الدليل الشامل للمصادقة بدون كلمة مرور في Microsoft 365

By Mirko Peters · 2026-08-27

مرحبًا بعودتكم أيها المستمعون والقراء! إن كنتم قد استمعتم إلى حلقتنا الأخيرة في البودكاست، فأنتم تعلمون أننا تعمّقنا في واحد من أكثر موضوعات الأمن السيبراني إلحاحًا في عصرنا: إلغاء كلمة المرور التقليدية. في منشور المدونة المرافق هذا، سنوسّع هذا الحوار، ونشمّر عن سواعدنا لنقدّم لكم مخططًا شاملًا وعمليًا للغاية للتخلّص من كلمات المرور تدريجيًا في مؤسستكم، باستخدام أدوات الأمان الحديثة والقوية المدمج

Automatically translated with AI from the original post. Read the English original

مرحبًا بعودتكم أيها المستمعون والقراء! إن كنتم قد استمعتم إلى حلقتنا الأخيرة في البودكاست، فأنتم تعلمون أننا تعمّقنا في واحد من أكثر موضوعات الأمن السيبراني إلحاحًا في عصرنا: إلغاء كلمة المرور التقليدية. في منشور المدونة المرافق هذا، سنوسّع هذا الحوار، ونشمّر عن سواعدنا لنقدّم لكم مخططًا شاملًا وعمليًا للغاية للتخلّص من كلمات المرور تدريجيًا في مؤسستكم، باستخدام أدوات الأمان الحديثة والقوية المدمجة في Microsoft 365.

دعونا نواجه حقيقة مُرّة: كلمات المرور معطوبة بطبيعتها. فعامًا بعد عام، تؤكد خروقات البيانات أن بيانات الاعتماد المسروقة أو الضعيفة أو المُعاد استخدامها لا تزال المدخل الرئيسي للهجمات الإلكترونية. وقد أصبحت حملات التصيّد أكثر تطورًا لدرجة أن حتى أكثر الموظفين وعيًا بالأمن يقعون ضحيتها أحيانًا. وهنا تبدأ حقبة "انعدام الثقة" (Zero Trust). في بنية Zero Trust، نعمل وفق مبدأ "لا تثق أبدًا، وتحقّق دائمًا". ولا يمكنكم تحقيق وضعية Zero Trust حقيقية وأنتم تعتمدون على سلسلة سرية من الأحرف يدوّنها المستخدمون على الملاحظات اللاصقة، أو يعيدون استخدامها عبر المواقع، أو يسلمونها بسهولة لمهاجم ماهر عبر صفحة تسجيل دخول مزيّفة.

لحسن الحظ، توفر Microsoft 365 مجموعة قوية من طرق المصادقة بدون كلمة مرور. فبالانتقال بمؤسستكم بعيدًا عن كلمات المرور، تقلّلون بشكل كبير من سطح الهجوم، وتقضون على سرقة بيانات الاعتماد، و—ومن المفارقة—تحسّنون تجربة المستخدم. لن تستنزف إعادات تعيين كلمات المرور وقت فريق الدعم الفني، ولن يجد الموظفون المحبطون أنفسهم مقفلين خارج حساباتهم صباح يوم الاثنين. دعونا نستكشف الأدوات ونرى كيفية تطبيق مؤسسة بدون كلمات مرور بسلاسة.

فهم مجموعة أدوات المصادقة بدون كلمة مرور في Microsoft 365

قبل أن نتعمّق في استراتيجيات النشر، دعونا نرسم خريطة للأسلحة المتوفرة في ترسانتنا. تدعم Microsoft Azure Active Directory (المعروفة الآن باسم Microsoft Entra ID) عدة آليات أساسية للمصادقة بدون كلمة مرور. ولكل منها شريحة مستخدمين وحالة جهاز وحالة عمل مختلفة قليلًا.

