Passkeys مقابل FIDO2: مقارنة متعمقة للمصادقة الآمنة بدون كلمات مرور

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

قارن بين Passkeys ومفاتيح الأمان FIDO2 للمصادقة بدون كلمات مرور ومقاومة للتصيد الاحتيالي، مع WebAuthn وMicrosoft Entra ID والاسترداد والنشر على مستوى المؤسسات.

Automatically translated with AI from the original post. Read the English original

Titelbild: Passkeys vs FIDO2: In-Depth Comparison for Secure, Passwordless Authentication

يتطلب الاختيار بين passkeys وFIDO2 قراراً واضحاً وعملياً يستند إلى سيناريو المستخدم ومتطلبات الأمان وبيئة Microsoft 365. ابدأ بالنتيجة المطلوبة، وتحقّق من أحدث إرشادات Microsoft، واختبر الحل مع مستخدمين يمثّلون الفئات المستهدفة، ووثّق المسؤولية عن الحل قبل تطبيقه على نطاق واسع.

قائمة تحقق عملية لاختيار passkeys أو FIDO2

حدّد سيناريو العمل والمسؤول المعني.
تحقّق من التصميم من خلال تجربة تجريبية تمثّل المستخدمين الفعليين.
راجع آثار الأمان والوصول والدعم.

راجع Microsoft Learn للحصول على أحدث الإرشادات حول المنتجات.

آخر مراجعة: يوليو 2026.

أصبح تأمين الحسابات الرقمية دون عناء كلمات المرور، ودون المخاطر المرتبطة بها، المعيار الذهبي الجديد. إذا كنت تبحث عن مصادقة حديثة لنفسك أو لمؤسستك، فمن الصعب ألا تسمع عن FIDO2 وpasskeys. يتردد هذان المصطلحان كثيراً، لكن ما معناهما فعلياً، وكيف يقارنان أنفسهما من حيث الأمان الواقعي وسهولة الاستخدام ومتطلبات النشر، لا سيما في البيئات التي تعتمد على Microsoft بشكل كبير؟

يشرح هذا الدليل الأساسيات: كيف يعمل FIDO2 وpasskeys، وما الذي يميّز أحدهما عن الآخر، ولماذا يغيّران طريقة تسجيل الدخول عبر الأجهزة وخدمات السحابة. ستجد نصائح عملية حول نماذج التهديد والامتثال وتجربة المستخدم، وتفاصيل دقيقة حول إعداد مصادقة بدون كلمات مرور تصمد فعلاً في الاستخدام. سواء كنت تدير Microsoft 365 أو تشرف على تقنية المعلومات في مؤسستك، أو كنت تريد حسابات يصعب على المهاجمين العبث بها، فأنت في المكان المناسب.

ما هي FIDO2 وpasskeys؟

FIDO2 معيار مفتوح للمصادقة بدون كلمات مرور، طوّرته FIDO Alliance وconsortium الشبكة العالمية W3C. هدفه الأساسي هو تمكين المستخدمين من تسجيل الدخول بأمان دون كلمات مرور، باستخدام التشفير بالمفتاح العام. ويقوم FIDO2 على بروتوكولين رئيسيين: WebAuthn (للمواقع والتطبيقات) وCTAP (للتواصل مع أدوات المصادقة مثل الهواتف ومفاتيح الأجهزة).

Passkeys هي تطبيق سهل الاستخدام لمعيار FIDO2. وبعبارة مبسطة، فإن "passkey" هي في جوهرها بيانات اعتماد FIDO2 يديرها نظام التشغيل على جهازك نيابةً عنك، مثل iCloud Keychain من Apple، أو Google Password Manager، أو Credential Manager من Microsoft. تحلّ passkeys محل كلمات المرور المستقلة، إذ يمكنك تسجيل الدخول بفتح قفل جهازك أو باستخدام القياسات الحيوية مثل Face ID وTouch ID أو Windows Hello.

والأهم من ذلك: رغم أن جميع passkeys تعتمد على FIDO2 في جوهرها، فليست كل بيانات اعتماد FIDO2 تُسوَّق على أنها "passkey". وغالباً ما توفر passkeys ميزات راحة إضافية، مثل مزامنة الأجهزة أو الاسترداد السهل، لكن الآليات التشفيرية التي تستخدمها، أي المفاتيح العامة والخاصة، واحدة. فكلمات المرور التقليدية أسرار تحفظها في ذاكرتك، أما FIDO2 وpasskeys فتحتفظ بالسر (المفتاح الخاص) مقفلاً على جهازك، ولا تُرسل إلى الخادم سوى إثبات على امتلاكه، دون المفتاح نفسه أبداً.

لتلخيص الأمر: يوفّر FIDO2 مجموعة الأدوات المعيارية، بينما تضع passkeys هذه الأدوات في جيبك أو على حاسوبك المحمول أو في السحابة، مع وعد بتسجيل دخول بدون كلمات مرور ومقاوم للتصيد الاحتيالي.

إلغاء كلمات المرور وتحقيق مقاومة التصيد الاحتيالي

الهدف الرئيسي من FIDO2 وpasskeys ليس مجرد تسهيل تسجيل الدخول، رغم أن ذلك ميزة مرحّب بها. الهدف الحقيقي هو التخلّي أخيراً عن كلمات المرور، المعروفة بضعفها أمام التصيد الاحتيالي وهجمات إعادة الاستخدام والتخمين بالقوة الغاشمة. مع FIDO2 وpasskeys تقوم المصادقة على التشفير بالمفتاح العام: لا تُرسل ولا تُخزَّن أي كلمة مرور يمكن للمهاجم أن يصطادها أو يسرقها.

