاتفي عبر تطبيق Google مصادقة مقبولة.

وفقًا للمربع ، فإن مفتاح Titan ومفتاح Bluetooth متوافقان مع NFC ، لكنني لم أتمكن من جعلهما يعملان بهذه الطريقة. عندما طُلب منك استخدام جهاز 2FA على هاتف Android ، اتبعت الإرشادات وقمت بضغط المفتاح على الجزء الخلفي من الهاتف ، ولكن دون جدوى. أكدت Google لي أن الأجهزة قادرة على استخدام تقنية NFC ، ولكن سيتم إضافة هذا الدعم إلى أجهزة Android في الأشهر القادمة.

لم أواجه أي مشكلة في تسجيل الدخول إلى حسابي على Google على جهاز Android باستخدام مفتاح Bluetooth. مرة أخرى ، طُلب مني تقديم مفتاحي بعد إدخال كلمة المرور الخاصة بي. يتيح لي خيار في أسفل الشاشة الاختيار باستخدام أداة مصادقة NFC أو USB أو Bluetooth. عندما قمت بتحديد Bluetooth في المرة الأولى ، طُلب مني إقران مفتاح Bluetooth بالهاتف. تمت معالجة معظم هذا تلقائيًا بواسطة Google ، رغم أنني اضطررت إلى إدخال الرقم التسلسلي في الجزء الخلفي من مفتاح Bluetooth. تسجيل الجهاز بهذه الطريقة ، يجب القيام بذلك مرة واحدة فقط ؛ في كل مرة تحتاج فقط إلى النقر فوق زر مفتاح Bluetooth لمصادقة نفسك. ومن المثير للاهتمام ، أنني لم أر مفتاح Bluetooth في قائمة الهاتف الخاصة بأجهزة Bluetooth الحديثة ، لكنه لا يزال يعمل بشكل جيد.

فقط من أجل التحقق من ذلك ، حاولت أيضًا تسجيل الدخول باستخدام محول USB-C المرفق ومفتاح أمان USB. هذا يعمل كالسحر.

بالإضافة إلى نظام تسجيل الدخول 2FA ، تقدم Google أيضًا برنامج الحماية المتقدمة للأفراد الذين قد يكونون معرضين لخطر الهجوم بشكل خاص. لم أجرب "الحماية المتقدمة" في الاختبار الذي أجريته ، لكنه يتطلب بشكل خاص جهازين مفتاحين للأمان ، لذلك فإن Titan Security Key Bundle جاهز للعمل مع نظام تسجيل الدخول هذا أيضًا.

يجب أن تعمل مفاتيح Titan مع أي خدمة تدعم FIDO U2F. يعد Twitter أحد الأمثلة على ذلك ، ولم أواجه أي مشكلة في تسجيل مفتاح Titan USB في Twitter ، أو استخدامه لتسجيل الدخول لاحقًا.

كيف يقارن جوجل تيتان مفتاح الأمن

هناك قائمة متزايدة من أجهزة مصادقة الأجهزة التي تقارن مع Titan Security Keys ، ولكن من المحتمل أن تكون الشركة الرائدة في هذا القطاع هي خط Yubico لمنتجات YubiKey. هذه مطابقة تقريبًا لمفتاح Titan USB-A: البلاستيك النحيف الوعرة والمصمم للجلوس على حلقة مفاتيح مع مؤشر LED أخضر صغير وقرص ذهبي يسجل لمسة مع عدم وجود أجزاء متحركة.

على الرغم من أن Yubico لا يقدم أي شيء مثل مفتاح Titan Bluetooth ، إلا أنه يحتوي على العديد من عوامل الأشكال المختلفة للاختيار من بينها. على سبيل المثال ، تشتمل سلسلة YubiKey 4 على مفتاحين من الحجم المماثل لمفتاح Titan USB: YubiKey 4 و YubiKey NEO ، اللذين تم تمكين NFC. يوفر Yubico أيضًا مفاتيح USB-C ، والتي تعمل مع أي جهاز يستخدم هذا المنفذ الخاص ، دون الحاجة إلى محول.

إذا لم تكن المفاتيح هي أسلوبك ، فيمكنك اختيار YubiKey 4 Nano أو جهاز USB-C الخاص به ، وهو YubiKey 4C Nano. تعد الأجهزة التي تتميز بأسلوب النانو أصغر بكثير - فقط 12 ملم في 13 ملم - وهي مصممة لتترك في أعماق منافذ جهازك.

كل أجهزة YubiKey 4 أعلاه تكلف ما بين 40 دولارًا و 60 دولارًا ، وهذا لمفتاح واحد فقط. ومع ذلك ، فهذه كلها أجهزة متعددة البروتوكولات ، مما يعني أنه لا يمكنك استخدامها فقط كأجهزة FIDO U2F ، ولكن أيضًا لاستبدال البطاقة الذكية لتسجيل الدخول إلى الكمبيوتر وللتوقيعات المشفرة ولصفيف من الميزات الأخرى. بعضها متاح من خلال برنامج العميل الاختياري الذي توفره Yubico. يتيح لك هذا تغيير ما يقوم به YubiKey وكيف يتصرف ، ومن المؤكد أنه سوف يدغدغ أي روايات أمنية. تدعم مفاتيح Titan فقط U2F ومعيار W3C WebAuthn ، وليست هناك برامج عميل مرتبطة لتغيير وظائفها.