أولًا، لدينا Windows Hello for Business. وهذا هو المعيار الذهبي لأجهزة Windows المؤسسية المخصصة. يستبدل كلمات المرور بمصادقة قوية ثنائية العوامل تتكون من بيانات اعتماد خاصة بالجهاز مرتبطة بالقياسات الحيوية (مثل بصمة الإصبع أو التعرف على الوجه) أو برمز PIN. ولا يغادر المفتاح الخاص عتاد الجهاز أبدًا، مما يجعله محصّنًا ضد الخروقات على جانب الخادم.

ثانيًا، لدينا مفاتيح الأمان FIDO2 وPasskeys. وهي رموز مادية (مثل YubiKey) أو Passkeys مدمجة في المنصة، تعتمد على معايير مفتوحة طوّرها تحالف FIDO. وهي مقاومة للتصيّد بطبيعة تصميمها، لأن آلية التحدي والاستجابة التشفيرية تضمن أن بيانات الاعتماد لا يمكن استخدامها إلا على النطاق الدقيق الذي سُجّلت له. فإذا وصل المستخدم إلى موقع تصيّد، يرفض المفتاح التوقيع.

ثالثًا، لدينا تطبيق Microsoft Authenticator. بالنسبة للمؤسسات التي يعتمد موظفوها على الهاتف المحمول أولًا، أو سيناريوهات BYOD (إحضار جهازك الخاص)، أو البيئات الهجينة، يوفر مطابقة الأرقام عبر تطبيق Authenticator تجربة إشعارات فورية سلسة تُلزم المستخدمين بالتحقق من هويتهم بأمان وسرعة.

أخيرًا، لدينا رمز الوصول المؤقت (TAP). وعلى الرغم من أنه ليس طريقة تسجيل دخول يومية، فإن TAP هو الجسر الحاسم الذي يتيح لكم تهيئة مستخدمين جدد، أو استعادة الحسابات المقفلة، أو توفير أجهزة جديدة دون الحاجة إلى إصدار كلمة مرور مؤقتة وغير آمنة من النوع القديم.

تطبيق Windows Hello for Business لأجهزة المؤسسات

إذا كانت مؤسستكم تعتمد بشكل كبير على أجهزة Windows 10 وWindows 11، فينبغي أن يكون Windows Hello for Business (WHfB) الركيزة الأساسية لرحلتكم نحو المصادقة بدون كلمة مرور. يتطلب نشر WHfB تخطيطًا دقيقًا لجهات إصدار الشهادات، ولنماذج الثقة السحابية أو ثقة المفاتيح، غير أن العائد منه كبير جدًا.

عند تنفيذ WHfB، يتوفر لديك نموذجا نشر أساسيان للاختيار بينهما: Cloud Trust وHybrid Key Trust. بالنسبة للمؤسسات الحديثة التي تعتمد على السحابة أولاً، يمثل نموذج Microsoft Entra Cloud Trust نقلة نوعية. فهو يبسّط بنية النشر بإزالة الاعتماد على مزامنة البنية التحتية للمفاتيح العامة (PKI) مع وحدات التحكم في المجال. وبدلاً من ذلك، تتم المصادقة مباشرةً في السحابة مع الاستفادة من امتدادات بروتوكول Kerberos.

للبدء، ستحتاج إلى تهيئة نهج Windows Hello for Business عبر Microsoft Intune. انتقل إلى نهج أمان نقطة النهاية، وتأكد من ضبط متطلبات تعقيد رقم PIN، وتمكين طرق القياس الحيوي، وتفعيل ميزات مكافحة الانتحال حيثما يدعمها عتاد الجهاز. كما ينبغي أن تحدد ما إذا كان يُطلب من المستخدمين استخدام وحدة أمان للعتاد (TPM 2.0 إلزامية لتحقيق مستوى أمان يناسب المؤسسات).