تبدأ عملية تسجيل الدخول بفتح قفل جهازك، مثل بصمة الإصبع أو مسح الوجه أو رمز PIN للجهاز. ثم يُثبت جهازك، تشفيرياً، امتلاكه للمفتاح الخاص، بطريقة لا تعمل إلا مع الخادم الصحيح (ويُسمّى الطرف المعتمِد أو relying party)، ولا يرسل مفتاحك عبر الشبكة أبداً. وحتى لو خدعك متسلل بموقع مزيف، فلن يعمل المفتاح لأنه مرتبط بأصل الموقع الحقيقي.

يجعل هذا النهج هجمات التصيّد التقليدية، مثل سرقة بيانات الاعتماد عبر مواقع مزيفة تشبه الأصلية، شبه غير مجدية. فلا توجد كلمة مرور يمكن سرقتها وإعادة استخدامها في مكان آخر، ولا يستطيع المهاجمون إعادة تشغيل بيانات الاعتماد المسروقة لأن كل عملية تسجيل دخول تستخدم تحدياً جديداً. كما أن هجمات حشو بيانات الاعتماد، التي يستخدم فيها المهاجمون كلمات مرور مسرّبة لتنفيذ عمليات تسجيل دخول جماعية، لا تعود ذات جدوى مع مفاتيح المرور.

لا تتجه المؤسسات إلى هذا النهج لأسباب أمنية تقنية فحسب، بل لأسباب تتعلق بالامتثال والأعمال أيضاً. فمن خلال نشر FIDO2 ومفاتيح المرور، خاصة إلى جانب أدوات مثل Microsoft Defender for Office 365 وMicrosoft Purview for data governance، يمكن للشركات حجب فئة كاملة من الهجمات القائمة على بيانات الاعتماد دون زيادة العبء على المستخدمين.

كيف تعمل مصادقة FIDO2 من الداخل

لفهم سبب كون FIDO2 أكثر أماناً بكثير من طرق تسجيل الدخول التقليدية، من المفيد إلقاء نظرة داخل هذا الصندوق الأسود. يقوم FIDO2 في جوهره على استخدام التشفير بالمفتاح العام لإثبات هويتك لخدمة ما، دون كشف الأسرار التي تفتح حساباتك فعلياً.

عند إعداد تسجيل دخول FIDO2 (أو تسجيل مفتاح مرور)، يولّد جهازك زوجاً فريداً من المفاتيح: مفتاح عام وآخر خاص. يُرسل المفتاح العام إلى الخدمة التي تريد تسجيل الدخول إليها، بينما لا يغادر المفتاح الخاص جهازك أبداً. في كل عملية تسجيل دخول، يطلب الخادم من جهازك إثبات امتلاكه المفتاح الخاص، عادةً عبر توقيع قيمة عشوائية، ثم يتحقق من النتيجة باستخدام المفتاح العام المخزَّن لديه.

يعتمد كل ذلك على تخزين محكم وتحقق من المستخدم، أي أن مفتاحك الخاص محفوظ في بيئة آمنة معزولة (Secure Enclave) ولا يمكن الوصول إليه إلا عند فتح جهازك أو تقديم بياناتك البيومترية. وهذا سبب رئيسي في انتشار FIDO2 ومفاتيح المرور بقوة في الأنظمة القادرة على فرض أمان مدعوم بالعتاد، مثل Microsoft Windows وApple macOS/iOS وAndroid.

سنتناول بالتفصيل كيفية عمل مراحل التسجيل والمصادقة، وكيفية حماية بيانات اعتمادك وربطها بجهازك، في الأقسام القادمة.

شرح مراحل تسجيل المصادقة وتنفيذها في FIDO2

التسجيل: عند التسجيل لأول مرة في خدمة باستخدام FIDO2، يُنشئ جهازك زوج مفاتيح تشفير جديداً. يُرسل المفتاح العام إلى الخدمة (الطرف المعتمِد)، بينما يبقى المفتاح الخاص على جهازك.
الإقرار: قد يثبت الجهاز للخدمة أنه أداة مصادقة شرعية من خلال تقديم شهادة إقرار (Attestation)، بما يضمن أن بيانات الاعتماد أُنشئت داخل عتاد آمن.
المصادقة: عند تسجيل الدخول، ترسل الخدمة تحدياً فريداً. يوقّع جهازك هذا التحدي بالمفتاح الخاص، بعد التحقق من المستخدم عبر رقم PIN أو بصمة الإصبع أو غيرها.
التحقق على الخادم: يُعاد التحدي الموقّع إلى الخادم، حيث يُتحقق منه باستخدام المفتاح العام المخزَّن. فإن كان صحيحاً، يُسمح لك بالدخول؛ لا تُتبادل أي أسرار، ولا يوجد شيء قابل للتصيّد.

التخزين الآمن وربط الجهاز لمفاتيح المرور

الأمان المدعوم بالعتاد: تُخزَّن مفاتيح المرور وبيانات اعتماد FIDO2 غالباً داخل عتاد آمن مخصص، مثل وحدات TPM (Trusted Platform Modules) أو Secure Enclave من Apple أو شريحة Titan M من Google. ويعزل ذلك مفاتيحك عن بقية الجهاز، مما يجعل الهجمات أصعب بكثير.
المصادقة بالبيانات البيومترية أو رقم PIN: لاستخدام مفتاح المرور، يجب فتحه، عادةً عبر طريقة بيومترية أو رقم PIN الخاص بالجهاز. ولا تغادر البيانات البيومترية العتاد أو تُرسل إلى الخدمة عبر الإنترنت أبداً، مما يحافظ على خصوصية مؤشرات هويتك.
ربط الجهاز: يرتبط زوج المفاتيح التشفيرية بجهازك المادي، وليس بحسابك على الإنترنت فقط. وهذا يعني أن المهاجم المحتمل يجب أن يخترق جهازك ويتجاوز الحماية المحلية للدخول.
حماية تصدير المفاتيح ومزامنتها: بالنسبة للمنصات التي تزامن مفاتيح المرور بين الأجهزة (مثل iCloud Keychain أو Google Password Manager)، تُشفَّر بيانات الاعتماد من طرف إلى طرف. ولا يمكن لأجهزتك المصرّح بها فقط، بعد المصادقة المناسبة، قراءة مفاتيح المرور أو استخدامها.
أمان دورة الحياة: يمكن للأجهزة مسح بيانات الاعتماد بشكل آمن عند إعادة ضبطها أو سحبها من الخدمة. يمكن للمؤسسات فرض الوصول المشروط والحوكمة من خلال حلول مثل Microsoft Entra ID وسياسات الوصول المشروط للتحكم في استخدام بيانات الاعتماد ومعالجة حالات الاختراق.