YubiKey الأقل تكلفة هو أيضًا الذي يبدو أنه الأقرب في وظائف مفتاح Google Titan. يعمل مفتاح الأمان الأزرق من Yubico في أي مكان يتم فيه قبول U2F ، لكنه لا يدعم البروتوكولات الأخرى مثل سلسلة YubiKey 4. كما يدعم بروتوكول FIDO2. لا يحتوي مفتاح Bluetooth على حزمة Google Titan ، ولكنه يكلف أيضًا أقل من النصف عند 20 دولارًا فقط.

على الرغم من أن منتجات Yubico تتمتع بالقدرة التكنولوجية ودائمها على الأقل مثل مفتاح Titan ، فإن ضعف الشركة يفسر أي من مفاتيحها تفعل ماذا وأين يتم دعمها. يحتوي موقع Yubico على العديد من الرسوم البيانية المذهلة المليئة بالاختصارات التي تجعل حتى عيناي تزولان. من ناحية أخرى ، فإن مفاتيح Titan تفضل البساطة الشبيهة بأبل وسهولة الاستخدام.

هناك حلول البرمجيات ل 2FA كذلك. لقد ذكرت الثنائي ، وتقدم كل من Google و Twilio Authy أيضًا رموزًا لمرة واحدة عبر التطبيقات ، كما يفعل LastPass من خلال تطبيق مخصص. تعد مصادقة البرامج مفيدة ، وربما تكون أكثر ملاءمة إذا كان هاتفك دائمًا في متناول يديك. لكن الأجهزة 2FA مثل مفتاح Titan أكثر دواما من الهاتف ، ولا تنفد الطاقة ، ولا تتطلب سوى نقرة واحدة بدلاً من إدخال رموز لمرة واحدة يتم إنشاؤها بواسطة تطبيق. يعد الهجوم على مفتاح الجهاز أكثر صعوبة من تطبيق يعمل على هاتفك ، على الرغم من أن الهواتف آمنة جدًا هذه الأيام. في النهاية ، من المرجح أن يعود الاختيار بين جهاز أو حل 2FA إلى التفضيل الشخصي.

مشكلة الدعم

على الرغم من الاسم ، فإن الدعم القياسي لـ FIDO Universal ثنائي العامل بعيد عن كونه عالميًا. لاستخدام مفاتيح Titan الخاصة بك مع حسابات Google أو Twitter ، تحتاج إلى تسجيل الدخول عبر Chrome. لا حظ مع فايرفوكس (في الوقت الحالي). كان الشيء نفسه صحيحًا عندما استخدمت مفتاح Titan مع Twitter.

لقد استخدمت YubiKey لحماية حساب LastPass الخاص بي لسنوات ، وفوجئت برؤية مدير كلمة المرور الذي اخترته لا يدعم مفاتيح Titan. حتى مع YubiKey الخاص بي ، لا يمكنني استخدامه إلا كمصادق عامل ثاني لحساب Google الخاص بي عبر Chrome.

يحتاج المطورون والأشخاص الذين يقفون وراء FIDO إلى العمل بشكل أقرب لتقديم دعم أوسع لكل من Titan و YubiKey و U2F عمومًا. لم أجد بعد البنك الذي يقبل الأجهزة 2FA ، على سبيل المثال. من المحبط محاولة تسجيل مفتاح الأمان الخاص بك وتسجيله في خدمة ما ، فقط لإيجادك في المستعرض الخطأ ، أو أن مفتاح الأمان المحدد هذا غير مدعوم من قبل الخدمة. بدون دعم أوسع ، لن يتم استخدام هذه الأجهزة كثيرًا وستعمل على الأرجح على إرباك المبتدئين أكثر من المساعدة.

صناعة تيتان

تحتوي حزمة أمان Google Titan Key Bundle على كل ما يلزم لتأمين حساب Google الخاص بك من سرقة كلمة المرور والتصيد ومجموعة متنوعة من الهجمات الأخرى. يعد الإعداد سهلاً ، وغالبًا ما يكون توصيل المفتاح أو النقر على جهاز Bluetooth أسهل من البحث عن رمز لمرة واحدة من أحد التطبيقات (وربما تخطئ في كتابته). يقدم مفتاح Bluetooth مسؤولية أمنية نظرية صغيرة من حيث أنه ينقل لاسلكيًا ، ولكن ما يثير القلق أكثر هو أن بطاريته قد تموت ببساطة.

باستخدام هذين الجهازين ، تكون جاهزًا لتأمين حساب Google وأي خدمة مدعومة أخرى. تم الحصول على علامة سعر $ 50 جيدًا من خلال جهازي ذكي متين. لن تخطئ في هذه. يستغرق الأمر أعلى الدرجات ، لكننا نحتفظ بجائزة اختيار المحررين لهذه الفئة حتى نتمكن من مراجعة المزيد من المنتجات المنافسة.