للتحقق من محادثة مشفرة، راجع حالة التشفير في التطبيق، وتأكد من أن جهة الاتصال هي الشخص المقصود، واستخدم عملية التحقق من المفاتيح التي يدعمها التطبيق. تُعد مقارنة رقم الأمان أو رمز QR عبر مسار مستقل موثوق خيارًا عمليًا؛ كما توفر بعض التطبيقات تحققًا تلقائيًا يعتمد على شفافية المفاتيح. لا يثبت اسم العرض المألوف ولا رمز القفل وحده هوية الشخص.
لماذا لا يعني التشفير تلقائيًا أن المحادثة موثّقة
صُمم التشفير من طرف إلى طرف بحيث لا يقرأ الرسائل إلا أطراف المحادثة النهائية. يمتلك كل مشارك مفاتيح تشفير، ويستخدم المرسل معلومات المفاتيح المرتبطة بالمستلم لحماية الرسائل لذلك الجهاز المحدد.
يجيب ذلك عن سؤال مهم: هل المحادثة مشفرة بين نقاط النهاية؟ لكنه لا يجيب وحده عن سؤال آخر: هل المفتاح المعروض لجهة الاتصال هذه يخص فعلًا الشخص الذي تريد التواصل معه؟
إذا قدّم شخص مفتاحًا مدعيًا أنه جهة اتصالك، فقد يعمل التشفير حتى لو كان المفتاح يخص منتحلًا. تكون الرسالة مشفرة، لكن إلى نقطة النهاية الخطأ.
يربط التحقق من جهة الاتصال الهوية التشفيرية بالهوية البشرية. وهو خطوة حاسمة قبل إرسال كلمات المرور أو التفاصيل المالية أو المستندات الخاصة أو الوسائط الحساسة.
ما الذي يثبته التحقق من المفاتيح وما الذي لا يثبته
تثبت البصمة المطابقة الاتفاق على معلومات المفتاح الجاري مقارنتها. أما ربط المفتاح بشخص فيعتمد على كيفية حصولك على بيانات المقارنة. إذا قارنت مع منتحل، فقد تتحقق بنجاح من جهاز المنتحل. ولا يثبت التحقق أن الجهاز خالٍ من البرمجيات الخبيثة أو أن صاحبه سيحافظ على سرية الرسالة.
يستخدم التحقق التلقائي من المفاتيح في Signal شفافية المفاتيح لفحص الاتساق بين معرّفات الحسابات والمفاتيح العامة. وهو يكمل الفحص اليدوي لأرقام الأمان، لكن توافره يعتمد على جهة الاتصال ودعم التطبيق الحالي. اتبع شاشة التحقق بدل افتراض أن كل محادثة توفره. اتساق سجلات المفاتيح وتأكيد هوية الشخص في الواقع هدفان مختلفان.
لا يزيل اتفاق المفاتيح ما بعد الكمي هذا التمييز. فتبادل المفاتيح الأكثر مقاومة ما زال يحتاج إلى تأسيس المفاتيح مع نقطة النهاية المقصودة. يصف توثيق الأمان في Livara بروتوكولاته وحدود الثقة الخاصة به؛ وليست هذه الادعاءات بديلًا عن فحص المحادثة الفعلية أو تقييم مستقل.
كيف يعمل التحقق من رقم الأمان
تحوّل تطبيقات مراسلة مشفرة كثيرة معلومات المفاتيح المعقدة إلى بصمة قابلة للقراءة: رقم أمان طويل أو تسلسل كلمات أو رمز QR. ينبغي أن يرى الطرفان تمثيلات متطابقة للمحادثة نفسها بالضبط.
يعني التحقق من رقم الأمان مقارنة تلك التمثيلات مع جهة اتصالك. يوفر التطابق دليلًا على أن الطرفين يقارنان معلومات المفتاح نفسها، بافتراض موثوقية مسار المقارنة والأجهزة. أما عدم التطابق فيعني التوقف والتحقيق فورًا.
تختلف الواجهة الدقيقة بحسب التطبيق، لكن العملية الأساسية للتحقق من مفاتيح التشفير متشابهة:
- افتح تفاصيل محادثة جهة الاتصال.
- ابحث عن خيار بعنوان التشفير أو الأمان أو التحقق من جهة الاتصال أو رقم الأمان.
- اعرض البصمة الرقمية أو رمز QR.
- قارنها بالنسخة المعروضة على جهاز جهة اتصالك.
- علّم جهة الاتصال بأنها موثّقة إذا كان التطبيق يوفر مفتاحًا لهذا الخيار.
لا تفيد البصمة إلا عندما تقارنها عبر مسار موثوق. نسخ رقم الأمان داخل المحادثة غير الموثقة نفسها لا يثبت الهوية: يستطيع مهاجم يسيطر على تلك القناة اعتراض المعلومات وتقديم معلومات مطابقة.