مقارنة بين مفاتيح المرور المتزامنة والحلول المرتبطة بالبرنامج

ليست كل مفاتيح المرور متساوية. بمجرد إعداد المصادقة بدون كلمة مرور، ستلاحظ بسرعة الفروق في طريقة إدارة بيانات الاعتماد الخاصة بك، وأهمها ما إذا كانت تتم مزامنتها عبر أجهزتك من خلال السحابة، أم أنها مقفلة على جهاز واحد. لهذه الخيارات المعمارية عواقب حقيقية على سهولة الاستخدام والمخاطر.

تتيح مفاتيح المرور المتزامنة، مثل تلك التي توفرها سلسلة مفاتيح iCloud على أجهزة Apple أو Google Password Manager على Android، الوصول إلى تسجيلات الدخول عبر الهواتف والأجهزة اللوحية وأجهزة الكمبيوتر، وغالباً بسهولة لافتة. لكن ذلك يأتي مع مجموعة خاصة به من المقايضات المتعلقة بالأمان والموثوقية، لا سيما احتمال تعرض البيانات للكشف إذا تعرض مزود السحابة لاختراق، أو إذا انقطع رابط المزامنة.

من ناحية أخرى، تبقى مفاتيح المرور المرتبطة بالبرنامج على جهاز واحد فقط. إذا أردت الانتقال إلى جهاز جديد، فستحتاج إلى نقلها يدوياً أو إعادة تسجيلها. قد يكون ذلك إزعاجاً بسيطاً في بعض الأحيان، وقد يكون عائقاً حاسماً للمؤسسات التي تدير آلاف المستخدمين وترقيات الأجهزة دون تدخل.

في ما يلي، سنشرح لماذا تهم هذه النماذج، وما المخاطر التي يحملها كل نهج، وكيفية اختيار النهج المناسب لبيئتك، سواء كنت تحمي تسجيلات دخولك الشخصية أو تطبق المصادقة بدون كلمة مرور على شركة كاملة.

مفاتيح المرور المتزامنة عبر الأجهزة: الفوائد والمخاطر

سهولة الاستخدام عبر الأجهزة المتعددة: تتيح مفاتيح المرور المتزامنة (مثل iCloud أو Google Password Manager) تسجيل الدخول من أي جهاز ضمن نظامك البيئي على الفور، مما يوفر تجربة سلسة عبر الهواتف والأجهزة اللوحية وأجهزة الكمبيوتر المحمولة.
الاسترداد التلقائي: هل فقدت جهازاً؟ مفاتيح المرور الخاصة بك لا تزال آمنة ويمكن استردادها من جهاز موثوق آخر، مما يقلل حالات قفل الحساب ومشكلات الدعم الفني.
المخاطر الناتجة عن الاعتماد على السحابة: نظراً لأن بيانات الاعتماد تنتقل عبر السحابة، حتى وإن كانت مشفرة، فإن المخاطر تتسع إذا تعرض مزود المزامنة لاختراق أو لانقطاع الخدمة، مما يجعل وضعك الأمني معتمداً على طرف ثالث.
الأنظمة البيئية المغلقة للمنصات: تعمل المزامنة عادةً بأفضل شكل ضمن النظام البيئي نفسه، مثل جميع أجهزة Apple أو جميع أجهزة Google، مما يسبب صعوبات عندما ينتقل المستخدمون بين iOS وAndroid وWindows وmacOS.

مفاتيح المرور المرتبطة بالبرنامج ومقايضات مزامنة الأجهزة

الأمان المحلي فقط: هذه المفاتيح مرتبطة بإحكام بجهاز واحد، ما يعني أن أي سحابة تابعة لطرف ثالث لا يمكنها كشفها في حال الاختراق، وهو خيار مثالي للبيئات التي تتطلب عزلاً أكثر صرامة.
قابلية نقل محدودة: إذا غيرت جهازك، فستحتاج إلى تصدير مفاتيح المرور ونقلها أو إعادة ضبطها يدوياً. يضيف ذلك عبئاً إضافياً، لكنه قد يقلل من مساحة الهجوم المحتملة.
استرداد أكثر صعوبة: إذا فُقد جهازك أو تعطل، فستفقد مفاتيح المرور المحلية أيضاً. التخطيط لنسخ احتياطي آمن أو بروتوكولات استرداد واضحة أمر ضروري لتجنب حالات القفل الدائم.
ملاءمة حالات الاستخدام: تفضل المؤسسات ذات المتطلبات عالية الضمان أو الخاضعة للتنظيم (مثل القطاعين المالي والحكومي) هذا الأسلوب غالباً للحسابات ذات الامتيازات والأنظمة الحساسة، رغم الجهد التشغيلي الإضافي.

شرح مفاتيح الأمان المادية والمصادقات الخارجية

مفاتيح الأمان المادية أجهزة فيزيائية مخصصة تُستخدم للمصادقة بدون كلمة مرور باستخدام FIDO2 وأنظمة مفاتيح المرور. تأتي بأشكال متعددة، عادةً كأجهزة USB أو NFC أو Bluetooth، يمكنك حملها على سلسلة مفاتيح أو الاحتفاظ بها بجوار جهاز العمل. ومن الطرازات الشائعة YubiKey وSoloKey وFeitian.

