الخلاصة

  • يقول تذكير ARIN المنشور في 9 أكتوبر إنه لا يستجيب لحادث أو نشاط مريب. ويطلب من المستخدمين الذين لم يغيّروا كلمة المرور «مؤخراً» تحديثها، لكنه لا يعرّف المدة المقصودة.
  • يجمع المنشور بين إعادة استخدام كلمة المرور، وإدخالها على جهاز أو شبكة غير موثوقين، واحتمال ضعف كلمة المرور القديمة. وهذه ليست حالة واحدة: الاشتباه في الانكشاف، ووجود دليل على الاختراق، وتحسين قوة كلمة المرور لها محفزات مختلفة.

النصيحة ليست قاعدة لانتهاء الصلاحية

الجملة المحورية في منشور ARIN لشهر التوعية بالأمن السيبراني ليست عدّاً تنازلياً. يطلب Christian Johnson، كبير مسؤولي أمن المعلومات في ARIN، من مستخدمي ARIN Online الذين لم يغيّروا كلمة مرورهم «مؤخراً» تخصيص وقت قصير لتحديثها. ويوضح أيضاً أن الرسالة لا تأتي استجابة لحادث أو نشاط مريب. لا يحدد المنشور موعداً نهائياً، ولا عمراً أقصى لكلمة المرور، ولا فئة حسابات ملزمة بالتصرف.

هذا الفرق مهم. يستطيع فريق الأمن أن يوصي باحتياط قليل الكلفة من دون أن يعلن عن فشل أحد الضوابط. لكن كلمة «مؤخراً» لا تخبر القارئ إن كانت المهلة أشهراً أم سنوات، أو إن كان المقصود اللحظة التي يتوقف فيها عن الوثوق بالسر. يشرح دليل الحسابات العام لدى ARIN كيف يدير الأفراد سجلاتهم وطلبات موارد أرقام الإنترنت وعمليات نقلها، وكيف يصلون إلى وظائف مثل DNSSEC وRPKI. ويشترط تفعيل المصادقة متعددة العوامل (MFA) في جميع حسابات ARIN Online، كما يوصي بأن يكون لكل شخص يدير سجلات مؤسسة أو موارد حسابه الفردي. لكنه لا يحدد فترة صلاحية لكلمات مرور العملاء.

لذلك لا تدعم المواد التي تمت مراجعتها سوى وصف محدود: نشرت ARIN تذكيراً اختيارياً بتحديث كلمة المرور من دون مهلة معلنة. ولا تبرر القول إن ARIN تفرض التغيير الدوري على العملاء، أو إن النظام يفرض تحديثاً، أو إن حساباً تعرض للاختراق.

ثلاثة مخاطر لا تقيسها ساعة واحدة

ذكر Johnson ثلاثة أسباب لمراجعة كلمة المرور. ربما تعرض موقع آخر تعرض فيه المستخدم للسر نفسه للاختراق. وربما أدخل المستخدم كلمة المرور على جهاز أو شبكة لا يثق بها. أو قد تكون كلمة المرور القديمة أضعف من كلمة أطول يختارها اليوم. هذه احتمالات معقولة، لكن لا يُبلّغ عن أي منها بوصفه حادثاً لدى ARIN.

يتعلق السببان الأولان بالانكشاف. فإذا ظهرت كلمة مرور أعيد استخدامها في تسريب لدى خدمة أخرى، ينبغي تغييرها في كل الحسابات التي تستخدمها؛ فتغيير نسخة ARIN وحدها لا يعالج بقية مرات الاستخدام. وإذا أُدخلت على جهاز قد يسجل ضغطات المفاتيح، فالسؤال هو ما إذا كان السر أو الاتصال النشط قد أصبح مرئياً. قد يدفع التذكير الدوري إلى العمل، لكنه لا يحدد الحسابات الأخرى التي يجب فحصها أو ما إذا كان ينبغي مراجعة جلسة مفتوحة.

أما السبب الثالث فمختلف. قد تكون كلمة المرور ضعيفة من دون أن يعرفها مهاجم. والاستجابة المناسبة هي استبدالها بسر طويل وفريد، ويفضل أن ينشئه مدير كلمات المرور ويحفظه، لا اعتبار عمرها دليلاً على الاختراق. ويتبنى منشور ARIN هذا النهج أيضاً: يوصي بكلمة طويلة، ويحذر من إعادة تدوير القديمة مع تعديل بسيط، ويقترح استخدام مدير كلمات المرور.

ARIN Online ليس حساباً لتلقي النشرات فحسب. يصف الدليل العام إدارة السجلات وطلبات الموارد وعمليات نقلها، إلى جانب وظائف DNSSEC وRPKI. ويربط المستخدمون حساباتهم الفردية بسجلات جهات الاتصال المرتبطة بمؤسساتهم؛ وهذه الصلات تحدد الصلاحيات اللازمة لإدارة السجلات. لذا فإن سلامة الحساب مهمة من الناحية التشغيلية للأعضاء ومشغلي الشبكات. لكن ذلك لا يعني أن كلمة مرور مسروقة تغيّر التوجيه تلقائياً، ولا يثبت وقوع إساءة من هذا النوع.

معيار للمقارنة، لا حكم بالامتثال

تقدم النسخة النهائية من NIST SP 800-63B-4 معياراً مفيداً للتصميم. فهي تقول إن الجهات المتحققة ومقدمي خدمات بيانات الاعتماد المشمولين بنطاقها لا ينبغي أن يطلبوا تغيير كلمات المرور دورياً، لكن يجب على الجهة المتحققة فرض التغيير عند وجود دليل على اختراق أداة المصادقة. كما توصي إرشادات تجربة المستخدم لدى NIST بتجنب التغييرات الدورية الاعتباطية، وتؤكد أهمية كلمات المرور المختلفة ومديري كلمات المرور.

يُستخدم هذا هنا كنقطة مقارنة للتصميم، لا كادعاء بأن قواعد NIST تلزم ARIN قانوناً أو تعاقدياً. والأهم أن منشور ARIN يقدم نصيحة. فالتذكير الاختياري لا يتعارض بحد ذاته مع قاعدة تمنع فرض التغيير الدوري. ويصبح الفرق جوهرياً إذا حولت مؤسسة توصية عامة إلى مهلة إلزامية، أو اعتبرت مرور الوقت دليلاً على اختراق الحساب. ولا تظهر المواد العامة التي راجعناها أن ARIN تفعل أياً من ذلك.

السؤال الأجدى ليس ما إذا كان على الجميع تجاهل التذكير، بل ما إذا كان سبب التصرف واضحاً. من يشتبه في انكشاف كلمة مروره عليه تغييرها سريعاً ومراجعة طرق استعادة الحساب والجلسات ذات الصلة. ومن كانت كلمته قديمة فقط يمكنه تقويتها وجعلها فريدة. توفر ARIN المصادقة متعددة العوامل عبر تطبيق للمصادقة أو رسائل SMS أو مفتاح أمان أو مفتاح مرور؛ ويرى مسؤول الأمن أن الخيار الأخير هو الأقوى. وتوضح الأسئلة الشائعة أن لكل حساب وسيلة واحدة فعالة، وأن استعادة الوصول ممكنة برمز يستخدم مرة واحدة أو بمساعدة موظفي ARIN بعد التحقق من الهوية. وينبغي معرفة مسار الاستعادة عند تغيير وسيلة المصادقة، فإمكانية استعادة الحساب جزء من الضابط الأمني.

المصادر