التحقق من جهة الاتصال برمز QR وجهًا لوجه
يُعد التحقق من جهة الاتصال برمز QR وسيلة مريحة لمقارنة بيانات التحقق كاملة عندما يكون الشخصان في الغرفة نفسها. افتح شاشة التحقق على الجهازين، ثم استخدم أحدهما لمسح رمز QR المعروض على الآخر. اتبع خطوات التأكيد في التطبيق وتأكد من أنه يبلغ عن تطابق ناجح.
استخدم قائمة التحقق العملية هذه:
- تأكد من أنك تنظر إلى سلسلة المحادثة الدقيقة مع جهة الاتصال المقصودة.
- دع جهة الاتصال تفتح قفل جهازها وتستخدمه بنفسها.
- امسح الرمز مباشرة من شاشتها النشطة، لا من لقطة شاشة مُعاد توجيهها.
- اقرأ النتيجة بعناية قبل تعليم جهة الاتصال بأنها موثّقة.
- إذا فشل المسح أو ظهر عدم تطابق، فلا تتبادل معلومات حساسة.
رمز QR ليس أقوى رياضيًا بطبيعته من البصمة الرقمية؛ إنه ببساطة تمثيل أقل عرضة للخطأ لبيانات التحقق. وتعتمد قيمته على أصالة مسار المقارنة وتنفيذ التطبيق وأمان الجهازين.
استخدام التحقق خارج القناة عن بُعد
عندما يتعذر اللقاء عمليًا، يقدم التحقق خارج القناة بديلًا يدويًا. ويعني مقارنة البصمة عبر مسار اتصال منفصل تمامًا عن المحادثة التي تفحصها.
على سبيل المثال، اتصل بجهة اتصالك عبر رقم هاتف تقليدي تعرفه مسبقًا، واطلب منها قراءة رقم الأمان من جهازها بصوت عالٍ. قارنه بعناية بالرقم المعروض على جهازك. التعرف على الصوت أو الفيديو وحده ليس حاسمًا: قد تُخترق الحسابات ويمكن تقليد الوسائط. في الطلبات عالية المخاطر، اجمع بين مسار اتصال مستقل راسخ وسياق تثق به مسبقًا، ولا تتبع رقمًا بديلًا لم يقدمه سوى الحساب غير الموثق.
القاعدة الأساسية هي ألا يعتمد المسار الثاني على ادعاء الهوية داخل المحادثة الجاري فحصها.
تجنب هذه المصائد الأمنية:
- لا تطلب من جهة الاتصال لصق الرقم داخل المحادثة غير الموثقة نفسها.
- لا تثق بلقطة شاشة لمجرد أنها تبدو مثل واجهة تطبيقك الأصلية.
- لا تقبل تفسير «تغير لأنني اشتريت هاتفًا جديدًا» دون تأكيده بصورة مستقلة.
- لا تقارن أول أربعة أرقام وآخر أربعة أرقام فقط من بصمة طويلة، إلا إذا صمّم التطبيق عملية التحقق بهذه الطريقة صراحةً.
ماذا يعني تغير المفتاح بصورة غير متوقعة
تتغير مفاتيح التشفير بانتظام لأسباب سليمة. قد تستبدل جهة الاتصال هاتفها أو تعيد تثبيت التطبيق أو تعيد ضبط الحساب؛ وتعتمد الأفعال الدقيقة التي تغير مفاتيح الهوية على تطبيق المراسلة. لذلك ليس تغير المفتاح دليلًا قاطعًا على هجوم رجل في الوسط.
اعتبر التغير غير المتوقع سببًا للتحقق قبل إرسال مواد حساسة. قد يكون المفتاح الجديد مشروعًا، لكن المقارنة اليدوية السابقة لا تؤسس الثقة به تلقائيًا. إذا نبهك التطبيق إلى تغير رمز الأمان:
- أوقف كل المراسلات الحساسة مؤقتًا.
- تواصل مع الشخص عبر مسار معروف ومستقل، خارج القناة.
- اسأله إن كان قد غيّر جهازه أو أعاد تثبيت التطبيق مؤخرًا.
- افتح شاشة التحقق الحالية على الجانبين.
- أجرِ تحققًا جديدًا من رقم الأمان.
- لا تستأنف الاتصال الحساس إلا بعد تطابق القيم تمامًا.
كن شديد الارتياب إذا ضغطت جهة الاتصال عليك لتجاهل التنبيه، أو طلبت تحويلات مالية عاجلة، أو رفضت التحقق عبر قناة أخرى.
روتين ثقة عملي للمحادثات المشفرة
طبّق إجراءات التحقق بما يتناسب مع نموذج التهديد لديك. في المحادثات العادية، انتبه ببساطة إلى تنبيهات تغير المفاتيح. أما الأعمال شديدة السرية، فأجرِ دائمًا تحققًا كاملًا قبل إرسال أول محتوى حساس.
يقلل التحقق خطر التشفير إلى مفتاح غير متوقع. ولا يحل محل أمان الجهاز أو الاختيار الدقيق للمستلم أو الحكم على ما ينبغي إرساله. اجعل مستوى التحقق متناسبًا مع عواقب الإرسال إلى الشخص الخطأ.