ما يميز مفاتيح الأمان المادية هو تصميمها لمقاومة العبث. فالأسرار التشفيرية (المفاتيح الخاصة) تُنشأ داخل الجهاز ولا تغادره أبداً، حتى لو تعرض الكمبيوتر أو الهاتف المتصل به للاختراق. وهذا يجعلها شديدة المقاومة للتصيد الاحتيالي والبرمجيات الخبيثة، ولهذا تُفضل للحسابات الإدارية أو الجذرية أو الحسابات عالية القيمة.

على عكس مفاتيح المرور المرتبطة بمنصة معينة، تعتمد مفاتيح الأجهزة على معايير صناعية مثل Client to Authenticator Protocol (CTAP) للتفاعل مع الأجهزة وواجهات برمجة المتصفح (مثل WebAuthn). وهذا يعني أنها قابلة للاستخدام عمومًا عبر أنظمة كثيرة، وغير مرتبطة بمنصات Apple أو Google أو Microsoft، طالما أن التطبيق المستهدف يدعم FIDO2.

تفرض بعض البيئات، خاصة القطاعات المنظمة أو عالية المخاطر، استخدام هذه المفاتيح لأغراض الامتثال أو لتحقيق مستوى الأمان AAL3 (أعلى مستويات الضمان وفق تعريف NIST SP 800-63B). ورغم أنها ليست بسلاسة مفاتيح المرور المتزامنة عبر جميع أجهزتك، فإنها توفر أعلى درجات الأمان للأدوار التي لا يمكن فيها قبول أي احتمال للاختراق.

دورة حياة بيانات الاعتماد والأمان في كل مرحلة

إن الانتقال إلى FIDO2 ومفاتيح المرور لا يقتصر على تحسين شاشات تسجيل الدخول، بل يتعلق بتعزيز الأمان عبر دورة حياة بيانات الاعتماد بأكملها. فكل خطوة، من لحظة إنشاء مفتاح المرور لأول مرة وصولًا إلى استخدامه أو تخزينه أو إلغائه، تطرح تحديات مختلفة ونقاط هجوم مختلفة.

يساعد فهم هذه الدورة المؤسسات على تحديد مكان تركيز ضوابط الأمان والحوكمة. فعلى سبيل المثال، يتطلب إنشاء بيانات الاعتماد توثيقًا قويًا (Attestation) وربطًا محكمًا، بينما يجب مراقبة الاستخدام النشط بحثًا عن محاولات التصيد أو اختراق الأجهزة. كما أن التخزين والنسخ الاحتياطي، وهما نقطة ضعف دائمة في كلمات المرور، يمكن أن يتحولا إلى نقطة قوة مع بيانات اعتماد مرتبطة بالجهاز بشكل صحيح أو تشفير سحابي متين.

تشمل إدارة دورة الحياة أيضًا الجانب الأقل بريقًا لكنه بالغ الأهمية، وهو التدوير والإلغاء واستعادة الحسابات. فالحفاظ على السيطرة على من يملك أي مفاتيح، وضمان التنظيف المنظم عند مغادرة الموظفين، والقدرة على الاستجابة للأجهزة المفقودة أو المخترقة دون تعطيل الإنتاجية، كلها جزء من خطة عمل ذكية لتسجيل الدخول بدون كلمة مرور.

في بيئات Microsoft، يرتبط تطبيق ممارسات قوية لدورة حياة بيانات الاعتماد ارتباطًا وثيقًا بالحوكمة الشاملة للبيانات واستراتيجيات الوصول، كما هو موضح في مصادر مثل Microsoft 365 Data Access Governance، حيث تُعد الملكية والمساءلة وعمليات المراجعة أمورًا حيوية للتعاون الآمن.

إنشاء بيانات الاعتماد والهجمات وإدارة الحالة

الإنشاء الآمن: أنشئ دائمًا بيانات اعتماد FIDO2 في مخازن مفاتيح مدعومة بالعتاد، مع توثيق قوي (Attestation) لضمان أصالة مصدر الجهاز.
مقاومة التصيد: تتسم تدفقات المصادقة باستخدام مفاتيح المرور وFIDO2 بمقاومة متأصلة للتصيد، إذ لا يتم نقل الأسرار، كما أن تحديات التوقيع فريدة لكل جلسة.
هجمات إعادة التشغيل والرجل في الوسط: تمنع التحديات التشفيرية الفريدة وأحادية الاستخدام المهاجمين من إعادة تشغيل الاستجابات المعترَض عليها أو تنفيذ هجمات الرجل في الوسط.
إدارة الحالة: راجع حالة بيانات الاعتماد بانتظام، وألغِ المفاتيح غير المستخدمة أو المخترقة، وحافظ على جرد دقيق لها، خاصة للحسابات ذات الصلاحيات المميزة أو الوصول المرتفع.

استعادة بيانات الاعتماد وإلغاؤها والقيود المفروضة عليها

لا يوجد نظام مثالي، فحتى أقوى مفاتيح المرور ومفاتيح الأمان يمكن أن تفقد أو تُسرق أو تتعطل. ويُعد التخطيط لاستعادة بيانات الاعتماد وإلغائها أمرًا حيويًا، خاصة إذا كنت تنقل فريقك أو مؤسستك إلى المصادقة بدون كلمة مرور على نطاق واسع.

عند فقدان مفتاح المرور أو بيانات اعتماد FIDO2، تعتمد خيارات الاستعادة على طريقة إدارته. فبالنسبة لمفاتيح المرور المتزامنة (مثل Apple iCloud Keychain أو Google Password Manager)، يمكنك عادةً استعادة بيانات الاعتماد على جهاز جديد بعد اجتياز المصادقة على مستوى الجهاز وخطوات الاستعادة. ويقلل هذا من فترات التوقف، لكنه يضع الثقة في آليات الأمان والاستعادة لدى مزود الخدمة السحابية.

