نشر Google لمفاتيح Titan الأمنية يجعل أجهزة مفاتيح المرور سطح تحكم للمستخدمين عاليي المخاطر

إعلان Google عن مفاتيح Titan الأمنية في 15 نوفمبر 2023 هو حدث توزيع لأمان الحسابات، وليس مجرد ملاحظة منتج. طرح Google خط مفاتيح Titan المتوافقة مع مفاتيح المرور على متجر Google وتعهد بتوزيع 100,000 من المفاتيح الجديدة مجانًا على المستخدمين عاليي المخاطر في جميع أنحاء العالم في عام 2024 عبر الشركاء. الإشارة الاستراتيجية هي سطح التحكم: المصادقة المقاومة للتصيد تنتقل من معدات أمان شخصية اختيارية إلى طبقة حماية مدارة للحملات والصحفيين والنشطاء وغيرهم من الأهداف التي يمكن أن يتسرب اختراق حساباتها إلى إساءة استخدام تنظيمية.

الحدث الرئيسي هو إطلاق Google وتعهدها بالتوزيع في نوفمبر 2023. أعلنت الشركة أن أحدث مفاتيح Titan الأمنية ستدعم NFC، وستحل محل الموديلات السابقة USB-A وUSB-C، وستخزن أكثر من 250 مفتاح مرور، وسيتم توزيعها مجانًا على المستخدمين عاليي المخاطر عبر الشركاء في عام 2024. كما ربطت Google هذا الجهد بـ Google Advanced Protection Program، برنامج أمان الحسابات الخاص بها الموجه للأشخاص ذوي الرؤية العالية أو الذين يحتفظون بمعلومات حساسة.

سطح التحكم في أمان الحسابات

سطح التحكم ليس المفتاح كأداة تجزئة. إنها السلسلة الممتدة من تسجيل حساب Google، وسياسة Advanced Protection Program، ومصادقة FIDO/مفتاح المرور، وحيازة الجهاز، والتوزيع بقيادة الشريك. تقلل مفاتيح الأمان من خطر التصيد الاحتيالي من خلال طلب دليل تشفير على أن المستخدم يتفاعل مع الخدمة الشرعية وأنه يمتلك الجهاز المسجل. تضيف الموديلات الجديدة من Titan طبقة تخزين لمفاتيح المرور، بحيث يمكن لنفس الجهاز أن يصبح عاملاً ثانيًا وحاملًا لبيانات اعتماد محمولة بدون كلمة مرور.

آلية الاعتماد وإساءة الاستخدام

بالنسبة للمستخدمين عاليي المخاطر، فإن اختراق الحساب ليس مجرد إزعاج خاص. يعتمد العاملون في الحملات والصحفيون والنشطاء وموظفو الانتخابات ومجموعات المجتمع المدني على البريد الإلكتروني والملفات السحابية والحسابات الاجتماعية وأدوات التعاون كبنية تحتية تشغيلية. إذا تم التصيد لهذه الحسابات، يمكن للمهاجمين انتحال شخصية الأشخاص الموثوقين، وإعادة تعيين الخدمات النهائية، وكشف المصادر أو مواد الحملة، وتعطيل العمل المدني. تزيد المصادقة المادية من تكلفة المهاجم، ولكنها تخلق أيضًا تبعيات تشغيلية حول التسجيل والمفاتيح الاحتياطية والاسترداد ولوجستيات الشركاء وتدريب المستخدمين.

حدود الأدلة

تؤكد الأدلة العامة تاريخ الإطلاق والميزات الرئيسية وسياق أمان FIDO/مفتاح المرور وملاءمة Advanced Protection Program وقنوات الشركاء المذكورة والتعهد بتوزيع 100,000 مفتاح في عام 2024. لكنها لا تثبت أرقام التسليم النهائية لتعهد عام 2024، أو التوزيع حسب الشريك، أو نتائج الحماية، أو معدلات التبني، أو الاحتفاظ بالمستخدمين، أو ما إذا كان كل مستفيد قد استخدم المفاتيح بشكل صحيح بعد التوزيع.

نقاط المراقبة

• ما إذا كانت Google ستعلن عن اكتمال التوزيع وجغرافيته وتكوين المستفيدين لتعهد 100,000 مفتاح في عام 2024.
• ما إذا كان التسجيل في Advanced Protection Program سيزداد بين المستخدمين الانتخابيين والإعلاميين والمجتمع المدني بعد التوزيع عبر الشركاء.
• ما إذا كانت مفاتيح المرور المادية ستظل الخيار الافتراضي للمستخدمين عاليي المخاطر بينما تصبح مفاتيح المرور المتزامنة أكثر شيوعًا للحسابات العامة.
• كيف تدير Google تدفقات المفاتيح الاحتياطية واسترداد الحساب وفقدان الجهاز دون إضعاف مقاومة التصيد.
• ما إذا كانت الهجمات ستنتقل من تصيد بيانات الاعتماد إلى سرقة الجلسة أو إساءة استخدام OAuth أو الهندسة الاجتماعية لخدمات الدعم أو اختراق نقاط النهاية.