أثناء طرح هذه الميزة، أبلغ المستخدمين النهائيين بوضوح بأن رقم PIN الخاص بنظام Windows مرتبط حصرياً بالحاسوب المحمول الفعلي، ولا يمكن اعتراضه عبر الشبكة. وبمجرد أن يختبر المستخدمون تسجيل الدخول إلى أجهزتهم عبر التعرف على الوجه أو رقم PIN سريع يفتح بيئة عتاد آمنة، لن يرغبوا مطلقاً في كتابة كلمة مرور معقدة مكونة من 16 حرفاً وأرقاماً مرة أخرى.

الاستفادة من مفاتيح أمان FIDO2 وPasskeys

رغم أن Windows Hello for Business ممتازة لأجهزة Windows، فماذا عن مستخدمي Mac ومطوري Linux ومحطات العمل المشتركة، أو العاملين الذين يتنقلون بين أجهزة متعددة؟ هنا تبرز مفاتيح أمان FIDO2 وPasskeys بأفضل صورة.

تمثل مفاتيح FIDO2 قمة المصادقة المقاومة للتصيد الاحتيالي. ولأن بروتوكول المصادقة يعتمد على التشفير بالمفتاح العام، فإن بيانات الاعتماد المخزنة على مفتاح الأمان لا يمكن التصيد عليها، ولا سرقتها عبر هجمات الوسيط، ولا حصادها من تسريبات قواعد البيانات. وعندما يُدخل المستخدم مفتاح أمان USB الخاص به (أو يلمسه عبر NFC) ويضغط على المستشعر، يُرسل تأكيد تشفيري إلى Microsoft Entra ID.

يتطلب تطبيق مفاتيح FIDO2 تفعيل هذه الميزة ضمن نهج طرق المصادقة في Microsoft Entra. ويمكنك قصر نطاق هذا النهج على مجموعات تجريبية محددة، كأن تبدأ بمسؤولي تكنولوجيا المعلومات والإدارة العليا قبل التوسع إلى بقية المؤسسة. ومن الضروري فرض متطلبات التسجيل، بحيث يسجّل المستخدمون مفاتيحهم وهم لا يزالون داخل بيئة مؤسسية آمنة، أو عبر عملية إعداد موثوقة ومتحقق منها.

علاوة على ذلك، تعرّف على Passkeys المدمجة في أنظمة التشغيل مثل iOS وAndroid وmacOS. تتيح هذه الميزة للمستخدمين استخدام أجهزات الاستشعار البيومترية المدمجة في هاتفهم (مثل FaceID أو TouchID أو القياس الحيوي في Android) لتسجيل الدخول بأمان إلى خدمات Microsoft 365 عبر المتصفحات والأجهزة المختلفة. وهي تسد الفجوة بين الرموز المادية وسهولة الاستخدام اليومية.

الوصول المعتمد على الهاتف أولاً باستخدام Microsoft Authenticator

ليس كل موظف في مؤسستك يجلس خلف مكتب مع حاسوب محمول مخصص أو مفتاح أمان مادي. فالعاملون في الخطوط الأمامية، وفنيو الميدان، والموظفون المتعاقدون يعملون غالباً في بيئات تعتمد على الهاتف أولاً. وبالنسبة لهؤلاء المستخدمين، يُعد تطبيق Microsoft Authenticator الوسيلة المثالية لتسجيل الدخول بدون كلمة مرور.

لنقل Microsoft Authenticator إلى حالة بدون كلمة مرور، يجب تهيئة ميزة تسجيل الدخول بالهاتف. وعند تمكين هذه الميزة، يدخل المستخدم اسم المستخدم الخاص به، وبدلاً من مطالبته بكلمة مرور، يُرسل إشعار إلى جهازه المحمول. يطلب التطبيق من المستخدم إدخال الرقم المطابق المعروض على شاشة تسجيل الدخول، يليه تأكيد بيومتري (مثل FaceID أو بصمة الإصبع أو رقم PIN).