تضيف مفاتيح الأمان مستوى إضافيًا من التعقيد، ففقدان مفتاح العتاد يعني أنه يجب أن تكون لديك مفاتيح احتياطية مسجلة أو إجراءات تجاوز إدارية معتمدة. وإلا فقد تُحرم من الوصول تمامًا. ويتم الإلغاء من جهة الخادم: فبمجرد الإبلاغ عن فقدان مفتاح، تتم إزالة المفتاح العام من ملفك الشخصي، مما يجعل بيانات الاعتماد المفقودة عديمة الفائدة.

ومن ناحية أخرى، فإن الاعتماد المفرط على ميزات النسخ الاحتياطي والاستعادة قد يقوّض الأمان، إذ يجب تعزيز عمليات الاستعادة ضد الهندسة الاجتماعية والتهديدات الداخلية. ويمكن للمراجعات المتكررة والأتمتة عبر أدوات مثل Microsoft Purview Audit أن تساعد المؤسسات على مراقبة استخدام بيانات الاعتماد وأحداث الإلغاء والمخاطر المحتملة على الامتثال أو متطلبات التحقيق الجنائي الرقمي.

في نهاية المطاف، يعني اختيار استراتيجية الاسترداد والإلغاء الموازنة بين راحة المستخدم وضوابط الحماية القوية، فلا يوجد حل واحد يناسب الجميع. ورسم سيناريوهات فقدان الأجهزة ونشر حلول لاسترداد الحسابات على مستويات متدرجة أمر ضروري لأي نشر جاد للمصادقة بلا كلمات مرور.

المفاتيح الأمنية مقابل المفاتيح الأمنية: كيف تختار الخيار المناسب

عندما يحين وقت اتخاذ القرار، يعتمد الاختيار بين المفاتيح الأمنية المادية والمفاتيح الأمنية المرتبطة بالأجهزة على حالة الاستخدام واحتياجات راحة المستخدم وبيئة التهديدات. ويقوم الاثنان على أساس مشترك هو بروتوكولات FIDO2 والتشفير بالمفتاح العام، لكنهما يختلفان كثيرًا في الاستخدام اليومي.

تتفوق المفاتيح الأمنية المرتبطة بالأجهزة في البيئات التي يحتاج فيها المستخدمون إلى وصول سلس عبر أجهزة متعددة، مثل المستخدمين الذين يملكون هواتف وأجهزة لوحية وحواسيب محمولة وتطبيقات سحابية مثل Microsoft 365. وتكمن قوتها في سهولة الاستخدام: فبفتح جهازك تكون قد سجّلت الدخول، حتى عبر مجموعة من الأجهزة الشخصية أو الخاصة بالعمل.

أما المفاتيح الأمنية المادية فتوفر أعلى مستوى من الأمان، وهي ضرورية للمسؤولين والمستخدمين ذوي الصلاحيات المتقدمة، ولكل من لا يستطيع إطلاقًا تحمل مخاطر الاختراق. وتجعلها قابليتها للنقل مثالية للسيناريوهات التي تحتاج فيها إلى المصادقة من أنظمة غير مُدارة أو أنظمة عامة. والعيب أنك إذا نسيتها أو فقدتها أو تلفت، فقد يكون استعادة الوصول أكثر تعقيدًا.

في السياقات المنظمة وعالية المخاطر، فإن إدراج المفاتيح الأمنية ضمن نهج Zero Trust (كما هو موضح في Zero Trust for Microsoft 365) يضمن التحقق المستمر الذي يواكب نماذج التهديد سريعة التغير، مع تقليل الاحتكاك بالمستخدم إلى أدنى حد.

تطبيقات المؤسسات والقطاعات الخاضعة للتنظيم: 1Kosmos 1Key وما بعده

1Kosmos 1Key للتحقق عالي الضمان: يوفر هذا الحل مصادقة متوافقة مع FIDO2 وبلا كلمات مرور، مصممة لتلبية متطلبات AAL3 الصارمة وفق NIST SP 800-63B. ويجمع بين التحقق البيومتري وثقة الجهاز وعوامل المصادقة الديناميكية للمستخدمين ذوي الصلاحيات المتقدمة والحسابات عالية المخاطر.
تكامل مؤسسي محسّن: يتكامل 1Key بسلاسة مع منصات Microsoft للأعمال، ويؤتمت توفير الهويات وإدارة دورة حياة الوصول وإلغاءه، لدعم عمليات النشر السحابية القابلة للتوسع.
الامتثال التنظيمي: تدعم المنصة تعيينات امتثال جاهزة للاستخدام للقطاعات الخاضعة للتنظيم، مثل القطاعات المالية والصحية والحكومية، مما يتيح التحقق من الهوية وتسجيل الأحداث بقوة ومسارات تدقيق تلبي متطلبات الإبلاغ الصارمة.
وصول آمن للمواطنين والموظفين: تحصل المؤسسات التي تنشر تطبيقات سحابية أو بوابات موجهة للمواطنين على وصول بلا كلمات مرور، مع الحفاظ على التحقق من الهوية والحوكمة، مما يقلل العبء التشغيلي الناتج عن فقدان بيانات الاعتماد أو إعادة تعيين كلمات المرور.
التكامل بين Power Platform والحوكمة: إن ربط حلول مثل 1Key بأطر الحوكمة الأوسع (كما نوقش في Power Platform governance best practices) يساعد على مواءمة الأمان القائم على الهوية مع سياسات البيانات والموصلات والبيئات على مستوى المؤسسة.

تحسين تجربة المستخدم والمصادقة عبر أجهزة متعددة

إذا كان هناك أمر واحد يتفق عليه المستخدمون والمسؤولون، فهو أن كلمات المرور مصدر إزعاج حقيقي. وتسعى المفاتيح الأمنية المرتبطة بالأجهزة إلى معالجة ذلك عبر جعل تسجيل الدخول بسيطًا وبديهيًا وأقل إرهاقًا، خاصة عبر أجهزة متعددة ومنصات سحابية. ومع المفاتيح الأمنية المرتبطة بالأجهزة، لا حاجة لتذكر عبارات معقدة أو إعادة تعيين كلمات المرور بعد كل حملة "توعية أمنية" ربع سنوية.