يلغي هذا التطبيق تماماً خطر هجمات إرهاق الإشعارات (push-fatigue)، وهي هجمات يغمر فيها المهاجمون المستخدم بإشعارات دفع متواصلة حتى يوافق عليها عن طريق الخطأ. ومن خلال فرض مطابقة الأرقام، يجب على المستخدم أن ينظر إلى شاشة تسجيل الدخول، وأن يقرأ الرقم، ويدخله في هاتفه. أما إذا لم يكن هو من يحاول تسجيل الدخول، فيكفي أن ينقر على "ليس أنا"، وهو ما قد يُفعّل سياسات المخاطر الآلية في Microsoft Entra ID لحظر المهاجم ووضع علامة تحذير على الحساب.

عند نشر Microsoft Authenticator للوصول بدون كلمة مرور، تأكد من فرض سياسات أمان على مستوى الجهاز. ينبغي أن تُلزم بتفعيل قفل التطبيق داخل Authenticator نفسه، وأن تتأكد من إدارة الجهاز المحمول المضيف عبر Microsoft Intune أو حمايته بسياسات الوصول المشروط التي تشترط إصدارات نظام تشغيل متوافقة.

إدارة الإعداد والاسترداد باستخدام تذكرة الوصول المؤقتة (TAP)

تُعد معضلة "الدجاجة والبيضة" في تهيئة الموظفين الجدد من أكثر التحفظات شيوعًا لدى المؤسسات عند التفكير في استراتيجية بدون كلمة مرور. كيف تُصادق هوية موظف جديد لم يحصل بعد على مفتاح أمني، أو هاتف مسجّل، أو رمز PIN لـ Windows Hello؟ تقليديًا، كانت المؤسسات تعتمد على تسليم كلمة مرور أولية مؤقتة وسهلة التخمين، لكن هذا يخلق نافذة ضعف في بداية دورة حياة الموظف.

هنا يأتي دور Temporary Access Pass (TAP). وهو طريقة مصادقة مؤقتة قائمة على رموز المرور، يمكنك إعدادها في Microsoft Entra ID للسماح للمستخدمين بتسجيل طرق المصادقة الخالية من كلمات المرور. لا يمكن استخدام TAP إلا مرة واحدة (أو عدة مرات إذا كان مُهيّأً لسيناريوهات ترحيل محددة)، وله مدة صلاحية محددة بدقة تتراوح بين دقائق وساعات، ويمكن للمسؤول أو فريق الدعم الفني إنشاؤه بشكل آمن.

لنستعرض سيناريو تهيئة واقعيًا باستخدام TAP:

• تبدأ الموارد البشرية سير عمل تعيين الموظف الجديد، ويقوم فريق تقنية المعلومات بتوفير حساب المستخدم في Microsoft Entra ID.
• يُنشئ المسؤول Temporary Access Pass بمدة صلاحية ساعة واحدة، ويُبلّغ الموظف الجديد به بشكل آمن عبر قناة خارج النطاق (مثل رسالة نصية آمنة أو بوابة تهيئة مشفّرة).
• يسجّل الموظف الجديد الدخول إلى حاسوبه المحمول الجديد أو المتصفح باستخدام *فقط* الـ TAP.
• بما أن TAP يلبّي متطلبات المصادقة القوية، يُطلب من المستخدم فورًا تسجيل بيانات اعتماده الدائمة الخالية من كلمات المرور، مثل إعداد Windows Hello for Business، أو تسجيل مفتاح FIDO2، أو تسجيل تطبيق Microsoft Authenticator.
• بعد التسجيل، تنتهي صلاحية TAP ويصبح المستخدم بلا كلمة مرور بالكامل من اليوم الأول.

يُحدث TAP نقلة مماثلة في استعادة الحسابات. إذا فقد موظف مفتاحه الأمني أو حصل على هاتف جديد، فلا يحتاج فريق الدعم الفني إلى إصدار كلمة مرور احتياطية. يكفي أن يُنشئ TAP، فيتمكن المستخدم من المصادقة بأمان وتهيئة جهازه أو رمزه البديل بنفسه.

أفضل الممارسات لبناء استراتيجية شاملة بدون كلمة مرور

الانتقال بمؤسسة كاملة بعيدًا عن كلمات المرور ليس عملية تتم بضغطة زر، بل يتطلب طرحًا استراتيجيًا مرحليًا. كما ناقشنا في البودكاست، فإن إدارة التغيير وفرض النهج لا يقلان أهمية عن التقنية نفسها. فيما يلي أهم أفضل الممارسات لضمان نجاح رحلتك نحو بيئة بدون كلمة مرور.

1. تبنّي نهج الطرح المرحلي

تجنّب محاولة طرح بدون كلمة مرور على مستوى الشركة بأكملها دفعة واحدة في عطلة نهاية أسبوع. ابدأ بفرق تقنية المعلومات والأمن، فهم يفهمون التقنية، ويستطيعون معالجة الحالات الاستثنائية، ويشكّلون مناصريك الداخليين. ثم انتقل إلى القيادة التنفيذية والوحدات التجارية الملمّة بالتقنية. وبعد معالجة التعقيدات التشغيلية، وسّع الطرح ليشمل موظفي المكاتب العامة، وأخيرًا تناول بيئات الخطوط الأمامية أو التصنيع المتخصصة.

2. الاستخدام الحكيم لنهج الوصول المشروط

يجب دمج نهج المصادقة بدون كلمة مرور بإحكام مع Microsoft Entra Conditional Access. أنشئ نهجًا يشترط استخدام طرق مصادقة مقاومة للتصيّد للوصول إلى تطبيقات السحابة الحساسة، مع السماح مؤقتًا بالطرق القديمة للتطبيقات الأقل خطورة خلال فترة الانتقال. واستخدم ضوابط الجلسة للحد من مدة الجلسات، وفرض إعادة المصادقة عند ارتفاع إشارات المخاطر.

3. الاستثمار بكثافة في توعية المستخدمين وإدارة التغيير

تفشل التغييرات التقنية عندما يُستبعد العنصر البشري من المعادلة. المستخدمون مرتاحون لكلمات المرور، فقد استخدموها لعقود. لذا عليك أن تشرح *لماذا* تُجري هذا التحول. قدّم المصادقة بدون كلمة مرور لا بوصفها تكليفًا من تقنية المعلومات، بل بوصفها إجراءً وقائيًا يُسهّل حياتهم: لا مزيد من نسيان كلمات المرور المعقدة، ولا تغييرات إلزامية ربع سنوية، وتسجيلات دخول فائقة السرعة.

4. التخطيط للبدائل والحالات الاستثنائية

استعد دائمًا لما قد يحدث عندما تسوء الأمور. ماذا لو تعطّل هاتف مستخدم في رحلة عمل؟ ماذا لو سقط مفتاح الأمان الصلب في بركة ماء؟ ضع مسارات عمل واضحة وآمنة تعتمد على Temporary Access Pass وإجراءات التحقق من هوية الدعم الفني المعتمدة، حتى يستعيد المستخدمون وصولهم بسرعة دون المساس بأمن المؤسسة.

من خلال الجمع بين Windows Hello for Business ومفاتيح الأمان FIDO2 وMicrosoft Authenticator وتذاكر الوصول المؤقتة، يمكنكم أخيرًا طيّ صفحة كلمات المرور القديمة والضعيفة. الأدوات جاهزة، والبنية أثبتت فعاليتها، والفوائد الأمنية لا تُنكر. لقد حان الوقت للانتقال إلى مستقبل Zero Trust حقيقي خالٍ من كلمات المرور.

شكرًا لمتابعتكم! لا تنسوا الاشتراك في البودكاست إن لم تفعلوا ذلك بعد، وشاركوا هذه المدونة مع فريق الأمان لديكم، وترقبوا حلقتنا القادمة المتعمقة التي نتناول فيها اصطياد التهديدات المتقدم في Microsoft Defender!