من أبرز مزايا المفاتيح الأمنية المرتبطة بالأجهزة المصادقة عبر أجهزة متعددة. فبمجرد حفظها في سلسلة مفاتيح حسابك (سواء كانت Apple أو Google أو Microsoft)، تحصل على تسجيل دخول شبه فوري على الأجهزة المرتبطة بالمنظومة نفسها. كما أن الموافقة على تسجيل الدخول بمسح الوجه أو بصمة الإصبع لا تسرّع العملية فحسب، بل تقلل الاحتكاك بشكل كبير للمستخدمين الذين يتنقلون بين الأجهزة والمواقع.

من منظور التبنّي، تقليل الاحتكاك هو الأساس. تخشى فرق تقنية المعلومات كثيرًا ردّ الفعل العكسي من فرض نهج كلمات المرور، أو تزايد تذاكر الدعم الفني بسبب الأقفال المتكررة للحسابات. وتقلل المفاتيح الأمنية المرتبطة بالأجهزة من هذه المشكلات، فلا يتعامل المستخدمون مع كلمات المرور أو إرهاق تسجيل الدخول أو حلقات إعادة التعيين. أما عوائق التبنّي فغالبًا ما تتعلق بتوافق المنظومات أو الإعداد الأولي للأجهزة، وكلاهما يتحسن بسرعة.

تعتمد المؤسسات الذكية على تحديد أولويات استراتيجيات النشر من خلال تجربة مفاتيح المرور مع فرق صغيرة، وجمع الملاحظات، وأتمتة تسجيل الأجهزة. يُبقي هذا النهج العملية مستقرة وسهلة الاستخدام دون التفريط في الأمان.

الأسئلة المتداولة، ومقارنة مفاتيح الأمان بمفاتيح المرور، وسلامة الوصول عن بُعد

هل مفاتيح المرور ومفاتيح الأمان هي الشيء نفسه؟ ليس تماماً. مفاتيح المرور هي بيانات اعتماد FIDO2 رقمية تُدار من خلال جهازك أو السحابة، أما مفاتيح الأمان فهي أجهزة مادية توصلها بالجهاز أو تلمسها للمصادقة. ويعتمد كلاهما على الأساس التشفيري نفسه.
هل يمكنني استخدام مفاتيح المرور عبر أجهزة Apple وGoogle وWindows؟ إلى حد ما. تعمل مفاتيح المرور المُزامنة بأفضل شكل داخل منظومة واحدة. يوجد دعم متعدد المنصات حقيقي، لكنه قد يكون غير متسق، كما أن توافق المتصفحات مع ميزات FIDO2 يتفاوت.
هل يمكن لأحد أن يسرق مفتاح المرور الخاص بي عن بُعد؟ ما لم يكن جهازك (وحساب السحابة الاحتياطي المرتبط به) مخترقاً، فإن سرقة مفاتيح المرور عن بُعد مستبعدة إلى حد كبير. فالمفاتيح نفسها لا تغادر جهازك دون تشفير.
هل مفاتيح المرور آمنة للعمل عن بُعد والوصول إلى السحابة؟ نعم، بشرط اقترانها بنهج الأجهزة وأدوات مثل Microsoft Defender وPurview. عندئذٍ توفر مفاتيح المرور مصادقة عن بُعد قوية، وتقلل بشكل كبير من مخاطر التصيد الاحتيالي والبرمجيات الخبيثة وسرقة الهوية.
هل يمكن لمديري كلمات المرور تخزين مفاتيح المرور؟ أصبحت الإصدارات الأحدث من مديري كلمات المرور مثل 1Password وiCloud Keychain وGoogle Password Manager تدعم مفاتيح المرور. لكن تحقق دائماً من التوافق ودعم FIDO2/WebAuthn عند دمجها ضمن مسار الهوية لديك.

الخلاصة، ومقارنة الأمان، والتوصيات النهائية

الخلاصة الأمنية: تُلغي مفاتيح المرور وبيانات اعتماد FIDO2 كلاهما كلمات المرور ونقاط ضعفها. تتفوق مفاتيح المرور من حيث سهولة الاستخدام لمعظم المستخدمين، بينما تظل مفاتيح الأمان المادية الخيار الأمثل في السيناريوهات عالية الضمان.
الاستخدام مقابل قابلية النقل: توفر مفاتيح المرور المُزامنة تسجيل دخول سلس عبر عدة أجهزة، ما يجعلها مناسبة للمستخدم العادي أو لأسطول أجهزة المؤسسة. أما المفاتيح المادية فتتميز بقابلية النقل، لكنها تتطلب الاحتفاظ برمز مادي في متناول اليد.
استراتيجية النشر: في البيئات الخاضعة للتنظيم، طبّق أمانًا متعدد الطبقات: اجمع بين مفاتيح المرور للمستخدمين العامين، ومفاتيح الأمان للمسؤولين، وحلولاً مؤسسية مثل 1Kosmos 1Key لسير العمل المتوافق مع AAL3.
دورة الحياة والاستعادة: خطّط لسير عمل الاستعادة والإلغاء قبل الترحيل، فالنسخ الاحتياطية والتدقيق (راجع Governance for AI and access control) ضرورية لتجنب توقف الخدمة أو انحراف الامتثال.
التهيئة للمستقبل: تابع المعايير المتطورة للتشغيل البيني والامتثال، لا سيما في بيئات Microsoft 365 وAzure، لتبقى متقدماً على تحديات الهوية والتهديدات الجديدة.

الخطوات التالية ومزيد من التعلم حول أمان الهوية

وثائق Microsoft: استكشف الوثائق الرسمية حول FIDO2 ومفاتيح المرور والنشر بدون كلمات مرور في Microsoft 365 وAzure.
بودكاست أمان الهوية: استمع إلى نقاشات عملية حول التدقيق والحوكمة في M365.fm: Auditing User Activity with Microsoft Purview.
أدلة تقنية: راجع المدونات التقنية حول إعداد FIDO2 ومفاتيح المرور واستكشاف أخطائها وإصلاحها للمؤسسات على نطاق واسع.
أفضل ممارسات الامتثال: ادرس NIST SP 800-63B وتعرّف على كيفية توافق حلول المصادقة بدون كلمات مرور الرائدة مع مستويات الضمان (IAL وAAL).
منتديات المجتمع: انضم إلى منتديات الأمان وMicrosoft 365 وإدارة الهوية لطرح الأسئلة وتبادل نصائح التطبيق العملي مع الزملاء.

🎧 ننصحك أيضاً بالاستماع إلى

حوكمة الهوية في Microsoft Entra
تعرّف على ضوابط الملكية والوصول العملية في Microsoft 365.
نموذج التشغيل لحوكمة Microsoft 365
استكشف القرارات التي تجعل اعتماد التقنية مستداماً.
وكلاء الذكاء الاصطناعي – شرح مبسّط
افهم السياق الحوكمي للعمل المدعوم بالذكاء الاصطناعي.

مفاتيح المرور مقابل FIDO2: إرشادات عملية للمؤسسات

تقدّم مفاتيح المرور (Passkeys) ومفاتيح الأمان من نوع FIDO2 كلاهما مصادقة مقاومة للتصيّد الاحتيالي، لكنهما يختلفان في المفاضلات المتعلقة بقابلية النقل والاسترداد والتحكم في الأجهزة وتجربة المستخدم. ينبغي أن يحدّد النشر الناجح نموذج بيانات الاعتماد، وتدفق التسجيل، وعملية الاسترداد، ومتطلبات المستخدمين ذوي الامتيازات، والاستثناءات الخاصة بالتطبيقات القديمة.

قائمة التحقق من التنفيذ

اجرد موفري الهوية والمتصفحات والأجهزة والتطبيقات المدعومة.
اختر بيانات الاعتماد المتزامنة أو المرتبطة بالجهاز لكل ملف مخاطر.
سجّل عدة أجهزة مصادقة قبل فرض الاستخدام.
احمِ عملية الاسترداد والتحقق عبر مكتب المساعدة.
جرّب النشر التجريبي مع المستخدمين ذوي الامتيازات، وقِس حالات الفشل قبل النشر الواسع.

الأخطاء الشائعة

فرض تسجيل الدخول بدون كلمة مرور دون وجود مسار للاسترداد.
افتراض أن كل متصفح وكل تطبيق قديم يدعم بيانات الاعتماد نفسها.
السماح بأجهزة مصادقة مشتركة، ما يُضعف إمكانية المساءلة.
تجاهل دورة حياة الأجهزة وإجراءات فقدان جهاز المصادقة.

الأسئلة المتداولة

ما هو مفتاح المرور (Passkey)؟

مفتاح المرور هو بيانات اعتماد FIDO تستخدم التشفير بالمفتاح العام، ويُفتح باستخدام إيماءة على الجهاز أو بيانات حيوية أو رمز PIN محلي.

ما هو FIDO2؟

FIDO2 هو معيار المصادقة المبني على WebAuthn وبروتوكول Client to Authenticator، ويتيح تسجيل دخول مقاوم للتصيّد الاحتيالي.

هل مفاتيح المرور و FIDO2 شيء واحد؟

مفاتيح المرور هي تجربة بيانات اعتماد سهلة الاستخدام مبنية على معايير FIDO. أما FIDO2 فيصف النظام التقني الأوسع وبروتوكولات المصادقة.

هل مفاتيح المرور أكثر أمانًا من كلمات المرور؟

نعم. تستخدم مفاتيح المرور تشفيرًا بالمفتاح العام مرتبطًا بالأصل (Origin)، لذلك لا يمكن للموقع الإلكتروني أن يستقبل سرًا قابلًا لإعادة الاستخدام يمكن للمهاجمين سرقته أو إعادة تشغيله.

هل مفاتيح المرور مقاومة للتصيّد الاحتيالي؟

نعم، عند تطبيقها بشكل صحيح. تكون بيانات الاعتماد مرتبطة بأصل الموقع الإلكتروني الشرعي، ولا تكشف كلمة المرور لصفحة التصيّد الاحتيالي.

هل YubiKey هو مفتاح مرور FIDO2؟

يمكن لجهاز YubiKey تخزين بيانات اعتماد FIDO2 والعمل كمفتاح أمان. أما تسميته مفتاح مرور فيعتمد على بيانات الاعتماد والمصطلحات الخاصة بالمنتج.

هل مفاتيح المرور أكثر أمانًا من YubiKey؟

لا يوجد أيٌّ منهما أكثر أمانًا في كل الحالات. تحسّن مفاتيح المرور المتزامنة الاسترداد وسهولة الاستخدام، بينما توفر المفاتيح المرتبطة بالعتاد تحكمًا قويًا في الأجهزة وفصلًا واضحًا.

ما هو مفتاح المرور المتزامن؟

مفتاح المرور المتزامن يُنسخ احتياطيًا عبر مدير بيانات اعتماد معتمد أو منظومة منصة معتمدة، بحيث يكون متاحًا على عدة أجهزة.

ما هو مفتاح المرور المرتبط بالجهاز؟

يبقى مفتاح المرور المرتبط بالجهاز على جهاز مصادقة واحد أو جهاز واحد، ولا تتم مزامنته مع منصة أخرى.

هل يحل FIDO2 محل كلمات المرور بالكامل؟

يمكنه أن يحل محل كلمات المرور في التطبيقات المدعومة، لكن المؤسسات ما زالت بحاجة إلى استراتيجيات للاسترداد والمصادقة القديمة وإدارة دورة حياة الحسابات.

هل تدعم Microsoft Entra ID مفاتيح المرور؟

تدعم Microsoft Entra ID مفاتيح أمان FIDO2 وخيارات المصادقة المرتبطة بمفاتيح المرور، وذلك رهنًا بإعدادات المستأجر وقدرات الخدمة الحالية.

ما علاقة WebAuthn بمفاتيح المرور؟

WebAuthn هي واجهة برمجة التطبيقات الخاصة بالمتصفح والمنصة، وتتيح للمواقع الإلكترونية وموفري الهوية إنشاء بيانات اعتماد بالمفتاح العام واستخدامها.

ماذا يحدث إذا فقد المستخدم جهاز مفتاح المرور؟

يحتاج المستخدم إلى جهاز مصادقة آخر مسجَّل أو إلى طريقة استرداد معتمدة. وينبغي للمؤسسات تسجيل عدة أجهزة مصادقة قبل فرض الوصول بدون كلمة مرور.

هل يمكن استخدام مفاتيح المرور على عدة أجهزة؟

يمكن أن تكون مفاتيح المرور المتزامنة متاحة عبر الأجهزة المدعومة، بينما تتطلب بيانات الاعتماد المرتبطة بالجهاز تسجيلًا على كل جهاز مصادقة.

هل يمكن مشاركة مفاتيح المرور بين المستخدمين؟

لا. ينبغي أن تمثّل بيانات الاعتماد شخصًا واحدًا أو هوية حمل عمل معتمدة. فأجهزة المصادقة المشتركة تُضعف إمكانية المساءلة.

هل تحمي مفاتيح المرور من إعادة تشغيل بيانات الاعتماد؟

نعم. يبقى المفتاح الخاص على جهاز المصادقة، وتتضمن كل عملية مصادقة تحديًا يمنع إعادة التشغيل البسيطة.

هل يمكن سرقة مفتاح المرور؟

قد يسرق المهاجم الجهاز، لكن بيانات الاعتماد تكون محمية عادةً بعامل فتح محلي ولا تكشف كلمة مرور قابلة لإعادة الاستخدام.

ما هي المصادقة بدون كلمة مرور؟

تتحقق المصادقة بدون كلمة مرور من هوية المستخدم عبر جهاز مصادقة تشفيري أو بيانات حيوية أو رمز PIN أو مفتاح أمان، بدلًا من كلمة مرور يحفظها المستخدم في ذاكرته.

ما عيوب مفاتيح المرور؟

تشمل التحديات الاسترداد، والتوافق بين المنصات، وسيناريوهات الأجهزة المشتركة، والتطبيقات القديمة، ومدى فهم المستخدمين أثناء النشر.

كيف ينبغي للمؤسسات التعامل مع استرداد مفاتيح المرور؟

اشترط عدة أجهزة مصادقة، وحدّد التحقق عبر مكتب المساعدة، واحمِ طرق الاسترداد، وراقب أحداث التسجيل وإعادة التعيين.

هل يمكن استخدام مفاتيح المرور مع الأجهزة المحمولة؟

نعم. يمكن لأنظمة التشغيل المحمولة المدعومة إنشاء مفاتيح المرور أو استخدامها عبر المصادقات المدمجة في النظام أو مفاتيح الأمان الخارجية.

هل تعمل مفاتيح المرور عبر المتصفحات المختلفة؟

يعتمد الدعم على المتصفح ونظام التشغيل ومزود الهوية ونوع بيانات الاعتماد. اختبر رحلات المستخدمين المستهدفة قبل النشر.

هل مفاتيح المرور مناسبة للمسؤولين؟

نعم. وهي ذات قيمة خاصة للمستخدمين ذوي الامتيازات، which should use... ينبغي عليهم استخدام مصادقة مقاومة للتصيد وهويات إدارية منفصلة.

كيف تؤثر مفاتيح المرور على الوصول المشروط؟

يمكنها تلبية متطلبات المصادقة القوية عندما يتعرف مزود الهوية على المصادقة وتتحقق شروط النهج.

كيف ينبغي نشر مفاتيح المرور؟

ابدأ بالمستخدمين ذوي الامتيازات والمستخدمين عالي المخاطر، وحدد آلية الاسترداد، ثم جرّب مع أجهزة تمثيلية، وبعد ذلك وسّع النشر مع متابعة مقاييس التسجيل والدعم.

ما الذي ينبغي مراقبته بعد النشر؟

راقب التسجيل، وإخفاقات المصادقة، وأحداث الاسترداد، وتجاوزات النهج، وحجم طلبات مكتب المساعدة، ومخاطر تسجيل الدخول.

هل تلغي مفاتيح المرور المصادقة متعددة العوامل؟

يمكن لمفتاح المرور أن يوفر تجربة مصادقة متعددة العوامل مقاومة للتصيد عندما يجمع بين حيازة المصادقة وعامل فتح محلي على الجهاز.

هل يمكن لمفاتيح المرور حماية حسابات الخدمة؟

مفاتيح المرور البشرية ليست بديلاً عن هوية أحمال العمل. استخدم الهويات المُدارة أو الشهادات أو بيانات اعتماد أخرى مناسبة وغير بشرية للخدمات.

ما الفائدة الرئيسية للمؤسسات؟

الفائدة الرئيسية هي تقليل مخاطر التصيد وإعادة تعيين كلمات المرور، مع تحسين أمان تسجيل الدخول وتجربة المستخدم.

ما خطوة التنفيذ الأولى؟

احصر التطبيقات والمستخدمين، وتأكد من دعم مزود الهوية، وحدد آلية الاسترداد، وجرّب مجموعة صغيرة قبل فرض تسجيل الدخول بدون كلمة مرور.

استكشف موارد M365.fm ذات الصلة: M365.fm Learning Hub، وMicrosoft 365 governance checklist، وMicrosoft Copilot security model.